Christoph Emsenhuber
a58d419747
- Neues CLI-Script 04-vlan50-media-untrusted.cli ausgeführt + verifiziert: VLAN 40 umbenannt UNTRUSTED→MEDIA, VLAN 50 angelegt (UNTRUSTED), GE1/GE2 um VLAN 50 ergänzt; GE8 war bereits Trunk, VLAN 50 auto-includiert. - Docs: teilprojekte.md TP1 als FERTIG markiert, Ist-Stand aktualisiert, VLAN-Gotcha entfernt. core-switch-prep.md Phase A/TP1 Stand ergänzt, Switch-IP .239→.11 korrigiert. CLAUDE.md Gotcha aktualisiert, IP korrigiert. - CLI-REFERENCE.md: VLAN-Namen 40=MEDIA, 50=UNTRUSTED. Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>
56 lines
2.5 KiB
Markdown
56 lines
2.5 KiB
Markdown
# BF-Netzwerk — Projekt-Kontext (auto-read)
|
|
|
|
**Standort BF:** VLAN-segmentiertes Heimnetz auf MikroTik/RouterOS. Ziel: CAKE/QoS gegen Bufferbloat,
|
|
DNS/DHCP-Ablösung, WLAN via CAPsMAN, Firewall Least-Privilege, Multi-Site VPN.
|
|
|
|
**Für jede TP-Session: zuerst `docs/teilprojekte.md` lesen** — enthält kanonischen Stand, Scope, Abhängigkeiten
|
|
und Reihenfolge aller Teilprojekte. Kein anderer Kontext nötig.
|
|
|
|
---
|
|
|
|
## VLAN-Modell (kanonisch)
|
|
| VLAN | Name | Subnetz | Zweck |
|
|
|---|---|---|---|
|
|
| 10 | MAIN | 10.40.10.0/24 | Trusted (Handy/Laptop) |
|
|
| 20 | INFRA | 10.40.20.0/24 | NAS/VMs/Docker/HA |
|
|
| 30 | IOT | 10.40.30.0/24 | Smart-Home |
|
|
| 40 | MEDIA | 10.40.40.0/24 | Sonos/AppleTV/TV/Cast |
|
|
| 50 | UNTRUSTED | 10.40.50.0/24 | Konsole/Low-Trust |
|
|
| 90 | GUEST | 10.40.90.0/24 | nur Internet |
|
|
| 99 | MGMT | 10.40.99.0/24 | Switch/AP/Hypervisor-Mgmt |
|
|
| 100 | WAN | (FB-Transfer) | zur FritzBox |
|
|
|
|
GW je VLAN = `.1` · APs: ap1=`.1`, ap2=`.2` · Switches: ALLNET=`.11`, Omada=`.12`
|
|
|
|
---
|
|
|
|
## Hardware & Zugang
|
|
| Gerät | IP | Zugang |
|
|
|---|---|---|
|
|
| ALLNET Core-Switch (sw1) | 10.40.41.11 (interim, VLAN1) | `telnet 10.40.41.11` · User: `claudecode` · PW: `switch/.secrets` |
|
|
| hAP ax² #1 (ap1) | 10.40.41.1 | MikroMCP (live) |
|
|
| hAP ax² #2 (ap2) | 10.40.41.2 | MikroMCP (live) |
|
|
| NAS (nas-bf) | 10.40.41.10 | SSH |
|
|
| pve (Mac mini) | 10.40.41.167 | `ssh 10.40.41.167` |
|
|
| FritzBox 6660 | 10.40.41.254 | Web-UI (Telefon bleibt dort) |
|
|
|
|
---
|
|
|
|
## Tooling
|
|
- **MikroTik (hAP ax²):** MikroMCP-Server live verbunden → `mcp__mikromcp__*`-Tools verwenden.
|
|
Reads immer safe; Writes mit `dryRun:true` previwen, dann `apply_plan`.
|
|
- **ALLNET-Switch:** kein MCP — nur Telnet-CLI (IOS-artig, FW 2.2.1). Runner:
|
|
`cd ~/dev/bf-network-r6/switch && . ./.secrets && expect cli/run-cli.exp cli/<datei>.cli`
|
|
Klickanleitungen in `switch/ui-guides/` für manuelle Schritte.
|
|
- **Omada-Switch:** noch standalone, kein Controller; Creds in `omada/.secrets`.
|
|
|
|
---
|
|
|
|
## Kritische Gotchas
|
|
- **ALLNET: nur 1 Telnet-VTY** — stale Sessions blockieren ~15 min. Sauber ausloggen (`exit exit`), nie hammern.
|
|
- **`save` nicht vergessen** nach ALLNET-Änderungen (sonst nach Reboot weg).
|
|
- **hAP ax² hat 128 MB Flash, kein USB** → Container NICHT auf dem Router; Container laufen auf NAS/pve.
|
|
- **ALLNET VLAN-DB final (TP1 ✅):** 40=MEDIA, 50=UNTRUSTED; GE1/GE2/GE8 alle als Trunk mit 10/20/30/40/50/90/99/100.
|
|
- **Mesh = NEIN** (beide APs haben wired Trunk-Uplink → Loop-Risiko).
|
|
- mgmt-VLAN-Wechsel am Switch = Lockout-Risiko: VLAN muss existieren + Port muss es tragen, in einem Schritt.
|