bf-infra/routeros/HANDOVER-wifi.md

Übergabe-Prompt: hAP ax² WLAN/CAPsMAN-Setup (BF)

Du übernimmst die WLAN-Einrichtung von zwei MikroTik hAP ax². ARBEITE DOKU-GEGRÜNDET
(MikroTik RouterOS 7 "wifi"/CAPsMAN, help.mikrotik.com) — KEINE Trial-and-Error-Schleifen.
Lies ZUERST die Doku zu: /interface/wifi, CAPsMAN, configuration, datapath, security,
channel, provisioning. Verstehe das "bound"-Konzept, BEVOR du etwas änderst.

ZIEL
- ap1 = CAPsMAN-Manager + AP, ap2 = CAP (zieht Config von ap1).
- Erst ein TEST-WLAN auf dem aktuellen FLAT-Netz (Bridge, KEIN VLAN), SSID "BF-Main"
  (Name egal). Verifiziere: Client verbindet, Roaming ap1<->ap2.
- Bänder: wifi1 = 5 GHz (5ghz-ax), wifi2 = 2,4 GHz (2ghz-ax) — verifiziert.
- WPA3-only für BF-Main ist gewünscht/ok. Country = Austria. Temp-Passphrase (User
  setzt echte später), z.B. "BFtest-2026-tmp".

ZUGANG
- ap1 = 10.40.41.1, ap2 = 10.40.41.2. user=admin pw=46484b9952#P
- REST über HTTP funktioniert: curl -s -u 'admin:46484b9952#P' http://10.40.41.1/rest/interface/wifi
  ACHTUNG: nested-set via REST ({"channel":{"band":..}} bzw. "channel.band") hat beim
  Vorgänger NICHT zuverlässig gegriffen (kam als None zurück). Lieber SSH/CLI ODER
  korrekten REST-Pfad aus der Doku verifizieren.
- SSH geht (1. Login fragt "software license? [Y/n]" -> n). Tools: telnet/expect (macOS).
  Python 3.14 hat KEIN telnetlib.

STAND
- Beide auf RouterOS 7.23.1 + RouterBOOT 7.23.1, Identity ap1/ap2, Mgmt-IP .1/.2 auf der
  Bridge (untagged vlan1). Default-Bridge (ether2-5 + wifi). ether1=WAN ungenutzt. Uplink=ether2.

DAS PROBLEM (Kern!)
- Vorgänger hat CAPsMAN halb aufgesetzt (auf ap1: security/datapath/configuration/
  provisioning; auf ap2: cap). Kopplung lief (ap2 bei ap1 registriert, state=Ok).
- ABER die wifi-Interfaces sind "bound=true" (CAPsMAN-gebunden) -> lokale
  `set channel.band/configuration.*` werden IGNORIERT -> channel=None, running=false,
  es funkt NICHTS. Auch nach `capsman/cap disable` + `provisioning remove` blieb bound=true.
- VERMUTUNG (DOKU PRÜFEN!): Im CAPsMAN-Modell gehört Band/Kanal in die configuration bzw.
  in ein /interface/wifi/channel-Profil + provisioning mit supported-bands (je Radio das
  passende Config). cfg-test hatte KEINEN Kanal -> gebundene Interfaces ohne Kanal -> aus.
  Klär aus der Doku: wie löst man "bound" sauber (ggf. komplettes Reset der wifi-Config,
  ggf. Reboot/Power-Cycle), und wie setzt man Band/Kanal im CAPsMAN-Modell korrekt.

ZU TUN
1. wifi-Config sauber entwirren (bound lösen). Sauberer Reset ODER korrekt über CAPsMAN.
2. Test-WLAN BF-Main hochbringen (beide Bänder, beide APs, gleiche SSID), Client testen,
   Roaming testen. (Standalone-inline ist erlaubt, falls CAPsMAN für den Schnelltest zickt
   — User will aber eigentlich CAPsMAN: ap2 zieht von ap1.)
3. ERST danach SSID->VLAN (datapath vlan-id) — nutzbar aber erst NACH Router-Cutover.

CONSTRAINTS / SAFETY
- HEUTE/aktuell NICHTS Riskantes, KEIN Router-Cutover. Nur WLAN-Test.
- APs tragen noch keinen Haushalts-Traffic; das Hauptnetz läuft über die FritzBox (unberührt).
- User ist ein paar Tage außer Haus, arbeitet remote mit. Beide APs an SCHALTBAREN
  Steckdosen (Remote-Not-Aus) -> bei riskanten Änderungen IMMER Auto-Rückfall-Timer setzen
  (/system scheduler, der nach X Min zurückstellt, außer du bestätigst).
- Mgmt der APs (.1/.2 auf Bridge/vlan1) NICHT aussperren.

KONTEXT/REPO
- ~/dev/bf-network-r6/ : Gesamt-Übergabe HANDOVER.md, VLAN-Plan docs/vlan-plan.md,
  geplante (noch NICHT verifiziert korrekte) Configs routeros/ap1-manager.rsc / ap2-cap.rsc,
  IP-Plan: .1-10 Router/APs, .11-20 Switches; VLANs 10/20/30/40/90/99/100.

ERWARTUNG: präzise nach Doku, keine Rate-Schleifen. Bei Unklarheit: Doku-Stelle nennen, dann handeln.