bf-infra/switch/ui-guides/01-trunk-ap-ports.md

ALLNET ALL-SG8316M — Web-UI-Guide: Trunk-Port für einen hAP-AP

✅ STATUS 2026-06-09: gi1 (ap1) + gi2 (ap2) bereits getrunkt — via Telnet-CLI ausgeführt (switch/cli/03-trunk-ap-ports.cli), show vlan POST verifiziert (gi1-2 tagged auf 10/20/30/40/90/99/100, vlan1 weiter untagged), save ok, Mgmt + APs erreichbar. Diese UI-Anleitung bleibt als Referenz/Verifikation und Vorlage für künftige Ports. Syntax switchport trunk allowed vlan add <LIST> am Gerät bestätigt.

Methode: Claude erklärt Absicht + Klickpfad, du klickst. UI = Realtek-OEM (Backbone-SPA), FW 2.2.1.2956, erreichbar unter https://10.40.41.239 (Login claudecode, PW in switch/.secrets). Labels unten sind aus der echten lang/defLang.js des Geräts gezogen — sollten exakt passen; falls eine Bezeichnung leicht abweicht, geht's um die Absicht (steht je Schritt dabei).

Was wir wollen (Absicht in einem Satz)

Den Switch-Port, an dem ein hAP hängt, zu einem Trunk machen: VLAN 1 untagged (native) = Mgmt/aktuelles Flachnetz bleibt drauf, VLANs 10,20,30,40,90,99,100 tagged. So trägt der Port später die SSID→VLAN-Tags (Phase B), und das jetzige Flach-WLAN „BF-Main" auf vlan1 läuft unverändert weiter.

CLI-Äquivalent (nur zum Gegenchecken — du machst es im UI)

interface gi<PORT>
 switchport mode trunk
 switchport trunk native vlan 1
 switchport trunk allowed vlan add 10,20,30,40,90,99,100

⚠️ Bevor du klickst — Sicherheit (Familiennetz läuft!)

• NUR den AP-Uplink-Port anfassen. Finger weg von Port 4, 8, 15, 16 (live: Wohnzimmer-/Arbeitszimmer-Switch, pve, Fritzbox).
• VLAN 1 bleibt überall untagged → die Switch-Mgmt-IP (.239, vlan1) bleibt erreichbar. Kein Lockout.
• Management VLAN NICHT ändern (bleibt 1). Das ist ein separater Cutover-Schritt mit Aussperr-Risiko.
• Welcher Port ist der AP? Laut Plan ap1 = Port 2 (direkt am Core). Bitte bestätigen und unten <PORT> einsetzen. → ap2 hängt aktuell hinter dem TL-SG108E an Port 8 (live!) — diesen Port NICHT trunken. Für ap2 siehe Abschnitt unten.
• Nicht dringend: Fürs aktuelle Flach-WLAN-Testen ist gar keine Switch-Änderung nötig. Dieser Trunk ist Phase-B-Vorbereitung (taggte VLANs bekommen erst nach dem Router-Cutover Gateway/DHCP).

Klickpfad

0) Login & Vorprüfung

1. Browser → https://10.40.41.239 → Login claudecode.
2. Menü VLAN → Create VLAN: prüfen, dass 10, 20, 30, 40, 90, 99, 100 in „Created VLAN" stehen. (Sollten schon da sein — VLAN-DB + Namen sind angelegt. Falls eine fehlt: ID eintragen → Add/Apply.)

1) Port-Modus & PVID setzen — VLAN → Port Setting

1. Menü VLAN → Port Setting (Tabelle „Port Setting Table").
2. Zeile Port <PORT> auswählen → Edit (öffnet „Edit Port Setting").
3. Felder:
   • Mode = Trunk (falls „Trunk" zickt, geht auch Hybrid — alle Ports stehen eh auf Hybrid; Hybrid + Membership unten erreicht dasselbe.)
   • PVID = 1 (untagged-Verkehr landet in vlan1 = Mgmt/Flachnetz)
   • Accept Frame Type = All (tagged + untagged annehmen)
   • Ingress Filtering = Enabled (nur Frames erlaubter VLANs — sauber; optional)
4. Apply/OK.

2) VLAN-Mitgliedschaft des Ports — VLAN → Membership

Hier legst du pro VLAN fest, wie Port <PORT> Mitglied ist: Untagged / Tagged / leer (kein Mitglied).

1. Menü VLAN → Membership (Tabelle „Membership Table", Achse VLAN × Port).
2. VLAN 1 editieren → Port <PORT> = Untagged (U) (native; Mgmt/Flachnetz)
3. VLAN 10 editieren → Port <PORT> = Tagged (T). Ebenso 20, 30, 40, 90, 99, 100 = Tagged (T). (In der „Edit"-Maske oft per Klick durch die Zustände U → T → leer, oder Auswahl „Active/Tagged Member".)
4. Sicherstellen: Port <PORT> ist bei den anderen VLANs nicht ungewollt untagged.
5. Apply/OK je VLAN.

3) Persistieren (sonst nach Reboot weg!)

• Oben rechts das Save-Symbol (Disketten-Icon) klicken → schreibt Running→Startup. (CLI-Äquivalent wäre save.)

Verifikation

• VLAN → Membership: Port <PORT> = U bei VLAN1, T bei 10/20/30/40/90/99/100.
• Switch-UI weiter erreichbar (https://10.40.41.239) → kein Lockout.
• WLAN BF-Main (vlan1) am hAP funktioniert unverändert (Client bekommt weiter FB-DHCP).
• Optional Gegencheck per CLI (Telnet, 1 VTY, sauber ausloggen): show vlan, show running-config → der Port zeigt switchport ... vlan ....

Sonderfall ap2 (Port 8 ist live!)

ap2 hängt hinter dem TL-SG108E am Core-Port 8, der .10/.167/.247 trägt. Optionen:

• Jetzt nichts tun — ap2 funkt „BF-Main" untagged auf vlan1 über den bestehenden Pfad (fürs Flach-WLAN-Testen reicht das).
• Sauber (empfohlen vor Phase B): ap2 in einem Wartungsfenster an einen freien Core-Port (z.B. Port 3) umstecken → diesen Port nach genau dieser Anleitung trunken. Dann muss der TL-SG108E nicht 802.1Q können.
• Trunk über Port 8 (TL-SG108E müsste taggen) = fummelig → nicht empfohlen.

Offen / von dir bestätigen

• ap1-Port = wirklich Port 2? (sonst <PORT> anpassen)
• ap2-Verkabelung: Port 8 lassen vs. an freien Core-Port umstecken?
• Jetzt schon Trunk vorbereiten (safe) oder erst zum Phase-B-Cutover?