Christoph Emsenhuber
d68e82d9ae
Neue Compliance-Feature ip-service (17->18 Regeln, 68->72 Checks). Sollzustand einheitlich im Template: ssh/www/winbox/api = 10.40.0.0/16,100.96.0.0/12; ftp/telnet/api-ssl disabled. Deploy gestaffelt (ap2 zuerst, am Geraet gegengeprueft), Job liegt als 'mgmt-acl' in gc-configplan.py. Befund war invertiert: branch/ap1/ap2 hatten GAR KEINE Address-Beschraenkung und waren laengst per Mesh erreichbar; winbox war auf allen vier offen. Aus dem Erreichbarkeits-Fix wurde eine Haertung. ftp/telnet/api-ssl dabei abgeschaltet. CF-Schalter 'Allow all Cloudflare One traffic to reach enrolled devices': recherchiert, bleibt AUS - er oeffnet die Client<->Client-Richtung, unsere laeuft ohne ihn. Kein API-Feld, CF-Docs widersprechen sich (Profil- vs. globale Einstellung). Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Nautobot-Tooling
ingest-baseline.py
Idempotenter Basisdaten-Ingest (Locations, Rollen, Device-Types, Devices, VLANs/Prefixes, ap1-Interfaces + IPs, WLAN-Modelle). Bildet den Ist-Zustand ab, nicht den Zielzustand.
export NAUTOBOT_TOKEN=... # aus docs/nas-vlan20/stacks/210-nautobot.yml (gitignored)
python3 nautobot/ingest-baseline.py # Dry-Run
python3 nautobot/ingest-baseline.py --apply # schreiben
API-Fallen (teuer gelernt)
tagged_vlansliest sich per REST alsnull, obwohl korrekt gespeichert. Verifikation nur über GraphQL:POST /api/graphql/mit{interfaces(device:"ap1"){name mode untagged_vlan{vid} tagged_vlans{vid}}}.- Relationen kommen ohne
?depth=1ohnedisplay→ ein voll gepflegtes Device sieht leer aus. LocationType.content_typesmussipam.vlangroup/ipam.vlan/ipam.prefix/dcim.controllerenthalten, sonst 400 beim Anlegen.parent_interfacenur für virtuelle Interfaces — WLAN-VAPs können ihren Master nicht als Parent tragen.WirelessNetworkhat kein VLAN-Feld; die VLAN-Bindung hängt anwireless/controller-managed-device-group-wireless-network-assignmentsund braucht zwingend einenController(bei uns logisch,controller_deviceleer — kein CAPsMAN).RadioProfile.channel_widthwill Integer ([20,40,80]), nicht"20mhz".- IP↔Interface läuft über
/ipam/ip-address-to-interface/.