bf-infra/docs/ip-plan.md

AP — IP-Plan BF (per-Gerät, Ziel-VLAN-Subnetze)

Eigenständiges Arbeitspaket. Hier definieren wir die finalen statischen IPs je Gerät in den Ziel-VLANs. Voraussetzung (✅ erfüllt 2026-06-16): Routing VLAN1 ↔ übrige VLANs steht (statische Route auf der FB → 10.40.41.1), ap1-NAT nimmt LAN-internes aus (srcnat accept 10.40.0.0/16). Erst bestätigte Zeilen werden migriert. Status: 🟡 Entwurf — Vorschläge zum Festklopfen.

Konventionen

• Host-Oktett möglichst beibehalten (weniger Churn in DNS/Configs): z.B. NAS .10 → 10.40.20.10.
• GW je VLAN = .1 (ap1). Pools .100–.200 = DHCP → statische Geräte außerhalb des Pools (.2–.99).
• Zuordnung: VLAN20 INFRA = NAS/VMs/Docker/HA/Services + Hypervisor (User-Entscheid 2026-06-16: pve/DS923 sind Infra und Hypervisor → INFRA) · VLAN99 MGMT = nur Netz-Gear-Mgmt (Switch/AP) · VLAN10 MAIN = trusted Clients · VLAN40 MEDIA = Sonos/AppleTV/TV.
• Pro migriertem Gerät: (1) IP am Gerät selbst umstellen, (2) DHCP-Reservierung/Static pflegen, (3) DNS bf.lan-Eintrag auf ap1 updaten, (4) Reachability prüfen.

Geräte-Tabelle (Vorschlag → bestätigen)

Gerät	aktuell (VLAN1)	Rolle	Ziel-VLAN	Vorschlag IP	bestätigt	Notizen
ap1 (Router/hAP)	10.40.41.1	Router/GW	alle (.1) + Mgmt	bleibt .1 je VLAN; Mgmt 10.40.99.1	⬜	ist GW, kein „Umzug"
ap2 (hAP)	10.40.41.2	AP	99 MGMT	10.40.99.2	⬜
sw1 ALLNET (Core)	10.40.41.11	Switch-Mgmt	99 MGMT	10.40.99.11	⬜	Mgmt-VLAN-Wechsel = Lockout-Risiko, sorgsam
sw2 Omada (ES208G)	10.40.41.12	Switch-Mgmt	99 MGMT	10.40.99.12	⬜
NAS nas-bf (DS923)	10.40.41.10	INFRA	20 INFRA	10.40.20.10	⬜	🔴 Geblockt: CF Zero Trust angepasst + TP10 (VPN auf ap1) abgeschlossen
Omada-Controller	10.40.41.175	Service (macvlan/DS923)	20 INFRA	10.40.20.175	⬜	🔴 Geblockt: macvlan auf DS923 → folgt NAS (gleicher Block)
omada-mcp	10.40.41.176	Service (pve-LXC)	20 INFRA	10.40.20.176	⬜	⚠️ Mgmt-Ebene
pve-mcp	10.40.41.173	Service (pve)	20 INFRA	10.40.20.173	⬜	⚠️ Mgmt-Ebene
Docker-LXC	10.40.41.126	Docker-Host (pve)	20 INFRA	10.40.20.126	⬜	Portainer/Komodo
Proxmox pve	10.40.41.100	Hypervisor+INFRA	20 INFRA	10.40.20.100	⬜	User: Hypervisor zählt zu INFRA (wie DS923)
Mac mini	10.40.41.167	INFRA/Server	20 INFRA	10.40.20.167	✅ live	umgezogen; Omada P7 + Access-INFRA (VLAN20, ohne VLAN1) ✅
FritzBox 6660	10.40.41.254	WAN/Transfer	bleibt VLAN1/Transfer	10.40.41.254	⬜	wird Modem nach Bridge (TP10)

Weitere Geräte (Home Assistant, HA-IoT, Drucker-Reservierung, etc.) hier ergänzen, sobald relevant.

Migrations-Reihenfolge & Risiko

Phase 1 — INFRA, sofort möglich (✅ Mac mini schon live)

1. Proxmox pve → 10.40.20.100 (Hypervisor, kein Lockout-Risiko, Management per SSH/Web).
2. Docker-LXC → 10.40.20.126 (Portainer-Host auf pve, folgt pve).
3. pve-mcp → 10.40.20.173 (pve-LXC, folgt pve; MCP-URL in ~/.claude/settings.json updaten).
4. omada-mcp → 10.40.20.176 (pve-LXC, folgt pve; MCP-URL in ~/.claude/settings.json updaten).

Phase 2 — MGMT-Plane, Lockout-Risiko (nach Phase 1, VLANs verifiziert)

5. ap2 → 10.40.99.2 (hAP #2 Mgmt-IP; VLAN99 muss am Port sitzen, in einem Schritt).
6. sw2 Omada (ES208G) → 10.40.99.12 (Controller-Config + Port-VLAN in einem Schritt).
7. sw1 ALLNET → 10.40.99.11 (Telnet-CLI, risikoreichstes Gerät — zuletzt in dieser Phase).

Phase 3 — Geblockt auf CF Zero Trust + TP10

8. NAS nas-bf (DS923) → 10.40.20.10
   • Voraussetzung 1: CF Zero Trust auf neue Ziel-Struktur (VLAN20-Subnetze, neue IPs) angepasst.
   • Voraussetzung 2: TP10 abgeschlossen (VPN-Tunnel 2× WG auf ap1; FB kann Bridge-Mode gehen).
9. Omada-Controller → 10.40.20.175 (macvlan auf DS923 → folgt automatisch mit NAS; kurz Mgmt-Downtime).

Phase 4 — nach TP10

10. FritzBox 6660 → Bridge-Mode (wird zum reinen Modem; IP 10.40.41.254 entfällt als GW).

Abhängigkeiten

• ✅ VLAN1↔VLANx-Routing (FB-Route) · ✅ ap1-NAT-Ausnahme (inter-VLAN ohne SNAT).
• Speist den Rest des Omada-PVID-Fix (P7 macmini→INFRA, P8 NAS→INFRA, P4 nach Klärung) sowie die DNS-bf.lan-Aktualisierung in [project_tp4_router]-Memory.
• NAS + Controller: geblockt auf CF Zero Trust + TP10 (User-Entscheid 2026-06-16).