# =====================================================================================
# ap3 — die drei Werksreste abraeumen, die die Compliance nach dem Bring-up gemeldet hat.
# TP28-Nachtrag, 2026-08-30.
#
# Befund aus dem ersten Compliance-Lauf MIT ap3 (127/130):
#   ip-dns             extra   -> defconf-Eintrag router.lan -> 192.168.88.1 (die alte
#                                 Werks-LAN-IP, die es seit Phase 2 gar nicht mehr gibt)
#   ip-firewall-filter extra   -> 11 defconf-Regeln. Ein reiner AP routet nicht, hat also
#                                 keine forward-Kette zu schuetzen; der Mgmt-Zugang haengt
#                                 an /ip service, nicht an der input-Kette (TP26).
#   ip-service         missing -> die Haertung war nie gesetzt
#
# 🔴 `[find !dynamic]` waere ein SYNTAXFEHLER -- korrekt ist `[find where !dynamic]`.
#    Und Syntaxfehler schlagen beim PARSEN zu, `on-error` faengt sie NICHT. Symptom:
#    kein Fehler im Log, keine Wirkung, Plan meldet trotzdem Erfolg. (TP26, 2026-08-17.)
# 🔴 Das Filtern auf `!dynamic` ist zusaetzlich noetig, weil `remove [find]` auch die
#    dynamische "special dummy rule to show fasttrack counters" erfasst -- RouterOS
#    verweigert deren Entfernung, das GESAMTE Kommando wirft, und es wird NICHTS entfernt.
#
# ⚠️ Kein Lockout-Risiko: `available-from=10.40.0.0/16` deckt alle BF-VLANs ab, also
#    auch den Mgmt-Weg ueber vlan99 und die Nautobot-Quelle 10.40.20.30.
# =====================================================================================

# [1] /ip service haerten (Soll aus dem GC-Template, platform-weit)
/ip service set ftp disabled=yes
/ip service set ssh available-from=10.40.0.0/16,100.96.0.0/12
/ip service set telnet disabled=yes
/ip service set www available-from=10.40.0.0/16,100.96.0.0/12
/ip service set winbox available-from=10.40.0.0/16,100.96.0.0/12
/ip service set api available-from=10.40.0.0/16,100.96.0.0/12
/ip service set api-ssl disabled=yes

# [2] defconf-Firewall abraeumen (TP26-Muster, identisch zu ap1/ap2)
:do { /ip firewall filter remove [find where !dynamic] } on-error={ :log info "tp28-ap3: firewall-remove warf" }

# [3] defconf-DNS-Eintrag auf die tote Werks-IP
:do { /ip dns static remove [find where address="192.168.88.1"] } on-error={ :log info "tp28-ap3: dns-remove warf" }

:log info ("tp28-ap3-werksreste: fw-statisch=" . [:tostr [:len [/ip firewall filter find where !dynamic]]] . " dns-static=" . [:tostr [:len [/ip dns static find]]])