Christoph Emsenhuber
c23628f62f
ap3 trug auf wifi1/wifi2 einen Werks-Inline security.ft=yes (Bring-up-Skript tp28-ap3-phase2-cap.rsc unset !ft-over-ds, aber nicht !ft; Abnahme zaehlt nur benannte security-Objekte -> Inline-Wert unsichtbar). Gemischtes FT-ESS = Strong-Signal-Abbrueche (-43/-45 dBm) NUR auf ap3 bei 3/3 Strichen. Live per !security.ft geradegezogen (uniform ft=no), Bring-up-Quelle korrigiert. Kanalplan committed: Template auf DFS-Frequenzlisten (ch-5g-ap1=5260,5280, ch-5g-ap2=5300,5320) + ap1-Provisioning-Zeilen (radio-mac ...E5/...E6) wieder aufgenommen. Push nach bf-golden-config + GitRepo-Sync + refresh-compliance -> 140/140, 0 Drifts; Transaktion TP25-kanalplan-ap1-live committed. Doku: Ist-Stand, Fund-E-Block, CLAUDE.md Punkt 5 (Merkregel: nach jeder sec-main-FT-Aenderung jeden CAP einzeln auf security.ft pruefen). Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
129 lines
8.5 KiB
Plaintext
129 lines
8.5 KiB
Plaintext
# =====================================================================================
|
|
# ap3 (cAP ax) — PHASE 2: aus dem Standalone-Werksgeraet einen reinen CAP machen.
|
|
# TP28-Nachtrag, 2026-08-30.
|
|
#
|
|
# LAEUFT UEBER vlan99 (10.40.99.13), NICHT ueber das Werks-WLAN -- denn hier stirbt das
|
|
# Werks-WLAN. Erst ausfuehren, wenn `ping 10.40.99.13` vom Core sauber durchgeht.
|
|
# =====================================================================================
|
|
|
|
# --- (1) Werks-WLAN und Standalone-Reste abraeumen.
|
|
# 🔴 REIHENFOLGE IST PFLICHT: `configuration` referenziert security/datapath/channel.
|
|
# Wer die Referenzierten zuerst loescht, bekommt einen Fehler und laesst einen
|
|
# Teil-Zustand zurueck.
|
|
# 🔴 `[find !dynamic]` waere hier ein SYNTAXFEHLER -- diese Objekte haben gar keine
|
|
# `dynamic`-Eigenschaft, die gibt es nur auf /interface wifi selbst. Ein frueherer
|
|
# Versuch lief deshalb komplett in die on-error-Zweige, aenderte NICHTS und meldete
|
|
# trotzdem Erfolg (Lehre aus tp28-ap-wifi-reste-abraeumen.rsc, 2026-08-18).
|
|
/interface wifi capsman set enabled=no
|
|
/interface wifi remove [find where !(name=wifi1 || name=wifi2)]
|
|
/interface wifi configuration remove [find]
|
|
/interface wifi steering remove [find]
|
|
/interface wifi security remove [find]
|
|
/interface wifi datapath remove [find]
|
|
/interface wifi channel remove [find]
|
|
# Werks-Inline-Overrides auf den Master-Radios loeschen, sonst gewinnen sie gegen den Manager.
|
|
# 🔴 `!security.ft` MUSS mit dabei sein: die Werks-cAP-Radios kommen mit ft=yes; ohne diesen
|
|
# unset bleibt er stehen und sendet dirtyvader-main mit FT, waehrend ap1/ap2 (ft geerbt=no)
|
|
# es nicht tun -> gemischtes FT-ESS, Strong-Signal-Abbrueche NUR auf ap3. Genau das war der
|
|
# Fall am 2026-09-04: die Abnahme unten zaehlt nur BENANNTE security-Objekte (=0) und sieht
|
|
# den Inline-Wert auf wifi1/wifi2 nicht. Nachtraeglich behoben 2026-09-04.
|
|
/interface wifi set [find name=wifi1] !configuration.ssid !security.authentication-types !security.passphrase !security.ft !security.ft-over-ds
|
|
/interface wifi set [find name=wifi2] !configuration.ssid !security.authentication-types !security.passphrase !security.ft !security.ft-over-ds
|
|
|
|
# --- (2) L3-Reste des Werks-Routers weg (jetzt gefahrlos: die WLAN-Sitzung ist ohnehin tot) ---
|
|
/ip dhcp-server remove [find]
|
|
/ip dhcp-server network remove [find]
|
|
/ip pool remove [find]
|
|
/ip firewall nat remove [find]
|
|
/ipv6 dhcp-client remove [find]
|
|
/ip address remove [find where interface=bridge]
|
|
|
|
# --- (3) Bridge-Ports. cAP ax hat nur ZWEI Ethernet-Ports; ether2 traegt PoE-out und
|
|
# haengt nichts -> aus, wie ap1/ap2 es mit ihrem PoE-Port halten. ether2 wird
|
|
# KEIN Bridge-Port (Zielzustand identisch zu ap2) -> ap.extra_ports = [].
|
|
/interface ethernet set [find name=ether2] poe-out=off
|
|
/interface bridge port remove [find where interface=ether2]
|
|
:if ([:len [/interface bridge port find where interface=wifi1]]=0) do={ /interface bridge port add bridge=bridge comment=defconf interface=wifi1 }
|
|
:if ([:len [/interface bridge port find where interface=wifi2]]=0) do={ /interface bridge port add bridge=bridge comment=defconf interface=wifi2 }
|
|
|
|
# --- (4) Bridge-VLAN-Tabelle, Muster = ap2 live (2026-08-30 gelesen).
|
|
# IOT (30) nur auf wifi2: die Zone hat bands=["2g"] (ConfigContext ap-common).
|
|
# MGMT (99) liegt auf der Bridge, NICHT auf den Radios -- sonst waere Management
|
|
# over-the-air.
|
|
/interface bridge vlan remove [find where !dynamic]
|
|
/interface bridge vlan add bridge=bridge untagged=bridge,ether1 vlan-ids=1
|
|
/interface bridge vlan add bridge=bridge tagged=ether1,wifi1,wifi2 vlan-ids=10
|
|
/interface bridge vlan add bridge=bridge tagged=ether1,wifi1,wifi2 vlan-ids=20
|
|
/interface bridge vlan add bridge=bridge tagged=ether1,wifi2 vlan-ids=30
|
|
/interface bridge vlan add bridge=bridge tagged=ether1,wifi1,wifi2 vlan-ids=40
|
|
/interface bridge vlan add bridge=bridge tagged=ether1,wifi1,wifi2 vlan-ids=50
|
|
/interface bridge vlan add bridge=bridge tagged=ether1,wifi1,wifi2 vlan-ids=90
|
|
/interface bridge vlan add bridge=bridge tagged=ether1,bridge vlan-ids=99
|
|
|
|
# --- (5) CAP-Modus.
|
|
# 🔴🔴 `slaves-datapath` IST NICHT OPTIONAL. Der Manager schickt `datapath.bridge=bridge`
|
|
# zwar mit, der CAP uebernimmt davon aber NUR die vlan-id -- die Bridge-Mitgliedschaft
|
|
# bleibt lokal. Fehlt das Objekt, assoziieren Clients auf iot/media/untrusted/guest
|
|
# sauber und bekommen NIE DHCP, waehrend dirtyvader-main (Master-Radios = statische
|
|
# Bridge-Ports) weiterlaeuft. Genau so lagen IOT+MEDIA am 2026-08-18 rund 14 Stunden.
|
|
# Das Objekt traegt bewusst KEINE vlan-id: die liefert der Manager pro VAP.
|
|
/interface wifi datapath add name=dp-caps-slaves bridge=bridge comment="TP28-fix: bridge fuer CAPsMAN-Slave-VAPs"
|
|
/interface wifi cap set enabled=yes discovery-interfaces=vlan99 slaves-datapath=dp-caps-slaves
|
|
# 🔴 `cap enabled=yes` REICHT NICHT. Jedes Master-Radio muss zusaetzlich selbst auf
|
|
# `configuration.manager=capsman` stehen, sonst BIETET der CAP seine Radios dem
|
|
# Manager gar nicht an. Symptom (2026-08-30 live aufgeschlagen): `remote-cap print`
|
|
# zeigt `state=Ok`, aber `/interface wifi radio print` am Manager listet fuer dieses
|
|
# Geraet NICHTS -- und weil die Provisioning-Regel dann nicht matcht, sucht man den
|
|
# Fehler in der radio-mac statt an dieser Stelle. ap1/ap2 tragen es seit dem
|
|
# TP28-Cutover, im Werkszustand ist es leer (= local).
|
|
/interface wifi set [find name=wifi1] configuration.manager=capsman
|
|
/interface wifi set [find name=wifi2] configuration.manager=capsman
|
|
|
|
# --- (6) Selbstabnahme INS LOG, nicht auf die Konsole. ---
|
|
# Sie steht bewusst VOR dem vlan-filtering: danach kann die Sitzung abreissen, und
|
|
# eine `:put`-Ausgabe waere dann verloren. `:log info` ueberlebt und ist spaeter
|
|
# ueber `/log print where message~"tp28-ap3"` nachlesbar.
|
|
# 🔴 Erwartet ist NICHT "alles 0": `datapath` MUSS 1 sein (dp-caps-slaves, s. Punkt 5).
|
|
# Ein CAP, der 0 Datapaths hat, ist der 14-Stunden-Ausfall vom 2026-08-18.
|
|
:local sec [:len [/interface wifi security find]]
|
|
:local cfg [:len [/interface wifi configuration find]]
|
|
:local dpt [:len [/interface wifi datapath find]]
|
|
:local chn [:len [/interface wifi channel find]]
|
|
:local mgr [:len [/interface wifi find where name~"^wifi[12]\$" and configuration.manager=capsman]]
|
|
# ⚠️ RouterOS kennt KEINEN ternaeren Operator (`a ? b : c` = syntax error, am
|
|
# 2026-08-30 am Geraet gegengeprueft). Verdikt deshalb ueber :if/:set.
|
|
:local verdikt "OK"
|
|
:if ($sec!=0 || $cfg!=0 || $chn!=0) do={ :set verdikt "ABWEICHUNG-lokale-wifi-objekte" }
|
|
:if ($dpt!=1) do={ :set verdikt "ABWEICHUNG-slaves-datapath" }
|
|
:if ($mgr!=2) do={ :set verdikt "ABWEICHUNG-manager-nicht-auf-radios" }
|
|
:log info ("tp28-ap3 abnahme: security=$sec/0 configuration=$cfg/0 channel=$chn/0 datapath=$dpt/1 radios-mit-manager=$mgr/2 => $verdikt")
|
|
|
|
# --- (7) ZULETZT scharf schalten. Vorher waere der Rest der Datei nicht angekommen. ---
|
|
/interface bridge set [find name=bridge] vlan-filtering=yes
|
|
|
|
:log info "tp28-ap3 phase2: CAP aktiv, Manager-Suche auf vlan99, vlan-filtering=yes"
|
|
|
|
# =====================================================================================
|
|
# ABNAHME NACH DEM IMPORT -- zwei Orte, und der zweite ist der eigentliche Beweis.
|
|
#
|
|
# (a) AM ap3 selbst, das Ergebnis von Punkt (6):
|
|
# /log print where message~"tp28-ap3 abnahme"
|
|
# Sollwerte: security=0 configuration=0 channel=0 datapath=1 radios-mit-manager=2
|
|
# security/configuration/channel = 0 belegt, dass die Werks-Inline-Overrides weg sind
|
|
# und der CAP nichts Eigenes haelt -- CAPsMAN haelt die Credentials, nicht das Geraet.
|
|
# Gegenprobe am Bestand (2026-08-30 gelesen): ap2 zeigt security=0, configuration=0.
|
|
#
|
|
# (b) 🔴 AM MANAGER crs326-core -- OHNE DIESEN SCHRITT IST DIE ABNAHME WERTLOS:
|
|
# /interface wifi radio print
|
|
# Erwartet sind ZWEI Zeilen mit CAP `ap3@...`, z.B. cap-wifi5 + cap-wifi6.
|
|
# Grund: `remote-cap print` meldet `state=Ok`, SOBALD der CAP verbunden ist -- auch
|
|
# dann, wenn er seine Radios gar nicht anbietet. Genau diese Verwechslung hat am
|
|
# 2026-08-30 in die radio-mac statt in `configuration.manager` schauen lassen.
|
|
# Und `state=Ok` ohne Provisioning-Regel bedeutet weiterhin Funkstille: so steht ap1
|
|
# seit dem 2026-08-30 da -- verbunden, gelistet, und trotzdem sendet er nicht.
|
|
#
|
|
# (c) Erst danach die WLAN-Abnahme, die wirklich zaehlt: eine frische DHCP-Lease
|
|
# PRO SSID -- nicht die Registration-Table. Waehrend des Ausfalls am 2026-08-18
|
|
# zeigte die 25 zufriedene IOT-Clients, die keine Adresse hatten.
|
|
# =====================================================================================
|