Handoff: M8-Stand dokumentiert

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01YYoWFMLHACvzzRC8u4iKF9

HANDOFF.md

@@ -188,6 +188,28 @@ wiederholen.
   erste Verbindung zeigte den "Unbekannter SSH-Schlüssel"-Dialog, nach
   Bestätigen + Trennen + erneutem Verbinden lief es ohne Rückfrage durch.
 
+## M8: Mehrere LAN-Interfaces + Netzwerk-Isolation
+
+Auf Nutzerwunsch: mehrere physische LAN-Interfaces je mit eigenem
+DHCP-Server (`SetupViewModel.lanConfigs: [LanDhcpConfig]`, analog zum
+schon vorhandenen VLAN-Listen-Muster), plus ein Isolation-Toggle pro
+LAN-/VLAN-Eintrag ("Von anderen Netzwerken isolieren"). Bei aktivem
+Firewall-Grundschutz erzeugt `FirewallConfig` daraus paarweise
+Forward-Drop-Regeln zwischen jedem isolierten Netzwerk und allen anderen
+konfigurierten Netzwerken (beide Richtungen, Pair-Dedup bei gegenseitiger
+Isolation). Internetzugriff bleibt weiterhin global über die bestehende
+WAN-NAT-Logik, nicht pro Netzwerk abschaltbar (bewusst außerhalb Scope).
+
+Nebenbei behoben: `VlanStepView` behauptete vorher im Hilfetext bereits
+Isolation vom Hauptnetzwerk, ohne dass eine einzige Firewall-Regel das
+durchsetzte — reiner Text ohne Wirkung. Jetzt ist Isolation ein echter,
+optionaler Schalter mit tatsächlicher Regel-Erzeugung.
+
+Nur gegen Unit-Tests verifiziert (`FirewallConfigTests`: isoliertes
+Netzwerk gegen nicht-isoliertes, gegenseitige Isolation, keine Isolation).
+**Noch nicht gegen echte Hardware getestet** — bräuchte zwei getrennte
+Testnetze am selben Router, um die Drop-Regeln praktisch zu bestätigen.
+
 ## Stand der Milestones
 
 - ✅ M1–M4: Projektgerüst, Connect, Backup, WAN/LAN/DHCP, VLAN — gegen
@@ -207,6 +229,9 @@ wiederholen.
   bestätigt** (inkl. neuem "Trennen"-Button im Verbinden-Tab, der dafür
   nötig wurde). Fehlerzustände/Politur und REST-Schreibpfad-Verifikation
   gegen ein Gerät mit aktivem `www-ssl` stehen noch aus.
+- 🔶 M8: Mehrere LAN-Interfaces mit eigenem DHCP + Netzwerk-Isolation
+  (eigene Firewall-Regeln pro LAN/VLAN) — gebaut, nur Unit-Test-verifiziert,
+  noch nicht gegen echte Hardware getestet.
 
 ## Nächste Schritte
 
@@ -218,6 +243,10 @@ wiederholen.
 2. WLAN (M5) an einem Gerät mit echtem WLAN-Chip nachholen.
 3. Rest von M7: Fehlerzustände/Politur, REST-Schreibtest an einem Gerät
    mit aktivem `www-ssl`.
+4. M8 gegen echte Hardware testen: zwei LAN-Interfaces/VLANs anlegen, eins
+   isoliert, anwenden, per `/ip firewall filter print` kontrollieren, dass
+   die Drop-Regeln greifen und der Rest (Internetzugriff, nicht-isolierte
+   Netzwerke) unangetastet bleibt.
 
 Kein Gitea-Remote vorhanden — falls der Nutzer später eine Gitea-Instanz
 aufsetzt (z.B. selbst gehostet auf der vorhandenen OMV-NAS, siehe