Christoph Emsenhuber
1eabd0434b
Der Deny-by-default arbeitete korrekt — es gab nie eine vlan10->vlan30-Zeile. Offen waren nur MAIN->MEDIA, MAIN->INFRA, MAIN->MGMT; IOT fehlte als einziges Paar. Neue Regel voll einbahnig ohne Portfilter (User-Entscheid): MAIN steht zu INFRA/MEDIA/MGMT ohnehin ungefiltert offen, und dort liegen NAS/Proxmox/Nautobot. IOT->MAIN bleibt bewusst zu — dort sitzt der Wert der Segmentierung. Merkregel aus dem Drop-Log: der Drucker faellt mit udp/161 auf, nicht mit 631. macOS fragt zuerst den SNMP-Status ab und bricht ab, bevor es zu IPP kommt — eine Whitelist auf 631 haette nichts repariert. Abnahme von 10.40.10.82 (der Quelle aus dem Log): .30.5 ICMP 0% Loss, snmpget sysName.0 -> P750W, tcp/631+9100+80 offen; Shellys .30.202/.203/.221 HTTP 200. Compliance 92/92, 0 Drifts. Seit dem Deploy keine neue vlan10->vlan30-Zeile im Kollektor. Nebenbei: gc-manual-plan.py --assert URL-encodet die Query jetzt. Ein Kommentar mit Leerzeichen warf InvalidURL erst NACH dem erfolgreichen Deploy — man steht mit einem Traceback da und weiss nicht, ob der Change gewirkt hat. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
bf-network-r6
BF-Netzwerk-Migration (Variante R6+C2). 2× MikroTik hAP ax² + Core ALL-SG8316M.
SSOT & Übergabe: HANDOVER.md — kompletter Status, Architektur + Begründungen, Phasen, Gotchas, Zugänge.
Plan-Origin: ~/.claude/plans/welche-kosteng-nstigen-alternativen-zu-memoized-sparkle.md
Struktur:
docs/vlan-plan.md— VLAN-/Adressplan (final)docs/core-switch-prep.md— Core-Switch Status & Phasendocs/firmware-flash-runbook.md— FW-Flash Historieswitch/cli/CLI-REFERENCE.md— bestätigte CLI-Syntaxswitch/cli/*.cli/*.exp— reproduzierbare Konfig-Scriptsinventory/bf.csv/bf.md— IP-Doku (aus IPs.xlsx gespiegelt)inventory/bf-core-ports.csv/.md— Switch-Port-Map
Aktueller Stand (2026-06-09):
- Phase A (VLAN-Vorbereitung) ✅ abgeschlossen
- Phase B (hAP-Cutover) ⏳ wartet auf MikroTik-Lieferung
- Phase C (Firewall) + Phase D (Adress-Migration) ausstehend