# ===== AS-BUILT 2026-06-09: CAPsMAN BF-Main, FLACH (bridge/vlan1, KEIN VLAN) =====
# Angewendet via MikroMCP (run_command). ap1=10.40.41.1 (Manager+AP), ap2=10.40.41.2 (CAP).
# Verifiziert: beide APs, beide Bänder = SSID BF-Main, WPA3-only + FT, state=running, remote-cap Ok.
# WICHTIGSTE LEKTION (kostete den Vorgänger den Erfolg):
#   - "bound=true" ist NORMAL (Master-IF mit Radio+Config), KEIN Fehler.
#   - Ein CAP wird nur provisioniert, wenn auf seinen Interfaces
#       configuration.manager=capsman-or-local  gesetzt ist (default=local → kontaktiert CAPsMAN NIE).
#     Reset setzt es auf default zurück → nach reset neu setzen!
#   - Manager-eigene Radios kann CAPsMAN NICHT via configuration.manager=capsman managen
#     → lokal die Configuration-Profile direkt zuweisen (Doku).

# ---------- ap1 = MANAGER + AP ----------
/interface/wifi/channel
add name=ch-2g band=2ghz-ax width=20mhz
add name=ch-5g band=5ghz-ax width=20/40/80mhz       ;# 5560 (DFS) auto -> 1min CAC; ggf. non-DFS pinnen
/interface/wifi/security
add name=sec-main authentication-types=wpa3-psk passphrase="BFtest-2026-tmp" ft=yes ft-over-ds=yes
/interface/wifi/datapath
add name=dp-main bridge=bridge                       ;# FLACH: nur bridge, kein vlan-id (VLAN kommt nach Cutover)
/interface/wifi/configuration
add name=cfg-main-5g ssid=BF-Main mode=ap country=Austria security=sec-main datapath=dp-main channel=ch-5g
add name=cfg-main-2g ssid=BF-Main mode=ap country=Austria security=sec-main datapath=dp-main channel=ch-2g
/interface/wifi/capsman
set enabled=yes                                      ;# interfaces=bridge, ca/cert auto (waren vorhanden)
/interface/wifi/provisioning
add action=create-dynamic-enabled supported-bands=5ghz-ax master-configuration=cfg-main-5g
add action=create-dynamic-enabled supported-bands=2ghz-ax master-configuration=cfg-main-2g
# ap1 eigene Radios lokal zuweisen (Master kann sich nicht selbst per CAPsMAN managen):
/interface/wifi
reset wifi1 ; set wifi1 configuration=cfg-main-5g disabled=no
reset wifi2 ; set wifi2 configuration=cfg-main-2g disabled=no

# ---------- ap2 = CAP ----------
/interface/wifi
reset wifi1 ; reset wifi2
set wifi1,wifi2 configuration.manager=capsman-or-local   ;# <-- DER SCHLÜSSEL, sonst keine Provisionierung
enable wifi1,wifi2
/interface/wifi/cap
set enabled=yes discovery-interfaces=bridge caps-man-addresses=10.40.41.1

# ---------- Verifikation ----------
# ap1:  /interface/wifi/capsman remote-cap print          -> ap2 STATE=Ok
# ap1:  /interface/wifi monitor wifi1,wifi2 once           -> state=running, SSID BF-Main
# ap2:  /interface/wifi print detail                       -> "managed by CAPsMAN ...", BR (bound+running)
# Backups vorher: pre-capsman-2026-06-09.backup auf beiden APs.