Christoph Emsenhuber
b93514a045
docs/routerboot-firmware-klickanleitung.md: Schritt-fuer-Schritt fuer WinBox. RouterOS ist auf allen vier bereits 7.24, nur der Bootloader haengt zurueck (core/branch 7.19.5, ap1/ap2 7.23.2 -- live erhoben). Der Weg geht per Hand, weil `/system routerboard upgrade` interaktiv nachfragt: MikroMCP blockt ihn per Deny-Policy, und Netmiko bekommt den Prompt statt einer Antwort und quittiert mit E3001 bei LEERER Fehlermeldung. Auf core/branch waere ein Scheduler-Umweg moeglich, auf den APs nicht (device-mode=home sperrt ihn). Reihenfolge ap1 -> ap2 -> core -> branch mit Ausfall je Geraet; branch zuletzt, weil der Arbeitsplatz per Kabel daran haengt. Dazu Gegenprobe-Einzeiler fuer alle vier und die Falle, dass ohne Schritt 7 (Reboot) `Current Firmware` alt bleibt. Aus der Parallelsession dazugekommen: - TP5 Etappe 3 UND 4 sind abgenommen, beide Auto-Reverts abbestellt. Die Abnahmen stehen in den Skriptkoepfen: forward-Drop hat in der Testphase 11 Pakete gefressen, ausschliesslich die eigene pve->branch:22-Sonde; beim input-Drop war es reines Broadcast-Rauschen (NetBIOS, SSDP). Der GC-Deploy-Pfad wurde als Pfadbeweis mitgetestet (nautobot-worker -> ap2:22 = SUCCESS). - E4-Nachtrag: MNDP und CAPWAP muessen in den input. Die CAPs finden ihren Manager per Layer-2-Discovery (`current-caps-man-address` ist eine MAC, keine IP) -- bestehende Sitzungen laufen ueber seal-est weiter, der Bruch schluege also erst beim naechsten AP- oder Manager-Neustart zu. - TP19 NTP: alle drei Nicht-Core-Geraete fragten einen Zeitserver, den es nicht gab (`status=waiting`, branch hatte gar keinen). ap2 war 17 Stunden nach und hat einen Logeintrag von 04:57 als 12:19 gestempelt -- geraeteuebergreifende Korrelation war damit wertlos. Core wird Zeitquelle, die drei werden Clients. - Template: `/ip service` exportiert `available-from=`, nicht `address=`. Das Soll war falsch und das Geraet hatte recht -- vier Dauer-Drifts. Und `hw-offload` fliegt aus dem Firewall-Renderer, weil REST es meldet und /export es weglaesst. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
33 lines
2.2 KiB
Plaintext
33 lines
2.2 KiB
Plaintext
# TP5 Etappe 4 — NACHTRAG: Discovery-Protokolle in den input lassen.
|
|
#
|
|
# BEFUND (2026-08-18, unmittelbar nach dem input-Drop):
|
|
# Die input-Log-Regel fing MNDP-Broadcasts (udp/5678) von crs326-branch
|
|
# (04:F4:1C:B4:15:58), ap1 (D0:EA:11:4D:40:E0/E1) und ap2 (D0:EA:11:4D:40:39/3A).
|
|
#
|
|
# WARUM DAS NICHT HARMLOS IST:
|
|
# `/interface/wifi/cap` auf ap1 zeigt
|
|
# discovery-interfaces: vlan99
|
|
# current-caps-man-address: 04:F4:1C:B4:17:76%vlan99
|
|
# — eine MAC, keine IP. Die CAPs finden ihren Manager also per Layer-2-Discovery
|
|
# auf vlan99, nicht ueber eine konfigurierte Adresse. Ein Drop dieser Pakete
|
|
# bricht die Manager-Findung. Die BESTEHENDEN CAPWAP-Sitzungen laufen weiter
|
|
# (sie sind established und werden von TP10-seal-est akzeptiert), das Problem
|
|
# schlaegt also erst beim naechsten AP- oder Manager-Neustart zu — genau die
|
|
# Sorte Spaetschaden, die man im Log sehen und sofort schliessen will.
|
|
#
|
|
# Sicherheitlich billig: MNDP ist link-lokal (Broadcast, verlaesst das Segment
|
|
# nicht), CAPWAP wird auf vlan99 begrenzt.
|
|
#
|
|
# ⚠️ place-before ist Pflicht: ein blankes `add` haengt hinter den Drop und
|
|
# waere wirkungslos.
|
|
# ---------------------------------------------------------------------------
|
|
|
|
# MNDP. Aus der LAN-Liste, weil es auch die Winbox-Neighbors-Anzeige speist und
|
|
# als Broadcast ohnehin nicht routbar ist.
|
|
:do { :if ([:len [/ip firewall filter find comment="TP5-E4: MNDP discovery"]] = 0) do={ /ip firewall filter add chain=input action=accept in-interface-list=LAN protocol=udp dst-port=5678 comment="TP5-E4: MNDP discovery" place-before=[/ip firewall filter find comment="TP5: input log-only"] } } on-error={ :log info "tp5e4n: 01 mndp warf" }
|
|
|
|
# CAPsMAN/CAPWAP, eng auf das Mgmt-VLAN begrenzt.
|
|
:do { :if ([:len [/ip firewall filter find comment="TP5-E4: CAPsMAN capwap"]] = 0) do={ /ip firewall filter add chain=input action=accept in-interface=vlan99 protocol=udp dst-port=5246,5247 comment="TP5-E4: CAPsMAN capwap" place-before=[/ip firewall filter find comment="TP5: input log-only"] } } on-error={ :log info "tp5e4n: 02 capwap warf" }
|
|
|
|
:log info ("tp5e4n: ENDE mndp=" . [:tostr [:len [/ip firewall filter find comment="TP5-E4: MNDP discovery"]]] . " capwap=" . [:tostr [:len [/ip firewall filter find comment="TP5-E4: CAPsMAN capwap"]]])
|