# WAN-Cutover Runbook (Solo, ohne Claude live)

Ziel: FB-LAN4 auf Passthrough/Bridge umstellen, sodass **ap1 ether1** die echte Liwest-Public-IP
zieht (Single-NAT statt Double-NAT). Der Testmechanismus läuft **autonom auf ap1** und loggt persistent
— du brauchst Claude während des Cutovers nicht.

**Dein Console-Pfad:** altes WiFi → `10.40.41.1` (WebFig → New Terminal). Läuft über ap1 **ether2**
(ALLNET-Uplink) und übersteht den Cutover an ether1/FB-LAN4.

> ⚠️ **device-mode=home** blockiert auf ap1 Scheduler *und* `/tool fetch`. Deshalb arbeitet der
> Mechanismus **ohne Scheduler**: `wantest-run` ist ein blockierendes Loop-Script, das im Hintergrund
> weiterläuft (auch wenn deine Session abreißt). Der MAC-Auto-Revert ist fest in den Clone-Lauf eingebaut.

---

## Schritt 0 — Vorbereitung (mit Claude online schon erledigt)
- Scripts auf ap1 installiert: `wantest-probe`, `wantest-run`, `wanmac-clone`, `wanmac-revert`.
- Disk-Logging aktiv → Ergebnisse in `wan-test.0.txt` **und** live im `/log`.
- FB-WAN-MAC für den Clone-Lauf: **`0C:72:74:36:90:99`** (CM-MAC, als Default hinterlegt).

## Schritt 1 — Auto-Capture starten
WebFig-Terminal auf `10.40.41.1`:
```
:global WTN 40                      # optional: 40 Proben (~10 min). Default ohne = 24 (~6 min)
/system script run wantest-run
```
→ probt alle 15 s und loggt jede Schicht. Läuft im Hintergrund. (Terminal blockiert während des Laufs;
einfach ein zweites WebFig-Fenster für den Log öffnen.)

## Schritt 2 — FritzBox umstellen + Kabel
- FB-UI → LAN4 auf Passthrough/IP-Client (Klickanleitung im Chat / `docs/`).
- ether1 von ap1 an den FB-Passthrough-Port. **ether2 (Uplink) bleibt stecken!**

## Schritt 3 — Live mitlesen
```
/log print where message~"WANTEST"
```
Schichten interpretieren:
- `ether1 ... addr=86.x.x.x` → externe IP gezogen ✓ (Bridge greift)
- `wan-reach via-1.1.1.1 ok ...` → **Routing+NAT zur Public-IP ok** (ohne DNS-Abhängigkeit)
- `wan-reach ... FAIL` → Routing/NAT kaputt → „nach .1 nichts" = WAN-seitig
- `dns-doh ok ...` → DoH-Namensauflösung ok (das, was Clients als DNS nutzen)
- `dns-doh FAIL` → DoH/Bootstrap kaputt → „nach .1 nichts" = **DNS** (Client erreicht .1, aber nichts per Name)

## Schritt 4 — MAC-Clone testen (optional, ~90 s, selbst-revertierend)
Erst wenn Baseline extern steht:
```
/system script run wanmac-clone
```
→ setzt CM-MAC `0C:72:74:36:90:99`, release/renew, 4 Proben, dann **garantierter Auto-Revert** auf
Werks-MAC (alles in einem Lauf). Vergleiche im Log IP/Schichten mit FB-MAC vs. Baseline.
Not-Revert sofort: `/system script run wanmac-revert`.

## Schritt 5 — Abschluss
- `wantest-run` endet von selbst nach WTN Proben (Log: „WANTEST run done").
- Früher stoppen: `/system script job print` → `/system script job remove [find script=wantest-run]`.
- Dann Claude wieder online holen → Claude liest `wan-test.0.txt` und bestimmt die Root-Cause.

---

## Sicherheitsnetze (eingebaut)
- **Fallback-Route:** statische Default-Route via bridge (distance=2) bleibt — fällt ether1 aus,
  geht Internet automatisch wieder über die FB (Double-NAT). Kein Totalausfall.
- **MAC-Auto-Revert:** im Clone-Lauf fest eingebaut (~90 s), läuft im Hintergrund garantiert zu Ende.
- **Console bleibt:** `10.40.41.1` via ether2/altes WiFi ist vom Cutover unabhängig erreichbar.

## Notfall
- ether1 zieht keine externe IP / kein Internet: `/system script run wanmac-revert`, dann FB-LAN4
  zurück auf normal — Fallback-Route hält das LAN online.
- ap1 nicht erreichbar: ether2-Kabel prüfen (Uplink zu ALLNET), NICHT ether1.
- Hängendes Script killen: `/system script job print` → `/system script job remove <id>`.