# ALLNET ALL-SG8316M — Web-UI-Guide: Trunk-Port für einen hAP-AP

> ✅ **STATUS 2026-06-09: gi1 (ap1) + gi2 (ap2) bereits getrunkt** — via Telnet-CLI ausgeführt
> (`switch/cli/03-trunk-ap-ports.cli`), `show vlan` POST verifiziert (gi1-2 tagged auf 10/20/30/40/90/99/100,
> vlan1 weiter untagged), `save` ok, Mgmt + APs erreichbar. Diese UI-Anleitung bleibt als **Referenz/Verifikation**
> und Vorlage für künftige Ports. Syntax `switchport trunk allowed vlan add <LIST>` am Gerät bestätigt.

> **Methode:** Claude erklärt Absicht + Klickpfad, **du klickst**. UI = Realtek-OEM (Backbone-SPA),
> FW 2.2.1.2956, erreichbar unter **https://10.40.41.239** (Login `claudecode`, PW in `switch/.secrets`).
> Labels unten sind aus der echten `lang/defLang.js` des Geräts gezogen — sollten exakt passen;
> falls eine Bezeichnung leicht abweicht, geht's um die **Absicht** (steht je Schritt dabei).

## Was wir wollen (Absicht in einem Satz)
Den Switch-Port, an dem ein hAP hängt, zu einem **Trunk** machen:
**VLAN 1 untagged (native)** = Mgmt/aktuelles Flachnetz bleibt drauf, **VLANs 10,20,30,40,90,99,100 tagged**.
So trägt der Port später die SSID→VLAN-Tags (Phase B), **und das jetzige Flach-WLAN „BF-Main" auf vlan1 läuft unverändert weiter.**

### CLI-Äquivalent (nur zum Gegenchecken — du machst es im UI)
```
interface gi<PORT>
 switchport mode trunk
 switchport trunk native vlan 1
 switchport trunk allowed vlan add 10,20,30,40,90,99,100
```

## ⚠️ Bevor du klickst — Sicherheit (Familiennetz läuft!)
- **NUR den AP-Uplink-Port anfassen.** Finger weg von **Port 4, 8, 15, 16** (live: Wohnzimmer-/Arbeitszimmer-Switch, pve, Fritzbox).
- **VLAN 1 bleibt überall untagged** → die Switch-Mgmt-IP (.239, vlan1) bleibt erreichbar. **Kein Lockout.**
- **Management VLAN NICHT ändern** (bleibt 1). Das ist ein separater Cutover-Schritt mit Aussperr-Risiko.
- Welcher Port ist der AP? Laut Plan **ap1 = Port 2** (direkt am Core). **Bitte bestätigen** und unten `<PORT>` einsetzen.
  → **ap2** hängt aktuell hinter dem TL-SG108E an **Port 8 (live!)** — **diesen Port NICHT trunken.** Für ap2 siehe Abschnitt unten.
- Nicht dringend: Fürs aktuelle Flach-WLAN-Testen ist **gar keine** Switch-Änderung nötig. Dieser Trunk ist **Phase-B-Vorbereitung** (taggte VLANs bekommen erst nach dem Router-Cutover Gateway/DHCP).

## Klickpfad

### 0) Login & Vorprüfung
1. Browser → **https://10.40.41.239** → Login `claudecode`.
2. Menü **VLAN → Create VLAN**: prüfen, dass **10, 20, 30, 40, 90, 99, 100** in „Created VLAN" stehen.
   (Sollten schon da sein — VLAN-DB + Namen sind angelegt. Falls eine fehlt: ID eintragen → **Add/Apply**.)

### 1) Port-Modus & PVID setzen — `VLAN → Port Setting`
1. Menü **VLAN → Port Setting** (Tabelle „Port Setting Table").
2. Zeile **Port `<PORT>`** auswählen → **Edit** (öffnet „Edit Port Setting").
3. Felder:
   - **Mode** = **Trunk** *(falls „Trunk" zickt, geht auch **Hybrid** — alle Ports stehen eh auf Hybrid; Hybrid + Membership unten erreicht dasselbe.)*
   - **PVID** = **1**  *(untagged-Verkehr landet in vlan1 = Mgmt/Flachnetz)*
   - **Accept Frame Type** = **All**  *(tagged + untagged annehmen)*
   - **Ingress Filtering** = **Enabled** *(nur Frames erlaubter VLANs — sauber; optional)*
4. **Apply/OK**.

### 2) VLAN-Mitgliedschaft des Ports — `VLAN → Membership`
Hier legst du pro VLAN fest, wie Port `<PORT>` Mitglied ist: **U**ntagged / **T**agged / leer (kein Mitglied).
1. Menü **VLAN → Membership** (Tabelle „Membership Table", Achse VLAN × Port).
2. **VLAN 1** editieren → Port `<PORT>` = **Untagged (U)**  *(native; Mgmt/Flachnetz)*
3. **VLAN 10** editieren → Port `<PORT>` = **Tagged (T)**. Ebenso **20, 30, 40, 90, 99, 100** = **Tagged (T)**.
   *(In der „Edit"-Maske oft per Klick durch die Zustände U → T → leer, oder Auswahl „Active/Tagged Member".)*
4. Sicherstellen: Port `<PORT>` ist bei den **anderen** VLANs **nicht** ungewollt untagged.
5. **Apply/OK** je VLAN.

### 3) Persistieren (sonst nach Reboot weg!)
- Oben rechts das **Save**-Symbol (Disketten-Icon) klicken → schreibt Running→Startup.
  *(CLI-Äquivalent wäre `save`.)*

## Verifikation
- **VLAN → Membership**: Port `<PORT>` = U bei VLAN1, T bei 10/20/30/40/90/99/100.
- Switch-UI weiter erreichbar (https://10.40.41.239) → **kein Lockout**.
- WLAN **BF-Main** (vlan1) am hAP funktioniert unverändert (Client bekommt weiter FB-DHCP).
- Optional Gegencheck per CLI (Telnet, 1 VTY, sauber ausloggen): `show vlan`, `show running-config` → der Port zeigt `switchport ... vlan ...`.

## Sonderfall ap2 (Port 8 ist live!)
ap2 hängt hinter dem **TL-SG108E** am **Core-Port 8**, der **.10/.167/.247 trägt**. Optionen:
- **Jetzt nichts tun** — ap2 funkt „BF-Main" untagged auf vlan1 über den bestehenden Pfad (fürs Flach-WLAN-Testen reicht das).
- **Sauber (empfohlen vor Phase B):** ap2 in einem Wartungsfenster an einen **freien Core-Port** (z.B. Port 3) umstecken → diesen Port nach genau dieser Anleitung trunken. Dann muss der TL-SG108E nicht 802.1Q können.
- Trunk über Port 8 (TL-SG108E müsste taggen) = fummelig → **nicht empfohlen**.

## Offen / von dir bestätigen
- [ ] **ap1-Port** = wirklich Port **2**? (sonst `<PORT>` anpassen)
- [ ] **ap2-Verkabelung**: Port 8 lassen vs. an freien Core-Port umstecken?
- [ ] Jetzt schon Trunk vorbereiten (safe) oder erst zum Phase-B-Cutover?