Christoph Emsenhuber
b93514a045
docs/routerboot-firmware-klickanleitung.md: Schritt-fuer-Schritt fuer WinBox. RouterOS ist auf allen vier bereits 7.24, nur der Bootloader haengt zurueck (core/branch 7.19.5, ap1/ap2 7.23.2 -- live erhoben). Der Weg geht per Hand, weil `/system routerboard upgrade` interaktiv nachfragt: MikroMCP blockt ihn per Deny-Policy, und Netmiko bekommt den Prompt statt einer Antwort und quittiert mit E3001 bei LEERER Fehlermeldung. Auf core/branch waere ein Scheduler-Umweg moeglich, auf den APs nicht (device-mode=home sperrt ihn). Reihenfolge ap1 -> ap2 -> core -> branch mit Ausfall je Geraet; branch zuletzt, weil der Arbeitsplatz per Kabel daran haengt. Dazu Gegenprobe-Einzeiler fuer alle vier und die Falle, dass ohne Schritt 7 (Reboot) `Current Firmware` alt bleibt. Aus der Parallelsession dazugekommen: - TP5 Etappe 3 UND 4 sind abgenommen, beide Auto-Reverts abbestellt. Die Abnahmen stehen in den Skriptkoepfen: forward-Drop hat in der Testphase 11 Pakete gefressen, ausschliesslich die eigene pve->branch:22-Sonde; beim input-Drop war es reines Broadcast-Rauschen (NetBIOS, SSDP). Der GC-Deploy-Pfad wurde als Pfadbeweis mitgetestet (nautobot-worker -> ap2:22 = SUCCESS). - E4-Nachtrag: MNDP und CAPWAP muessen in den input. Die CAPs finden ihren Manager per Layer-2-Discovery (`current-caps-man-address` ist eine MAC, keine IP) -- bestehende Sitzungen laufen ueber seal-est weiter, der Bruch schluege also erst beim naechsten AP- oder Manager-Neustart zu. - TP19 NTP: alle drei Nicht-Core-Geraete fragten einen Zeitserver, den es nicht gab (`status=waiting`, branch hatte gar keinen). ap2 war 17 Stunden nach und hat einen Logeintrag von 04:57 als 12:19 gestempelt -- geraeteuebergreifende Korrelation war damit wertlos. Core wird Zeitquelle, die drei werden Clients. - Template: `/ip service` exportiert `available-from=`, nicht `address=`. Das Soll war falsch und das Geraet hatte recht -- vier Dauer-Drifts. Und `hw-offload` fliegt aus dem Firewall-Renderer, weil REST es meldet und /export es weglaesst. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
35 lines
2.1 KiB
Plaintext
35 lines
2.1 KiB
Plaintext
# NTP: den Core zur Zeitquelle des Standorts machen.
|
|
#
|
|
# BEFUND (2026-08-18, beim TP19-Abschluss gefunden):
|
|
# ap1 ntp client -> 10.40.99.1, status=waiting, Uhr zufaellig noch richtig
|
|
# ap2 ntp client -> 10.40.99.1, status=waiting, Uhr **17 Stunden nach**
|
|
# branch ntp client -> gar keiner, status=stopped
|
|
# core /system ntp server = enabled:no
|
|
# Alle drei fragen also einen Zeitserver, den es nicht gibt ("waiting" heisst
|
|
# genau das). ap2 ist nur der erste, der sichtbar weggelaufen ist — die anderen
|
|
# folgen.
|
|
#
|
|
# WARUM DAS MEHR ALS KOSMETIK IST: Geraete-Logs sind das Hauptwerkzeug in diesem
|
|
# Projekt (TP5 lebt vom Kollektor). Beim Pfadbeweis heute nacht hat ap2 einen
|
|
# Logeintrag von 04:57 als "2026-08-17 12:19" gestempelt — eine Korrelation
|
|
# ueber mehrere Geraete ist damit wertlos.
|
|
#
|
|
# WEG: der Core hat als einziger eine verlaessliche Zeit (WAN + DoH). Er wird
|
|
# Server, die drei anderen bleiben/werden Clients auf 10.40.99.1. Kein Geraet
|
|
# braucht dafuer Internet.
|
|
#
|
|
# ⚠️ Die input-Regel ist Pflicht: seit Etappe 4 endet `input` mit einem Drop.
|
|
# Ohne sie waere der NTP-Server eingeschaltet und trotzdem unerreichbar —
|
|
# derselbe stille Fehlschlag wie bisher, nur eine Ebene tiefer.
|
|
#
|
|
# Push: python3 nautobot/gc-manual-plan.py --device crs326-core \
|
|
# --commands-file routeros/tp19-ntp-core-als-zeitquelle.rsc \
|
|
# --change-id TP19-NTP --deploy \
|
|
# --assert '/system/ntp/server|enabled=true'
|
|
# ---------------------------------------------------------------------------
|
|
|
|
:do { /system ntp server set enabled=yes } on-error={ :log info "tp19ntp: 01 server warf" }
|
|
:do { :if ([:len [/ip firewall filter find comment="TP5-E4: ntp"]] = 0) do={ /ip firewall filter add chain=input action=accept in-interface-list=LAN protocol=udp dst-port=123 comment="TP5-E4: ntp" place-before=[/ip firewall filter find comment="TP5: input log-only"] } } on-error={ :log info "tp19ntp: 02 fw warf" }
|
|
|
|
:log info ("tp19ntp: ENDE server-enabled=" . [:tostr [/system ntp server get enabled]] . " fw-regel=" . [:tostr [:len [/ip firewall filter find comment="TP5-E4: ntp"]]])
|