# TP5 Etappe 1 — PAUSE (User-Entscheid 2026-08-14).
# Grund: erst die .41.x -> .20.x-Migration fertigstellen (Prometheus-Scrape-Ziele,
# HA-pve-Integration). Daten, die davor gesammelt werden, gelten danach nicht mehr —
# 76 % des Inter-VLAN-Verkehrs waren genau dieses Altlast-Rauschen.
#
# Push:  python3 nautobot/gc-manual-plan.py --device crs326-core \
#            --commands-file routeros/tp5-etappe1-pause.rsc --change-id TP5-Etappe1-Pause --deploy

# 1) Log-Regel stilllegen. Bleibt als Objekt stehen (Kommentar = Idempotenz-Schluessel),
#    das Wiederanschalten ist damit eine Zeile.
:do { /ip firewall filter set [find comment="TP5: log-only, Vorstufe zum deny-by-default"] disabled=yes } on-error={ :log info "tp5p: disable hat geworfen" }

# 2) Memory-Logging zurueckbauen. Der Ausschluss war nur wegen der Flut noetig;
#    waehrend der Pause faellt keine an, und der On-Box-Log wird fuer die
#    Migrationsarbeit wieder gebraucht.
:do { /system logging set [find topics~"info" and action=memory] topics=info } on-error={ :log info "tp5p: topics-restore hat geworfen" }

:log info ("tp5p: ENDE regel-disabled=" . [:tostr [/ip firewall filter get [find comment="TP5: log-only, Vorstufe zum deny-by-default"] disabled]] . " memory-topics=" . [:tostr [/system logging get [find topics~"info" and action=memory] topics]])

# ===========================================================================
# WIEDERAUFNAHME (Etappe 1 fortsetzen)
# ===========================================================================
# Der Kollektor laeuft weiter (Container `tp5-syslog` auf dem Docker-LXC,
# restart=unless-stopped, 10.40.20.18:514) und die Logging-Action `tp5syslog`
# samt Regel `topics=firewall` bleibt auf dem Core stehen — beides ist ohne die
# Filter-Regel wirkungslos. Zum Fortsetzen genuegen zwei Zeilen:
#
#   /ip firewall filter set [find comment="TP5: log-only, Vorstufe zum deny-by-default"] disabled=no
#   /system logging set [find topics~"info" and action=memory] topics=info,!firewall
#
# Vorher aufraeumen, sonst mischt sich Altes unter die neue Sammelphase:
#   ssh root@10.40.20.100 'pct exec 400 -- sh -c ": > /opt/tp5-syslog/log/tp5-would-drop.log"'