# TP3.1 — ap2 VLAN-Trunk-Fix (As-built, 2026-07-01)
# Kontext: ap2 (CAP, local forwarding) hatte bridge vlan-filtering=no → datapath.vlan-id
# wurde nie auf die Leitung geschrieben → ALLE WLAN-Clients (main/media/iot/…) egressten
# ungetaggt in VLAN1 (defconf/10.40.41.x). Fix: ap2-Bridge VLAN-scharf machen wie ap1.
#
# WICHTIG (Lockout): ap2-Mgmt (10.40.41.2) liegt untagged auf VLAN1 über die Bridge; MCP/SSH
# läuft darüber. VLAN1 MUSS untagged=bridge,ether2 bleiben. Reihenfolge: erst Tabelle, dann Flip.
# Kein Scheduler auf ap2 (device-mode=home) → kein Auto-Revert; Recovery = Power-Cycle im OG.
#
# Diese Datei ist ap2-LOKAL (nicht CAPsMAN-verwaltet). Auf ap2 ausführen.
# Die master-Radios wifi1(5G)/wifi2(2.4G) tragen alle Client-VLANs getaggt; die Slave-VAPs
# (media/iot/untrusted/guest) forwarden über ihren Master → nur wifi1/wifi2 müssen tagged-Member sein.
#   wifi1 (5G): main10 + media40 + untrusted50 + guest90
#   wifi2 (2.4G): main10 + iot30 + media40 + untrusted50 + guest90

/interface bridge vlan
add bridge=bridge vlan-ids=1  untagged=bridge,ether2
add bridge=bridge vlan-ids=10 tagged=ether2,wifi1,wifi2
add bridge=bridge vlan-ids=30 tagged=ether2,wifi2
add bridge=bridge vlan-ids=40 tagged=ether2,wifi1,wifi2
add bridge=bridge vlan-ids=50 tagged=ether2,wifi1,wifi2
add bridge=bridge vlan-ids=90 tagged=ether2,wifi1,wifi2

# Flip als LETZTER Schritt:
/interface bridge set [find name=bridge] vlan-filtering=yes

# Danach auf ap1 einmalig re-provisionieren, damit der CAP sauber neu bindet:
#   /interface wifi capsman remote-cap provision [find identity=ap2]
#
# Verifikation:
#   /interface bridge vlan print detail   → current-tagged je VLAN = ether2,wifi1(,wifi2)
#   OG-Client-Test: Handy auf dirtyvader-main im OG → auf ap1 muss der Lease server=dhcp-v10
#   (10.40.10.x) sein, NICHT defconf/10.40.41.x.