RouterOS/Manual.md

# RouterOS Assistant — Bedienungsanleitung

Diese Anleitung beschreibt ausschließlich Funktionen, die **live gegen
echte MikroTik-Hardware getestet und bestätigt** sind (Meilensteine mit
✅ in `README.md`). Funktionen, die noch nicht vollständig verifiziert
sind (z.B. Teile der WLAN-Einrichtung, der neue wifiwave2-Treiber),
sind hier als solche markiert oder stehen in `HANDOFF.md`.

**Hinweis zu den Abbildungen:** Diese Anleitung wird von einem KI-Assistenten
gepflegt, der keinen Zugriff auf Bildschirm-/UI-Automatisierung für native
macOS-Apps hat — echte Screenshots der App können deshalb nicht erzeugt
werden. Zur Visualisierung dienen stattdessen Mermaid-Diagramme (als
vorgerenderte Bilder in `Manual-assets/` eingebettet, aus derselben
Quelldatei auch direkt als Mermaid-Code lesbar). Wer echte Screenshots
ergänzen möchte: Bilder unter `Manual-assets/` ablegen und per
`![Beschreibung](Manual-assets/dateiname.png)` einbinden.

Alle Feldnamen, Hilfetexte und Warnhinweise in Kapitel 5 (Experte) sind
**wörtlich aus dem App-Quellcode übernommen** (`RouterOSSchemaCatalog.swift`,
automatisiert extrahiert) — nicht paraphrasiert, damit sie exakt dem
entsprechen, was in der App tatsächlich angezeigt wird.

---

## Inhaltsverzeichnis

0. [Überblick & Architektur](#0-überblick--architektur)
1. [Verbinden](#1-verbinden)
2. [Einrichten (Wizard)](#2-einrichten-wizard)
3. [Übersicht](#3-übersicht)
4. [LAN-Scanner](#4-lan-scanner)
5. [Experte](#5-experte)
6. [Sicherungen](#6-sicherungen)
7. [Einstellungen](#7-einstellungen)

---

## 0. Überblick & Architektur

RouterOS Assistant ist eine native macOS-App (SwiftUI), die MikroTik-RouterOS-Router
per geführtem Wizard einrichtet und über sechs Tabs verwaltet: **Verbinden**,
**Einrichten**, **Übersicht**, **LAN-Scanner**, **Experte**, **Sicherungen**.

Die App spricht mit dem Router über zwei Transportwege:

- **REST-API** (`/rest/...`, HTTPS) — bevorzugt, seit RouterOS 7.1.
- **SSH** — Fallback, sowie zwingend für Funktionen, die es nur über die
  Kommandozeile gibt (automatisches Backup vor Änderungen, Firmware-Update,
  Software-Update-Check).

Welcher Weg genutzt wird, entscheidet die App automatisch — ohne
Konfiguration.

![Architektur-Überblick](Manual-assets/architecture.png)

Ein DE/EN-Umschalt-Button (Landesflagge) in der Toolbar wechselt die
Sprache der App (persistiert über Neustarts). Alle sechs Tabs sind
vollständig übersetzt (statische UI-Texte, Buttons, Tooltips). Werte, die
direkt vom Router kommen (Fehlermeldungen, CLI-Befehlszeilen, Live-Log),
bleiben unübersetzt.

---

<a id="tab-connect"></a>
## 1. Verbinden

### Verbindungsaufbau

| Feld | Hilfetext (wörtlich aus der App) |
|---|---|
| Host | „Die Adresse deines Routers im Netzwerk. Werkseinstellung bei Mikrotik ist meist 192.168.88.1.“ |
| Benutzername | „Der Admin-Benutzername deines Routers. Werkseinstellung ist meist ‚admin‘.“ |
| Passwort | „Das Passwort für diesen Benutzer. Bei unverändertem Werkszustand oft leer.“ |
| Passwort merken | „Speichert das Passwort verschlüsselt in der macOS-Schlüsselbundverwaltung, damit du es nicht jedes Mal neu eingeben musst.“ |

Ein Augen-Symbol neben dem Passwortfeld deckt die Eingabe zur Kontrolle auf.

### Vertrauensprüfung (Trust-on-First-Use)

Beim ersten Verbinden zu einem Router zeigt die App einen Dialog
„Der Router hat sich mit einem unbekannten Zertifikat gemeldet“ (REST) bzw.
„...mit einem unbekannten SSH-Schlüssel gemeldet“ (SSH) — einmalig zu
bestätigen über „Vertrauen und verbinden“ (oder „Abbrechen“). Das schützt
vor einem ausgetauschten/gefälschten Gerät unter derselben IP-Adresse.

Bei einer REST-Verbindung können **beide** Dialoge nacheinander erscheinen:
den SSH-Host-Schlüssel prüft die App auch dann einmalig im Hintergrund,
weil Backup, Update-Check und Firmware-Update immer SSH brauchen —
unabhängig vom für die eigentliche Konfiguration genutzten Verbindungsweg.

![Verbindungs- und Vertrauens-Ablauf](Manual-assets/connect_trust.png)

### Nach dem Verbinden

- Detailseite mit vollständigen Routerboard-Infos (Modell, Revision,
  Seriennummer, Firmware-Typ/-Version).
- **Software-Update-Check**: „Prüft bei MikroTik, ob eine neuere
  RouterOS-Version verfügbar ist. Braucht Internetzugang auf dem Router.“
  Buttons „Jetzt prüfen“ / „Update installieren“.
- **Firmware-Update**: aktualisiert die Routerboard-Bootloader-Firmware
  separat. „Nötig, damit die neu geschriebene Firmware aktiv wird —
  passiert nicht automatisch“ → Button „Jetzt neu starten“.
- Quick-Backup-Button direkt im Tab: „Sichert die aktuelle
  Router-Konfiguration — sinnvoll direkt nach dem Verbinden, bevor du im
  Einrichten-Tab etwas änderst.“
- „Trennen“: „Beendet die Verbindung zum Router. Zugangsdaten bleiben
  erhalten (falls gemerkt).“

### Bekannte Router

Nach jeder erfolgreichen Verbindung merkt sich die App Host, Benutzername
und (falls vom Router gemeldet) Seriennummer. Zwei unterschiedliche Router
mit identischem Host+Benutzername (z.B. beide auf MikroTiks
Werks-Adresse `192.168.88.1`/`admin`) bleiben dadurch getrennte Einträge,
erkennbar an der „SN: …“-Zeile; das gemerkte Passwort wird pro Gerät
getrennt im macOS-Schlüsselbund gespeichert. Der Anzeigename wird beim
ersten Mal automatisch auf die Hardware-Bezeichnung gesetzt (z.B. „hEX“),
lässt sich aber jederzeit über „Bearbeiten“ ändern — dort auch ein freies
Standort-Feld (z.B. „Keller, Serverschrank“) zur besseren Unterscheidung
mehrerer Router. Klick auf einen Eintrag füllt Host/Benutzername/Passwort
ins Formular, ohne sofort zu verbinden. Ab ca. 4 Einträgen scrollt die
Liste in sich selbst.

### Live-Traffic-Anzeige

Der Punkt vor jedem Interface in der Geräte-Übersicht ist grau (kein
Link), grün (Link, aber kein Datenverkehr) oder pulsierend grün (überträgt
gerade tatsächlich Daten).

### Automatisches Wiederverbinden

Fällt die Verbindung während einer aktiven Sitzung weg (Router-Neustart,
Kabel/WLAN kurz unterbrochen), versucht die App selbständig, sie
wiederherzustellen — alle 10 Sekunden ein Herzschlag-Test, bei Ausfall
alle 5 Sekunden ein neuer Verbindungsversuch (REST zuerst, dann SSH),
unbegrenzt bis zum Erfolg oder bis „Trennen“ geklickt wird. Ein oranger
Hinweis mit Spinner erscheint währenddessen im Verbinden-Tab, inkl.
Versuchszähler und Countdown bis zum nächsten Versuch. Andere Tabs
bleiben während eines kurzen Aussetzers nutzbar, statt sofort auf „Nicht
verbunden“ umzuspringen.

---

## 2. Einrichten (Wizard)

Geführter Schritt-für-Schritt-Assistent für die Grundkonfiguration. Ein
Modus-Schalter zu Beginn wählt zwischen:

- **Einfach**: „Grundeinrichtung: Internetverbindung (WAN), ein
  Heimnetzwerk (LAN) mit DHCP, WLAN und ein fest aktivierter
  Firewall-Grundschutz. Kein VLAN, keine mehreren getrennten Netzwerke,
  keine Netzwerk-Isolation — für später jederzeit über den Expertenmodus
  nachrüstbar.“
- **Experte**: „Voller Zugriff: mehrere LAN-Interfaces mit je eigenem
  DHCP-Server, VLANs, Netzwerk-Isolation zwischen Netzwerken, und alle
  Firewall-Optionen.“

![Wizard-Schrittfolge](Manual-assets/wizard_flow.png)

<a id="step-wan"></a>
### WAN (Internetanschluss)

| Feld | Hilfetext |
|---|---|
| Port | „Der Netzwerkport, über den dein Router mit dem Internet verbunden ist (z.B. das Kabel zu deinem Modem oder deiner Anschlussdose).“ |
| Verbindungsart | „Wie sich der Router beim Internetanbieter anmeldet. ‚Automatisch (DHCP)‘ passt für die meisten Kabel-/Glasfaseranschlüsse.“ |
| Automatisch (DHCP) | „Der Router bezieht seine Internetadresse automatisch von deinem Anbieter. Für die meisten Kabel-/Glasfaser-Anschlüsse die richtige Wahl.“ |
| Feste IP-Adresse | „Die feste IP-Adresse, die dir dein Anbieter zugewiesen hat, inklusive Netzmaske (die Zahl nach dem /, z.B. /24).“ |
| Gateway | „Die Adresse des nächsten Geräts Richtung Internet — steht meist in den Unterlagen deines Anbieters.“ |
| PPPoE-Benutzername | „Zugangsdaten von deinem Internetanbieter für die Einwahl (z.B. bei DSL-Anschlüssen).“ |
| PPPoE-Passwort | „Das zum Benutzernamen gehörende Passwort von deinem Internetanbieter.“ |

<a id="step-lan"></a>
### LAN (ein oder mehrere Netzwerke)

| Feld | Hilfetext |
|---|---|
| Port | „Der interne Netzwerk-Anschluss, an dem deine Geräte hängen (dein lokales Netzwerk, LAN).“ |
| Router-Adresse | „Die Adresse, unter der der Router selbst in diesem Netzwerk erreichbar ist.“ |
| Netzbereich | „Der komplette Adressbereich dieses Netzwerks (z.B. /24 erlaubt bis zu 254 Geräte).“ |
| DHCP von | „Ab welcher Adresse der Router automatisch Adressen an Geräte in diesem Netzwerk vergibt.“ |
| DHCP bis | „Bis zu welcher Adresse der Router automatisch Adressen an Geräte in diesem Netzwerk vergibt.“ |
| Lease-Zeit | „Wie lange ein Gerät seine zugewiesene Adresse behält, bevor sie erneuert werden muss.“ |
| DNS-Server | „Welcher Server Geräten in diesem Netzwerk Internetadressen in Namen übersetzt (z.B. www.google.de). Meist der Router selbst.“ |
| Netzwerk-Isolation | „Verhindert Datenverkehr zwischen diesem und allen anderen konfigurierten LAN-/VLAN-Netzwerken. Der Internetzugriff bleibt erhalten. Wird im Firewall-Schritt umgesetzt.“ |

Im Experte-Modus lassen sich mehrere physische Ports/Interfaces als
getrennte Netzwerke einrichten (Button „Weiteres LAN-Netzwerk
hinzufügen“), jeweils mit eigenem Adressbereich und optionaler
Netzwerk-Isolation. Adressfelder starten leer — das Feld selbst zeigt ein
Beispielformat, das beim Tippen verschwindet.

**Port-Konflikt-Prüfung**: wählt der Nutzer einen Port, der bereits anders
konfiguriert ist, erscheint eine Warnung mit dem Grund und der Option
„Port jetzt freimachen…“ — „Wähle oben einen anderen, freien Port — oder
mache diesen jetzt frei. Die bestehende Konfiguration wird dabei
entfernt.“ Tatsächlich ausgeführt wird das erst mit „Jetzt anwenden“ am
Ende des Assistenten — bis dahin lässt es sich rückgängig machen, indem
oben ein anderer Port gewählt wird.

<a id="step-vlan"></a>
### VLAN (optional)

„Ein VLAN ist ein zusätzliches Netzwerk mit eigenem Adressbereich — z.B.
für Gäste oder smarte Geräte. Ob es vom Hauptnetzwerk abgeschottet ist,
legst du unten pro Netzwerk über ‚Von anderen Netzwerken isolieren‘ fest.
Wenn du unsicher bist, ob du das brauchst, überspring diesen Schritt
einfach.“

| Feld | Hilfetext |
|---|---|
| Name | „Ein Name zur Wiedererkennung, z.B. ‚Gäste‘ oder ‚Smart Home‘.“ |
| VLAN-ID | „Eine eindeutige Nummer zur technischen Unterscheidung dieses Netzwerks. Muss nur innerhalb deines Routers einmalig sein.“ |
| Basis-Port | „Der physische Anschluss, auf dem dieses zusätzliche Netzwerk aufbaut.“ |
| Router-Adresse | „Die Adresse des Routers innerhalb dieses zusätzlichen Netzwerks.“ |
| Netzbereich | „Der komplette Adressbereich dieses zusätzlichen Netzwerks.“ |
| DHCP von/bis | „Ab/Bis zu welcher Adresse Geräte in diesem Netzwerk automatisch eine Adresse bekommen.“ |

<a id="step-wifi"></a>
### WLAN (nur falls erkannt)

„An diesem Gerät wurde kein WLAN erkannt. Dieser Schritt wird
übersprungen.“ — sonst: „Schaltet WLAN auf diesem Funkmodul ein und
vergibt Netzwerkname und Passwort.“

| Feld | Hilfetext |
|---|---|
| Netzwerkname (SSID) | „Der Name, den Geräte in ihrer WLAN-Liste sehen und mit dem sie sich verbinden.“ |
| Passwort | „Das WLAN-Passwort (WPA2). Muss mindestens 8 Zeichen lang sein.“ |

<a id="step-firewall"></a>
### Firewall-Grundschutz

„Schützt deinen Router und deine Geräte vor unaufgeforderten Zugriffen
aus dem Internet und ermöglicht deinen Geräten den Internetzugriff
(NAT).“ Im einfachen Modus immer aktiv; im Experte-Modus wählbar:
„Richtet einen Standard-Schutz ein: Internetfreigabe (NAT) für dein
Heimnetz, und blockiert unaufgeforderte Zugriffe aus dem Internet auf
deinen Router und deine Geräte. Bestehende, selbst eingerichtete Regeln
bleiben erhalten — die neuen Regeln werden vorangestellt.“

Hat der Router bereits eigene Firewall-Regeln, warnt die App zusätzlich:
„Dein Router hat bereits eigene Firewall-Regeln. Die neuen Regeln werden
vorangestellt, bestehende bleiben erhalten — prüfe nach dem Anwenden
trotzdem die Reihenfolge, z.B. über Winbox oder ‚/ip firewall filter
print‘.“

<a id="step-review"></a>
### Review / Apply

„Vor dem Anwenden wird automatisch eine Sicherung der aktuellen
Konfiguration erstellt (Tab ‚Sicherungen‘). Ein garantiertes automatisches
Zurückrollen bei Verbindungsabbruch gibt es nicht — bei Problemen die
Sicherung im Tab ‚Sicherungen‘ verwenden oder den Router lokal
(Ethernet/Konsole) wiederherstellen.“ Jeder einzelne Befehl wird vor der
Ausführung angezeigt.

Der Wizard lässt sich auf einem bereits eingerichteten Router erneut
ausführen (z.B. um ein weiteres Netzwerk hinzuzufügen) — bereits
bestehende Einstellungen werden dabei nicht doppelt angelegt oder
beschädigt. „Abbrechen“ ist jederzeit über den Button oben rechts
verfügbar (Einfach- wie Experte-Modus): „Alle in diesem Assistenten
eingegebenen Werte gehen verloren“ — Bestätigungsdialog, setzt den
Assistenten auf den ersten Schritt zurück.

---

<a id="tab-overview"></a>
## 3. Übersicht

Grafisches Diagramm des kompletten aktuellen Router-Zustands (IST-Zustand)
— fünf Spalten, mit echten Verbindungslinien (keine Vermutungen,
abgeleitet aus den tatsächlichen RouterOS-Referenzfeldern):

| Spalte | RouterOS-Bereich |
|---|---|
| Interfaces | Physische Ports, Bridges, VLANs, WireGuard, … |
| IP-Adressen | Zuweisungen aus `/ip address` |
| Pools & DHCP | Adress-Pools, DHCP-Server/-Netzwerke/-Clients |
| Routen | `/ip route` |
| Firewall & NAT | Filter-/NAT-Regeln, Adress-Listen |

Nicht im Diagramm (aber über den Experte-Tab erreichbar): VPN:
PPP-Benutzer/-Profile, WLAN-Sicherheitsprofile, Queues/Bandbreiten-Steuerung,
System (Name/Uhrzeit/Scheduler/Skripte/Benutzerkonten), Werkzeuge
(Netwatch/E-Mail), Firewall: Mangle- und Raw-Regeln.

### Verbindungsarten (Linienfarben)

| Art | Bedeutung (wörtlich aus der App) |
|---|---|
| VLAN → Basis-Interface | „Das VLAN-Interface baut auf dem Basis-Interface auf — es ist ein eigenes, per VLAN-Kennung getrenntes Netzwerk auf demselben physischen Anschluss.“ |
| Bridge-Port | „Dieser physische Port ist Mitglied dieser Bridge — Geräte an diesem Port verhalten sich, als hingen sie am selben Kabel wie alle anderen Bridge-Ports.“ |
| WireGuard-Peer | „Dieser WireGuard-VPN-Tunnel läuft über dieses Interface.“ |
| Interface → IP-Adresse | „Diesem Interface ist diese IP-Adresse zugewiesen.“ |
| DHCP / Pool | „Diese DHCP-Komponente (Server, Pool oder Netzwerk-Optionen) gehört zu diesem Interface bzw. dieser Adresse.“ |
| Route → Interface | „Diese Route führt über dieses Interface bzw. dieses Gateway.“ |
| Firewall/NAT → Interface | „Diese Firewall- oder NAT-Regel bezieht sich auf dieses Interface (als Eingang oder Ausgang).“ |
| Adress-Liste → Regel | „Diese Regel prüft, ob eine Adresse in dieser Adress-Liste steht.“ |

### Interaktion

- **Hover** über einen Knoten hebt seine Verbindungen hervor; **Klick**
  macht die Hervorhebung dauerhaft und öffnet gleichzeitig den
  **Fokus-Modus**.
- **Klick auf eine Verbindungslinie** zeigt rechts eine verständliche
  Erklärung, was diese Verbindung bedeutet, plus Sprung zu den beiden
  verbundenen Elementen.
- Zoom-Buttons (−/100%/+) für die Diagrammgröße; Kästchen lassen sich
  frei verschieben (Verbindungslinien folgen live mit), „Zurücksetzen“ in
  der Toolbar stellt die ursprüngliche Spalten-Anordnung wieder her.
- Verbindungslinien laufen animiert in Flussrichtung („von → nach“).
- Aktualisiert sich automatisch, sobald in den Tab gewechselt wird.

### Fokus-Modus

Klick auf einen Knoten öffnet ein schwebendes Popup mit der **kompletten
verbundenen Kette** (alle direkt und indirekt verbundenen Elemente,
transitive Hülle) im selben Spalten-Layout wie oben, sauber neu
angeordnet; alles andere im Hauptdiagramm wird abgedunkelt. Schließen
über den X-Button oben im Popup, Klick auf die leere Fläche daneben, oder
erneuten Klick auf denselben Knoten. Da es sich um ein nicht-modales
Overlay handelt (kein System-Sheet), bleibt die rechte Seitenleiste
währenddessen bedienbar — ein Knoten aus der Kette lässt sich also direkt
aus dem Popup heraus über „Bearbeiten“ ändern. Die Popup-Größe passt sich
automatisch dem Inhalt an, ohne Scrollbalken.

![Fokus-Modus: Zustände](Manual-assets/focus_mode.png)

### Direktes Bearbeiten

IP-Adressen, Pools, DHCP-Server/-Netzwerke/-Clients, Routen,
Firewall-Filter-/NAT-Regeln, WireGuard-Peers und Interfaces (Ethernet,
Bridge, WLAN, VLAN, WireGuard) lassen sich anklicken und über
„Bearbeiten“ direkt ändern — schreibt sofort an den Router zurück.
Adress-Listen-Knoten sind hier noch nicht direkt editierbar, nur über den
Experte-Tab, da ein Knoten dort mehrere Einträge zusammenfasst. Dynamische/
automatisch angelegte Routen (z.B. die Verbindungsroute eines Netzwerks)
zeigen bewusst keinen Bearbeiten-Button, da RouterOS solche Einträge
selbst verwaltet.

---

<a id="tab-devices"></a>
## 4. LAN-Scanner

Zeigt alle Geräte im Netzwerk (aus DHCP-Leases und ARP-Tabelle),
gruppiert nach physischem Port. „Neu scannen“ fragt Leases/ARP/
Bridge-Host-Tabelle erneut ab. Jede Port-Überschrift zeigt zusätzlich den
aktuellen Live-Durchsatz in MB/s (↓/↑, grünes Symbol bei aktivem
Datenverkehr, graues im Leerlauf, Abfrage alle 0,1s) mit kleinem
Liniendiagramm der letzten 30 Sekunden. Spalten: Name, IP-Adresse,
MAC-Adresse, Status.

Alle Aktionen zu einem Gerät liegen im „Aktionen“-Button (•••) hinter der
jeweiligen Zeile:

- Bei dynamischer Adresse → **„Feste IP zuweisen“** (macht die aktuelle
  Adresse dauerhaft, RouterOS' „Make Static“). Rückweg: „Aktionen“ →
  „Feste Zuweisung entfernen“ — danach muss das Gerät kurz die Verbindung
  trennen/neu aufbauen, um automatisch wieder eine dynamische Adresse zu
  bekommen. Ohne DHCP-Lease ist die Option ausgegraut: „Kein DHCP-Lease —
  feste Zuweisung hier nicht möglich“.
- Bei fester Adresse → **„Feste Zuweisung entfernen“**.
- **Netzwerk-Tools** (im selben Menü):
  - **Ping** / **Traceroute** — „Ausgeführt vom Router aus (eigene
    SSH-Verbindung) — testet die Erreichbarkeit vom Router zu diesem
    Gerät, nicht von diesem Mac.“
  - **DNS-Auflösung (nslookup)** — nur verfügbar, wenn ein Hostname
    bekannt ist.
  - **Port-Scan** — „TCP-Verbindungsversuch auf gängige Ports, ausgeführt
    von diesem Mac aus (nicht vom Router) — rot = offen, grün =
    geschlossen (Gerät antwortet, aber nichts lauscht dort), grau = keine
    Antwort (Firewall, Gerät aus, oder Port gefiltert).“
  - **Rohdaten anzeigen** — „Alle Felder, die RouterOS für diesen Eintrag
    zurückgegeben hat — hilfreich, falls Status/Port hier falsch
    aussieht.“

Alle drei Ergebnis-Popups (Rohdaten, Netzwerk-Test, Port-Scan) teilen
dasselbe Layout: fester Kopfbereich mit Titel + X-Button zum Schließen,
darunter der scrollbare Inhalt — derselbe Aufbau wie beim Fokus-Popup der
Übersicht und beim Experte-Bearbeiten-Formular (siehe Kapitel 3 und 5).

---

<a id="tab-expert"></a>
## 5. Experte

Direkter, kuratierter Zugriff auf die meisten RouterOS-Bereiche. Für
jedes Feld gibt es einen Hilfetext mit Format-Beispiel. Kategorien sind
einklappbar (Standard: zugeklappt) — Klick auf die größere, farblich
hinterlegte Überschrift klappt sie auf/zu.

**Eigener Menüpfad**: jeder RouterOS-Menüpfad ist erreichbar, auch ohne
kuratiertes Formular — Felder erscheinen dann generisch als
Schlüssel/Wert-Paare. Auch bei kuratierten Menüs landet jedes von
RouterOS zusätzlich gelieferte, nicht kuratierte Feld automatisch im
Bereich „Weitere Parameter (frei)“ — nichts, was RouterOS unterstützt, ist
dadurch unerreichbar, auch wenn es (noch) kein eigenes Formularfeld hat.

Vor jeder Änderung: Bestätigungsdialog mit dem exakten Befehl, der
ausgeführt wird. Automatisches Backup einmal pro Verbindungssitzung vor
der ersten Änderung.

Das Bearbeiten-Formular selbst hat denselben festen Kopfbereich
(Titel + X-Button, bleibt beim Scrollen sichtbar) wie das Fokus-Popup der
Übersicht und die Ergebnis-Popups des LAN-Scanners — ein einheitliches
Schließen-Verhalten in der ganzen App.

Die folgende Referenz ist **automatisiert aus `RouterOSSchemaCatalog.swift`
extrahiert** — Feldname, RouterOS-Parametername, Feldtyp, Pflicht-Status,
Vorbelegung und Hilfetext entsprechen exakt dem, was in der App angezeigt
wird. „Verweis auf bestehenden Eintrag“ bedeutet: die App lädt beim Öffnen
live die existierenden Namen aus dem referenzierten Menü und zeigt sie als
Auswahlliste. „Auswahl aus Live-Interface-Liste“ lädt beim Öffnen die
aktuell am Router vorhandenen Interfaces.

<!-- EXPERT_REFERENCE_START -->

### System

<a id="schema-system-identity"></a>
#### Router-Name *(Einstellungsmenü — genau ein Eintrag, kein Anlegen/Löschen)*
RouterOS-Menü: `/system identity` · REST-Pfad: `system/identity`

Der Name, unter dem sich der Router meldet (z.B. in Winbox/Terminal-Prompt).

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Name | `name` | Text | Ja | — | Frei wählbar, z.B. MeinRouter. |

<a id="schema-system-clock"></a>
#### Uhrzeit/Zeitzone *(Einstellungsmenü — genau ein Eintrag, kein Anlegen/Löschen)*
RouterOS-Menü: `/system clock` · REST-Pfad: `system/clock`

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Zeitzone | `time-zone-name` | Text | Nein | — | Z.B. Europe/Berlin. |

<a id="schema-system-routerboard-mode-button"></a>
#### Mode-Taste *(Einstellungsmenü — genau ein Eintrag, kein Anlegen/Löschen)*
RouterOS-Menü: `/system routerboard mode-button` · REST-Pfad: `system/routerboard/mode-button`

Steuert, welches Skript beim Drücken der physischen Mode-Taste am Router ausgeführt wird.

Manche RouterBOARD-Geräte (z.B. hEX, cAP, hAP ac², LtAP mini, einige CCR/CRS) haben eine physische Mode-Taste an der Seite. Hier lässt sich festlegen, ob und wie lange sie gedrückt werden muss, damit ein zuvor unter "Skripte" angelegtes Skript ausgeführt wird.

> ⚠️ **Achtung:** Ab RouterOS 7.1rc4 muss jede Aktivierung oder Änderung dieser Einstellung zusätzlich durch einen physischen Tastendruck (Reset- oder Mode-Taste) innerhalb von 60 Sekunden am Gerät selbst bestätigt werden — eine Änderung über diese App allein reicht nicht.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Aktiviert | `enabled` | Ja/Nein | Nein | `no` | Mode-Taste ein-/ausschalten. |
| Auszuführendes Skript | `on-event` | Verweis auf bestehenden Eintrag unter `/system script` | Nein | — | Name eines zuvor unter "Skripte" angelegten Skripts. |
| Haltedauer (Min..Max) | `hold-time` | Text | Nein | — | Wie lange die Taste gedrückt gehalten werden muss, als Zeitspanne Min..Max, z.B. "3s..5s". Verfügbar ab RouterOS 6.47beta60. |

<a id="schema-system-ntp-client"></a>
#### Zeitserver (NTP) *(Einstellungsmenü — genau ein Eintrag, kein Anlegen/Löschen)*
RouterOS-Menü: `/system ntp client` · REST-Pfad: `system/ntp/client`

Hält die Router-Uhr über einen Zeitserver synchron.

Die Server-Liste selbst liegt in einem eigenen Menü ("NTP-Zeitserver-Liste") — hier nur Ein/Aus und Modus.

> ⚠️ **Achtung:** Falsche Systemzeit kann Zertifikatsprüfungen (HTTPS/REST) und Log-Zeitstempel durcheinanderbringen.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Aktiviert | `enabled` | Ja/Nein | Nein | `yes` | Zeitsynchronisation ein-/ausschalten. |
| Modus | `mode` | Auswahl (fest): `unicast`, `broadcast`, `multicast`, `manycast` | Nein | `unicast` | Fast immer "unicast" (direkte Anfrage an feste Server). |

<a id="schema-system-ntp-client-servers"></a>
#### NTP-Zeitserver-Liste
RouterOS-Menü: `/system ntp client servers` · REST-Pfad: `system/ntp/client/servers`

Die Zeitserver, die der Client abfragt.

"servers" ist bei RouterOS 7.x kein Feld am NTP-Client selbst, sondern eine eigene Liste — jeder Server ist ein eigener Eintrag hier (statt kommagetrennt in einem Textfeld).

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Adresse | `address` | Text | Ja | — | Hostname oder IP eines Zeitservers, z.B. pool.ntp.org. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | Diesen Server deaktivieren, ohne ihn zu löschen. |
| Kommentar | `comment` | Text | Nein | — | Nur zur eigenen Wiedererkennung. |

<a id="schema-system-scheduler"></a>
#### Zeitplaner
RouterOS-Menü: `/system scheduler` · REST-Pfad: `system/scheduler`

Führt ein hinterlegtes Skript zu festen Zeiten/Intervallen aus.

> ⚠️ **Achtung:** Ein fehlerhaftes geplantes Skript kann unbeaufsichtigt wiederholt Änderungen vornehmen — vor dem Einplanen einmal manuell testen.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Name | `name` | Text | Ja | — | Frei wählbar, z.B. taeglicher-neustart. |
| Startzeit | `start-time` | Text | Nein | — | Z.B. 00:00:00 oder "startup". |
| Intervall | `interval` | Zeitdauer (Tage/Std/Min/Sek, per Stepper) | Nein | — | Wie oft wiederholt wird. Alles auf 0 lassen = nur einmal zur Startzeit. |
| Auszuführendes Skript | `on-event` | Verweis auf bestehenden Eintrag unter `/system script` | Nein | — | Name eines zuvor unter "Skripte" angelegten Skripts. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | Zeitplan inaktiv schalten, ohne ihn zu löschen. |

<a id="schema-system-script"></a>
#### Skripte
RouterOS-Menü: `/system script` · REST-Pfad: `system/script`

Gespeicherte RouterOS-Befehlsfolgen, die manuell oder per Scheduler ausgeführt werden.

> ⚠️ **Achtung:** Skripte laufen mit den Rechten des Routers selbst — kein Unterschied zu manuell eingegebenen Befehlen.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Name | `name` | Text | Ja | — | Frei wählbar, z.B. backup-taeglich. |
| Skript-Inhalt | `source` | Text | Nein | — | RouterOS-Befehle, z.B. ":log info \"Test\"". |

<a id="schema-user"></a>
#### Benutzerkonten
RouterOS-Menü: `/user` · REST-Pfad: `user`

Zugangskonten für den Router (Winbox/SSH/REST/Terminal).

> ⚠️ **Achtung:** Das zum Verbinden genutzte eigene Konto hier nicht versehentlich löschen oder herabstufen.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Benutzername | `name` | Text | Ja | — | Frei wählbar, z.B. admin2. |
| Passwort | `password` | Text | Nein | — | Ausreichend lang und zufällig wählen. |
| Rechte-Gruppe | `group` | Auswahl (fest): `full`, `write`, `read` | Nein | `full` | full = Vollzugriff, write = ohne Benutzerverwaltung, read = nur lesen. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | Konto inaktiv schalten, ohne es zu löschen. |

<a id="schema-system-logging"></a>
#### Protokollierung
RouterOS-Menü: `/system logging` · REST-Pfad: `system/logging`

Was der Router mitschreibt und wohin (Speicher, Datei, Remote-Syslog, E-Mail).

Besteht aus "rules" (was protokolliert wird) und "actions" (wohin) — hier generischer Zugriff, verwandte Teile über "Eigener Menüpfad" (z.B. "/system logging action").

*Noch kein kuratiertes Formular — alle Felder erscheinen als freie Schlüssel/Wert-Paare (siehe „Eigener Menüpfad“).*


### Interfaces (Bridge, VLAN, VPN-Tunnel...)

<a id="schema-interface"></a>
#### Alle Interfaces (generisch)
RouterOS-Menü: `/interface` · REST-Pfad: `interface`

Gemeinsame Felder, die für jedes Interface gelten, unabhängig vom Typ (Ethernet, Bridge, WLAN, WireGuard, VLAN, ...).

RouterOS listet hier alle Interfaces zusammen. Typ-spezifische Felder (z.B. die VLAN-ID eines VLAN-Interfaces) liegen in den jeweils eigenen Menüs (z.B. "VLAN-Interfaces") — hier nur das, was für jeden Interface-Typ gleich funktioniert.

> ⚠️ **Achtung:** RouterOS liefert hier zusätzlich einen "default-name" (Werksname des Ports) mit — der erscheint unten bei "Weitere Parameter", ist aber nicht änderbar ("bad parameter default-name", live bestätigt). Zum Umbenennen nur das Feld "Name" oben verwenden.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Name | `name` | Text | Ja | — | Der aktuelle Name dieses Interfaces, z.B. ether5 oder vlan20 — nicht zu verwechseln mit "default-name" (Werksname, weiter unten bei "Weitere Parameter", nicht änderbar). |
| Kommentar | `comment` | Text | Nein | — | Nur zur eigenen Wiedererkennung, ohne technische Wirkung. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | Interface inaktiv schalten, ohne es zu löschen. |

<a id="schema-interface-bridge"></a>
#### Bridge
RouterOS-Menü: `/interface bridge` · REST-Pfad: `interface/bridge`

Fasst mehrere physische Ports zu einem gemeinsamen Layer-2-Netzwerk zusammen.

Geräte an gebrückten Ports verhalten sich, als hingen sie am selben Netzwerk-Kabel. Eine IP-Adresse wird meist auf die Bridge selbst gelegt, nicht auf die einzelnen Ports.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Name | `name` | Text | Ja | — | Frei wählbar, z.B. bridge-lan. |
| VLAN-Filterung (802.1Q) | `vlan-filtering` | Ja/Nein | Nein | `no` | Aktiviert echte VLAN-Trennung über diese Bridge — nötig, wenn mehrere VLANs über dieselben Bridge-Ports laufen sollen. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | Bridge inaktiv schalten, ohne sie zu löschen. |

<a id="schema-interface-bridge-port"></a>
#### Bridge-Ports
RouterOS-Menü: `/interface bridge port` · REST-Pfad: `interface/bridge/port`

Ordnet einen physischen Port einer Bridge zu.

Erst danach ist der Port Teil des Bridge-Netzwerks.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Bridge | `bridge` | Text | Ja | — | Name der Bridge, z.B. bridge-lan. |
| Physischer Port | `interface` | Auswahl aus Live-Interface-Liste des Routers | Ja | — | Der Port, der der Bridge hinzugefügt wird, z.B. ether2. |
| Port-VLAN-ID (PVID) | `pvid` | Zahl | Nein | — | Nur mit aktivierter VLAN-Filterung relevant: VLAN, dem untagged ankommender Verkehr an diesem Port zugeordnet wird, z.B. 20. |

<a id="schema-interface-vlan"></a>
#### VLAN-Interfaces
RouterOS-Menü: `/interface vlan` · REST-Pfad: `interface/vlan`

Virtuelle, getaggte Sub-Interfaces auf einem physischen Port oder einer Bridge.

Ein eigenes logisches Netzwerk auf demselben Kabel, unterschieden durch eine VLAN-Kennung im Ethernet-Rahmen.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Name | `name` | Text | Ja | — | Frei wählbar, z.B. vlan20-gaeste. |
| VLAN-ID | `vlan-id` | Zahl | Ja | — | Eindeutige Kennung, 2–4094, z.B. 20. |
| Basis-Interface | `interface` | Auswahl aus Live-Interface-Liste des Routers | Ja | — | Physischer Port oder Bridge, auf dem dieses VLAN aufsetzt, z.B. bridge. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | VLAN-Interface inaktiv schalten, ohne es zu löschen. |

<a id="schema-interface-wireguard"></a>
#### WireGuard-Interfaces
RouterOS-Menü: `/interface wireguard` · REST-Pfad: `interface/wireguard`

Moderner, schlanker VPN-Tunnel-Typ.

Ein WireGuard-Interface allein stellt noch keine Verbindung her — dazu gehören Gegenstellen (siehe "WireGuard-Peers") mit öffentlichem Schlüssel und erlaubten Adressen.

> ⚠️ **Achtung:** Erst hier das Interface anlegen (mit Listen-Port), danach unter WireGuard-Peers die Gegenstellen eintragen. Der private Schlüssel wird beim Anlegen automatisch erzeugt, falls nicht angegeben.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Name | `name` | Text | Ja | — | Frei wählbar, z.B. wg-heim. |
| Listen-Port (UDP) | `listen-port` | Zahl | Nein | `51820` | Port, auf dem dieser Tunnel auf eingehende Verbindungen lauscht, z.B. 51820. |
| Privater Schlüssel | `private-key` | Text | Nein | — | Geheim halten. Leer lassen, damit RouterOS automatisch einen erzeugt. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | Interface inaktiv schalten, ohne es zu löschen. |

<a id="schema-interface-wireguard-peers"></a>
#### WireGuard-Peers
RouterOS-Menü: `/interface wireguard peers` · REST-Pfad: `interface/wireguard/peers`

Gegenstellen (Clients/andere Router) eines WireGuard-Tunnels.

Jede Gegenstelle braucht ihren eigenen öffentlichen Schlüssel und eine Angabe, welche Adressen über sie geroutet werden.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| WireGuard-Interface | `interface` | Verweis auf bestehenden Eintrag unter `/interface wireguard` | Ja | — | Name des zuvor angelegten WireGuard-Interfaces. |
| Öffentlicher Schlüssel der Gegenstelle | `public-key` | Text | Ja | — | Vom Gerät der Gegenstelle kopieren (z.B. per "wg show <interface> public-key"). |
| Erlaubte Adressen | `allowed-address` | Text | Nein | — | Welche IP-Adressen/Netze über diesen Peer laufen dürfen, mit Präfix, z.B. 10.10.10.2/32. |
| Feste Adresse der Gegenstelle | `endpoint-address` | Text | Nein | — | Nur nötig, wenn diese Gegenstelle selbst erreichbar sein muss (Site-to-Site), z.B. eine feste öffentliche IP oder ein DNS-Name. Bei Roadwarrior-Clients, die sich selbst melden, leer lassen. |
| Port der Gegenstelle | `endpoint-port` | Text | Nein | — | Meist derselbe Port wie der Listen-Port der Gegenstelle, z.B. 51820. |
| Keepalive | `persistent-keepalive` | Zeitdauer (Tage/Std/Min/Sek, per Stepper) | Nein | — | Hält die Verbindung durch NAT/Firewalls am Leben. Wichtig bei Clients hinter NAT. |

<a id="schema-interface-pppoe-client"></a>
#### PPPoE-Client
RouterOS-Menü: `/interface pppoe-client` · REST-Pfad: `interface/pppoe-client`

DSL-Einwahl-Client, meist auf dem WAN-Port.

Ersetzt eine feste/DHCP-WAN-Adresse durch eine PPPoE-Einwahl beim Provider.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Name | `name` | Text | Ja | — | Frei wählbar, z.B. pppoe-wan. |
| Physischer Port | `interface` | Auswahl aus Live-Interface-Liste des Routers | Ja | — | Der Port, über den die Einwahl läuft, meist der WAN-Port, z.B. ether1. |
| Benutzername | `user` | Text | Ja | — | Zugangsdaten des Providers. |
| Passwort | `password` | Text | Ja | — | Zugangsdaten des Providers. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | Einwahl inaktiv schalten, ohne sie zu löschen. |

<a id="schema-interface-bonding"></a>
#### Bonding
RouterOS-Menü: `/interface bonding` · REST-Pfad: `interface/bonding`

Bündelt mehrere physische Ports zu einer logischen, ausfalltoleranten/schnelleren Verbindung.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Name | `name` | Text | Ja | — | Frei wählbar, z.B. bond1. |
| Gebündelte Ports | `slaves` | Text | Nein | — | Kommagetrennte Liste physischer Ports, z.B. ether2,ether3. |
| Modus | `mode` | Auswahl (fest): `802.3ad`, `active-backup`, `balance-rr`, `balance-xor`, `broadcast` | Nein | — | 802.3ad (LACP) braucht einen kompatiblen, entsprechend konfigurierten Switch. |


### IP-Adressierung & Dienste

<a id="schema-ip-address"></a>
#### IP-Adressen
RouterOS-Menü: `/ip address` · REST-Pfad: `ip/address`

Weist Interfaces IP-Adressen zu.

Jede IP-Adresse hängt an genau einem Interface (physischer Port, Bridge oder VLAN).

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Adresse | `address` | Text | Ja | — | IP-Adresse mit Netzmaske als Präfix (Router-Adresse in diesem Netz), z.B. 192.168.88.1/24 oder 10.10.10.1/24. Das /24 legt fest, wie viele Geräte in dieses Netz passen (/24 = bis zu 254). |
| Interface | `interface` | Auswahl aus Live-Interface-Liste des Routers | Ja | — | Interface, dem diese Adresse zugewiesen wird, z.B. bridge oder ether4. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | Adresse inaktiv schalten, ohne sie zu löschen. |

<a id="schema-ip-pool"></a>
#### Adress-Pools
RouterOS-Menü: `/ip pool` · REST-Pfad: `ip/pool`

Adressbereiche, aus denen DHCP-Server oder PPP-Profile Adressen vergeben.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Name | `name` | Text | Ja | — | Frei wählbar, z.B. dhcp_pool_lan. |
| Bereich(e) | `ranges` | Text | Ja | — | Von-bis-Adresse ohne Präfix, z.B. 192.168.88.10-192.168.88.254. Mehrere Bereiche kommagetrennt. |

<a id="schema-ip-dhcp-server"></a>
#### DHCP-Server
RouterOS-Menü: `/ip dhcp-server` · REST-Pfad: `ip/dhcp-server`

Vergibt automatisch IP-Adressen an Geräte in einem Netzwerk.

Für die üblichen Fälle deckt das bereits der Einrichten-Assistent (LAN-/VLAN-Schritt) ab — hier direkter Zugriff für Sonderfälle.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Name | `name` | Text | Ja | — | Frei wählbar, z.B. dhcp_lan. |
| Interface | `interface` | Auswahl aus Live-Interface-Liste des Routers | Ja | — | Netzwerk, in dem dieser Server Adressen vergibt, z.B. bridge. |
| Adress-Pool | `address-pool` | Verweis auf bestehenden Eintrag unter `/ip pool` | Ja | — | Name eines zuvor angelegten Adress-Pools. |
| Lease-Zeit | `lease-time` | Zeitdauer (Tage/Std/Min/Sek, per Stepper) | Nein | — | Wie lange ein Gerät seine Adresse behält, bevor sie erneuert werden muss, z.B. 1d oder 12h. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | DHCP-Server inaktiv schalten, ohne ihn zu löschen. |

<a id="schema-ip-dhcp-server-network"></a>
#### DHCP-Netzwerke
RouterOS-Menü: `/ip dhcp-server network` · REST-Pfad: `ip/dhcp-server/network`

Gateway/DNS/Optionen, die ein DHCP-Server an seine Klienten verteilt.

Getrennt vom DHCP-Server selbst, weil dieselben Netzwerk-Optionen für mehrere DHCP-Server gelten können.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Netz | `address` | Text | Ja | — | Für dieses Netz gelten die folgenden Optionen — die Netzadresse mit Präfix, z.B. 192.168.88.0/24. |
| Gateway | `gateway` | Text | Ja | — | In der Regel die Router-Adresse in diesem Netz, ohne Präfix, z.B. 192.168.88.1. |
| DNS-Server | `dns-server` | Text | Nein | — | Meist der Router selbst, z.B. 192.168.88.1. Mehrere Server kommagetrennt möglich. |

<a id="schema-ip-dhcp-client"></a>
#### DHCP-Client (WAN)
RouterOS-Menü: `/ip dhcp-client` · REST-Pfad: `ip/dhcp-client`

Bezieht automatisch eine IP-Adresse vom Internetanbieter.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Interface | `interface` | Auswahl aus Live-Interface-Liste des Routers | Ja | — | Meist der WAN-Port, z.B. ether1. |
| Standardroute übernehmen | `add-default-route` | Ja/Nein | Nein | `yes` | Übernimmt die vom Provider mitgeteilte Standardroute ins Internet. |
| DNS-Server übernehmen | `use-peer-dns` | Ja/Nein | Nein | `yes` | Übernimmt die vom Provider mitgeteilten DNS-Server. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | DHCP-Client inaktiv schalten, ohne ihn zu löschen. |

<a id="schema-ip-dns"></a>
#### DNS-Einstellungen *(Einstellungsmenü — genau ein Eintrag, kein Anlegen/Löschen)*
RouterOS-Menü: `/ip dns` · REST-Pfad: `ip/dns`

Namensauflösung des Routers selbst (und optional als DNS-Server fürs LAN).

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| DNS-Server | `servers` | Text | Nein | — | Ein oder mehrere Server, kommagetrennt, z.B. 1.1.1.1,8.8.8.8. |
| Als DNS-Server fürs LAN erlauben | `allow-remote-requests` | Ja/Nein | Nein | `no` | Lässt Geräte im LAN den Router selbst als DNS-Server nutzen. Ohne das schlagen DNS-Anfragen von Geräten an den Router fehl, selbst wenn sie ihn als DNS-Server eingetragen haben. |

<a id="schema-ip-service"></a>
#### Verwaltungsdienste
RouterOS-Menü: `/ip service` · REST-Pfad: `ip/service`

Schaltet Zugriffswege auf den Router (Winbox, API, SSH, WWW/REST, Telnet, FTP) an/aus und ändert deren Port.

Jeder aktive Dienst ist ein potenzieller Angriffspunkt aus dem jeweils erreichbaren Netz — nicht benötigte Dienste deaktivieren.

> ⚠️ **Achtung:** Den gerade genutzten Zugriffsweg hier abzuschalten oder umzuportieren kann die eigene Verbindung sofort kappen — Vorsicht bei www-ssl (REST-API dieser App) und ssh.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Dienst | `name` | Auswahl (fest): `www`, `www-ssl`, `ssh`, `api`, `api-ssl`, `winbox`, `ftp`, `telnet` | Ja | — | Welcher Verwaltungsdienst geändert wird. |
| Port | `port` | Zahl | Nein | — | Auf welchem Port der Dienst lauscht, z.B. 22 für ssh. |
| Erlaubt von | `available-from` | Text | Nein | — | Optional: nur von dieser Adresse/diesem Netz aus erreichbar, mit Präfix, z.B. 192.168.88.0/24. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | Dienst inaktiv schalten, ohne den Eintrag zu löschen. |

<a id="schema-ip-hotspot"></a>
#### Hotspot
RouterOS-Menü: `/ip hotspot` · REST-Pfad: `ip/hotspot`

Login-Portal für Gäste-WLAN/-LAN mit Umleitung auf eine Anmeldeseite.

Besteht aus mehreren zusammenhängenden Teilen (Server, Server-Profil, Benutzer-Profil, Benutzer) — hier generischer Zugriff auf "/ip hotspot" selbst, verwandte Teile über "Eigener Menüpfad" (z.B. "/ip hotspot user").

*Noch kein kuratiertes Formular — alle Felder erscheinen als freie Schlüssel/Wert-Paare (siehe „Eigener Menüpfad“).*


### Routing

<a id="schema-ip-route"></a>
#### Statische Routen
RouterOS-Menü: `/ip route` · REST-Pfad: `ip/route`

Feste, manuell eingetragene Wegewahl zu Netzen, die nicht direkt angeschlossen sind.

Für alles außer "Standard-Internet über eine WAN-Schnittstelle" (das übernimmt bereits die DHCP-Client-/PPPoE-Route automatisch).

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Zielnetz | `dst-address` | Text | Ja | — | Netz mit Präfix, z.B. 10.0.0.0/24, oder 0.0.0.0/0 für eine Standardroute. |
| Gateway | `gateway` | Text | Ja | — | Nächster Hop — IP-Adresse ohne Präfix (z.B. 192.168.88.254) oder Name eines Interfaces (z.B. ether1). |
| Distanz | `distance` | Zahl | Nein | — | Priorität bei mehreren passenden Routen zum selben Ziel — kleinere Zahl wird bevorzugt, z.B. 1. |
| Kommentar | `comment` | Text | Nein | — | Nur zur eigenen Wiedererkennung. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | Route inaktiv schalten, ohne sie zu löschen. |

<a id="schema-routing-ospf-instance"></a>
#### OSPF-Instanzen
RouterOS-Menü: `/routing ospf instance` · REST-Pfad: `routing/ospf/instance`

Dynamisches Innennetz-Routing-Protokoll — tauscht Routen automatisch mit anderen OSPF-Routern aus.

Nur relevant, wenn mehrere Router im selben Netz eigenständig Routen lernen sollen.

> ⚠️ **Achtung:** Fehlkonfiguriertes OSPF kann Routen zu bestehenden Netzen überschreiben. Nur mit Netzwerkplan einsetzen.

*Noch kein kuratiertes Formular — alle Felder erscheinen als freie Schlüssel/Wert-Paare (siehe „Eigener Menüpfad“).*

<a id="schema-routing-bgp-connection"></a>
#### BGP-Verbindungen
RouterOS-Menü: `/routing bgp connection` · REST-Pfad: `routing/bgp/connection`

Routing-Protokoll für Verbindungen zwischen unabhängigen Netzen/Providern.

Für Privat-/Kleinnetz i.d.R. nicht nötig — relevant bei eigenem Provider-unabhängigem Adressraum (Multihoming).

*Noch kein kuratiertes Formular — alle Felder erscheinen als freie Schlüssel/Wert-Paare (siehe „Eigener Menüpfad“).*


### VPN-Server/Clients

<a id="schema-ppp-secret"></a>
#### PPP-Benutzer
RouterOS-Menü: `/ppp secret` · REST-Pfad: `ppp/secret`

Zugangsdaten für PPPoE-/L2TP-/PPTP-/OpenVPN-Einwahl in den Router.

Jeder Benutzer kann optional einem Profil zugeordnet werden, das IP-Pool/DNS/Verschlüsselung vorgibt.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Benutzername | `name` | Text | Ja | — | Frei wählbar, z.B. gast1. |
| Passwort | `password` | Text | Ja | — | Ausreichend lang und zufällig wählen. |
| Dienst | `service` | Auswahl (fest): `any`, `pppoe`, `l2tp`, `pptp`, `ovpn`, `sstp` | Nein | `any` | Für welche Einwahl-Art dieser Benutzer gilt. |
| Profil | `profile` | Verweis auf bestehenden Eintrag unter `/ppp profile` | Nein | — | Name eines zuvor angelegten PPP-Profils. |
| Lokale Adresse | `local-address` | Text | Nein | — | IP-Adresse des Routers innerhalb dieser Verbindung, ohne Präfix, z.B. 10.10.10.1. |
| Adresse für den Client | `remote-address` | Text | Nein | — | Feste IP für diesen Benutzer (z.B. 10.10.10.2), oder Name eines Adress-Pools. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | Benutzer inaktiv schalten, ohne ihn zu löschen. |

<a id="schema-ppp-profile"></a>
#### PPP-Profile
RouterOS-Menü: `/ppp profile` · REST-Pfad: `ppp/profile`

Vorlagen (IP-Pool, DNS, Verschlüsselung) für PPP-Benutzer.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Name | `name` | Text | Ja | — | Frei wählbar, z.B. vpn-clients. |
| Lokale Adresse | `local-address` | Text | Nein | — | IP-Adresse des Routers, ohne Präfix, z.B. 10.10.10.1. |
| Adress-Pool für Clients | `remote-address` | Text | Nein | — | Name eines zuvor angelegten Adress-Pools. |
| DNS-Server für Clients | `dns-server` | Text | Nein | — | Ein oder mehrere Server, kommagetrennt, z.B. 1.1.1.1,8.8.8.8. |

<a id="schema-interface-l2tp-server-server"></a>
#### L2TP-VPN-Server
RouterOS-Menü: `/interface l2tp-server server` · REST-Pfad: `interface/l2tp-server/server`

Nimmt eingehende L2TP-VPN-Einwahlen entgegen.

Ein einzelnes Server-weites An/Aus mit gemeinsamen Verschlüsselungs-Einstellungen — Benutzer selbst kommen von "PPP-Benutzer".

*Noch kein kuratiertes Formular — alle Felder erscheinen als freie Schlüssel/Wert-Paare (siehe „Eigener Menüpfad“).*

<a id="schema-interface-ovpn-server-server"></a>
#### OpenVPN-Server
RouterOS-Menü: `/interface ovpn-server server` · REST-Pfad: `interface/ovpn-server/server`

Nimmt eingehende OpenVPN-Einwahlen entgegen.

Braucht zusätzlich ein Zertifikat ("/certificate") — Benutzer selbst kommen von "PPP-Benutzer".

*Noch kein kuratiertes Formular — alle Felder erscheinen als freie Schlüssel/Wert-Paare (siehe „Eigener Menüpfad“).*


### WLAN / CAPsMAN

<a id="schema-interface-wireless"></a>
#### WLAN (Legacy-Treiber)
RouterOS-Menü: `/interface wireless` · REST-Pfad: `interface/wireless`

WLAN-Interfaces auf älteren/Standard-Wireless-Chips.

Diese Interfaces existieren bereits ab Werk (ein WLAN-Chip = ein Interface) — hier werden sie nur konfiguriert, nicht neu angelegt. Ein Sicherheitsprofil (siehe "WLAN-Sicherheitsprofile") muss vorher angelegt sein.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Netzwerkname (SSID) | `ssid` | Text | Ja | — | Der Name, den WLAN-Geräte in der Netzwerkliste sehen, z.B. MeinWLAN. |
| Sicherheitsprofil | `security-profile` | Text | Nein | — | Name eines zuvor unter "WLAN-Sicherheitsprofile" angelegten Profils. |
| Modus | `mode` | Auswahl (fest): `ap-bridge`, `station`, `bridge` | Nein | `ap-bridge` | ap-bridge = Access Point (Normalfall), station = als Client mit einem anderen AP verbinden. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | WLAN-Interface inaktiv schalten, ohne es zu löschen. |

<a id="schema-interface-wireless-security-profiles"></a>
#### WLAN-Sicherheitsprofile
RouterOS-Menü: `/interface wireless security-profiles` · REST-Pfad: `interface/wireless/security-profiles`

Verschlüsselung/Passwort-Vorlagen für WLAN-Interfaces (Legacy-Treiber).

Ein Profil wird angelegt und dann bei einem WLAN-Interface als "security-profile" eingetragen.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Name | `name` | Text | Ja | — | Frei wählbar, z.B. heimnetz-wpa2. |
| Modus | `mode` | Auswahl (fest): `none`, `static-keys-required`, `dynamic-keys` | Nein | `dynamic-keys` | dynamic-keys ist der übliche WPA/WPA2-Modus. |
| Authentifizierung | `authentication-types` | Auswahl (fest): `wpa-psk`, `wpa2-psk`, `wpa-psk,wpa2-psk`, `wpa-eap`, `wpa2-eap` | Nein | — | wpa2-psk = WPA2 mit gemeinsamem Passwort (Heimnetz-Standard). |
| WPA2-Passwort | `wpa2-pre-shared-key` | Text | Nein | — | Mindestens 8 Zeichen. |

<a id="schema-interface-wifi"></a>
#### WLAN (neuer wifiwave2/802.11ax-Treiber)
RouterOS-Menü: `/interface wifi` · REST-Pfad: `interface/wifi`

WLAN-Interfaces auf neueren Wireless-Chips.

Anderes, verschachteltes Konfigurationsschema als der Legacy-Treiber (Punkt-Notation wie "security.passphrase") — nicht mit "/interface wireless" mischen. Nur auf Geräten mit entsprechend neuem WLAN-Chip vorhanden.

> ⚠️ **Achtung:** Diese App hat den .set-Pfad für den neuen Treiber noch nie gegen echte Hardware getestet (siehe HANDOFF.md) — nach dem Anwenden unbedingt prüfen.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Netzwerkname (SSID) | `ssid` | Text | Ja | — | Der Name, den WLAN-Geräte in der Netzwerkliste sehen, z.B. MeinWLAN. |
| Authentifizierung | `security.authentication-types` | Auswahl (fest): `wpa2-psk`, `wpa3-psk`, `wpa2-psk,wpa3-psk` | Nein | — | wpa2-psk,wpa3-psk deckt sowohl ältere als auch neuere Geräte ab. |
| Passwort | `security.passphrase` | Text | Nein | — | Mindestens 8 Zeichen. |
| Ziel-Bridge | `datapath.bridge` | Text | Nein | — | Name der Bridge, der dieses WLAN-Netz zugeordnet wird (üblicherweise dieselbe wie das kabelgebundene LAN), z.B. bridge. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | WLAN-Interface inaktiv schalten, ohne es zu löschen. |

<a id="schema-caps-man-manager"></a>
#### CAPsMAN-Zentrale
RouterOS-Menü: `/caps-man manager` · REST-Pfad: `caps-man/manager`

Zentrale Verwaltung mehrerer WLAN-Access-Points von einem Router aus.

Nur relevant mit mehreren WLAN-Access-Points, die zentral verwaltet werden sollen — eigenes, umfangreiches Konfigurationsschema (Konfigurationen/Kanäle/Datapaths).

*Noch kein kuratiertes Formular — alle Felder erscheinen als freie Schlüssel/Wert-Paare (siehe „Eigener Menüpfad“).*


### Firewall: Filter-Regeln

<a id="schema-ip-firewall-filter"></a>
#### Filter-Regeln
RouterOS-Menü: `/ip firewall filter` · REST-Pfad: `ip/firewall/filter`

Entscheidet, ob Pakete durchgelassen (accept), verworfen (drop/reject) oder weiter geprüft werden.

input = Zugriffe auf den Router selbst, forward = Verkehr, der durch den Router hindurchgeht (z.B. LAN↔Internet oder zwischen zwei Netzen), output = vom Router ausgehender Verkehr. Regeln werden von oben nach unten geprüft; die erste passende Regel entscheidet.

> ⚠️ **Achtung:** Reihenfolge zählt. Neue Regeln landen am Ende der Liste — eine bereits vorhandene, weiter oben stehende Regel kann eine neue Regel unerreichbar machen. Position danach mit "/ip firewall filter print" kontrollieren, notfalls mit "move" verschieben.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Chain | `chain` | Text | Ja | `forward` | input = an den Router, forward = durch den Router, output = vom Router aus. Eigene Chains (Sprungziele über "jump") sind ebenfalls möglich. Beispiel: forward |
| Aktion | `action` | Auswahl (fest): `accept`, `drop`, `reject`, `log`, `jump`, `return`, `add-src-to-address-list`, `add-dst-to-address-list`, `fasttrack-connection`, `passthrough` | Ja | `accept` | Was mit passenden Paketen geschieht. reject schickt zusätzlich eine Fehlermeldung zurück, drop verwirft stillschweigend. |
| Quell-Adresse | `src-address` | Text | Nein | — | Einzel-IP oder Netz mit Präfix, z.B. 192.168.88.5 oder 192.168.88.0/24. Leer = beliebig. |
| Ziel-Adresse | `dst-address` | Text | Nein | — | Einzel-IP oder Netz mit Präfix, z.B. 192.168.88.5 oder 192.168.88.0/24. Leer = beliebig. |
| Quelle in Adress-Liste | `src-address-list` | Verweis auf bestehenden Eintrag unter `/ip firewall address-list` | Nein | — | Nur Pakete, deren Absender in dieser zuvor angelegten Adress-Liste steht. |
| Ziel in Adress-Liste | `dst-address-list` | Verweis auf bestehenden Eintrag unter `/ip firewall address-list` | Nein | — | Nur Pakete, deren Ziel in dieser zuvor angelegten Adress-Liste steht. |
| Eingangs-Interface | `in-interface` | Auswahl aus Live-Interface-Liste des Routers | Nein | — | Nur Pakete, die über dieses Interface hereinkommen, z.B. ether1 oder bridge. |
| Ausgangs-Interface | `out-interface` | Auswahl aus Live-Interface-Liste des Routers | Nein | — | Nur Pakete, die über dieses Interface hinausgehen, z.B. ether1 oder bridge. |
| Protokoll | `protocol` | Auswahl (fest): `tcp`, `udp`, `icmp`, `gre`, `ipsec-esp`, `ipsec-ah` | Nein | — | IP-Protokoll. Leer = alle. |
| Ziel-Port(s) | `dst-port` | Text | Nein | — | Nur bei tcp/udp sinnvoll. Einzelner Port (z.B. 80) oder Bereich (z.B. 8000-8100). |
| Verbindungsstatus | `connection-state` | Auswahl (fest): `new`, `established`, `related`, `invalid`, `untracked` | Nein | — | Status laut Connection-Tracking. "established,related" ist die übliche "schon erlaubte Verbindung"-Regel. |
| Layer7-Protokoll | `layer7-protocol` | Text | Nein | — | Name eines vorher unter "/ip firewall layer7-protocol" angelegten Musters (z.B. Erkennung bestimmter Apps). Kostet spürbar CPU, mit Bedacht einsetzen. |
| Kommentar | `comment` | Text | Nein | — | Nur zur eigenen Wiedererkennung, ohne technische Wirkung. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | Regel inaktiv schalten, ohne sie zu löschen. |


### Firewall: NAT (Portweiterleitung etc.)

<a id="schema-ip-firewall-nat"></a>
#### NAT-Regeln
RouterOS-Menü: `/ip firewall nat` · REST-Pfad: `ip/firewall/nat`

Übersetzt Adressen — Internetfreigabe (srcnat/masquerade) und Portweiterleitung (dstnat).

srcnat ändert die Absenderadresse ausgehender Pakete (z.B. private LAN-IP → öffentliche WAN-IP). dstnat ändert die Zieladresse eingehender Pakete (z.B. Anfrage an die WAN-IP auf Port 80 → internen Server auf 192.168.88.10:80 umleiten).

> ⚠️ **Achtung:** Eine dstnat-Regel (Portweiterleitung) macht ein internes Gerät direkt aus dem Internet erreichbar — nur für Dienste einrichten, die das wirklich sein sollen, und danach den entsprechenden Port in der Filter-Tabelle nicht blockieren.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Chain | `chain` | Auswahl (fest): `srcnat`, `dstnat` | Ja | `srcnat` | srcnat = Absenderadresse ändern (Internetfreigabe). dstnat = Zieladresse ändern (Portweiterleitung). |
| Aktion | `action` | Auswahl (fest): `masquerade`, `src-nat`, `dst-nat`, `netmap`, `redirect`, `same` | Ja | `masquerade` | masquerade = automatisches NAT über die aktuelle WAN-IP (empfohlen bei wechselnder IP). src-nat = feste NAT-Adresse. dst-nat = Ziel umschreiben (Portweiterleitung). redirect = auf den Router selbst umlenken. |
| Quell-Adresse | `src-address` | Text | Nein | — | Einzel-IP oder Netz mit Präfix, z.B. 192.168.88.0/24. Leer = beliebig. |
| Ziel-Adresse | `dst-address` | Text | Nein | — | Einzel-IP oder Netz mit Präfix, z.B. 192.168.88.0/24. Leer = beliebig. |
| Eingangs-Interface | `in-interface` | Auswahl aus Live-Interface-Liste des Routers | Nein | — | Bei dstnat meist der WAN-Port (woher die Anfrage aus dem Internet kommt), z.B. ether1. |
| Ausgangs-Interface | `out-interface` | Auswahl aus Live-Interface-Liste des Routers | Nein | — | Bei srcnat/masquerade meist der WAN-Port, z.B. ether1. |
| Protokoll | `protocol` | Auswahl (fest): `tcp`, `udp`, `icmp` | Nein | — | Nötig, damit Ports geprüft werden können. |
| Ziel-Port der Anfrage | `dst-port` | Text | Nein | — | Der Port, auf den die Anfrage von außen ankommt, z.B. 8080. |
| Weiterleiten an (interne IP) | `to-addresses` | Text | Nein | — | Nur bei dst-nat: die interne IP-Adresse, an die weitergeleitet wird, z.B. 192.168.88.10. |
| Weiterleiten an (interner Port) | `to-ports` | Text | Nein | — | Nur bei dst-nat: interner Port, falls abweichend vom Ziel-Port (z.B. extern 8080 → intern 80). |
| Kommentar | `comment` | Text | Nein | — | Nur zur Wiedererkennung. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | Regel inaktiv schalten, ohne sie zu löschen. |


### Firewall: Mangle (Markierung/QoS-Vorbereitung)

<a id="schema-ip-firewall-mangle"></a>
#### Mangle-Regeln
RouterOS-Menü: `/ip firewall mangle` · REST-Pfad: `ip/firewall/mangle`

Markiert Verbindungen/Pakete zur späteren Weiterverarbeitung (z.B. durch Queues).

Mangle selbst verändert nicht, wie ein Paket behandelt wird — es klebt nur eine Markierung darauf. Erst eine andere Regel (typischerweise eine Queue oder eine Routing-Regel), die genau diese Markierung als Bedingung abfragt, wird dadurch wirksam.

> ⚠️ **Achtung:** Eine Markierung ohne etwas, das sie auswertet (z.B. keine passende Queue), hat keinerlei sichtbaren Effekt — das ist der häufigste Verwirrungspunkt bei Mangle.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Chain | `chain` | Auswahl (fest): `prerouting`, `input`, `forward`, `output`, `postrouting` | Ja | `forward` | Verarbeitungspunkt im Router-internen Paketfluss. |
| Aktion | `action` | Auswahl (fest): `mark-connection`, `mark-packet`, `mark-routing`, `change-mss`, `change-ttl`, `set-priority`, `accept`, `passthrough` | Ja | `mark-connection` | mark-connection markiert die ganze Verbindung (wirkt auf alle ihre Pakete), mark-packet nur einzelne Pakete. |
| Name der Verbindungsmarkierung | `new-connection-mark` | Text | Nein | — | Frei wählbarer Name, den z.B. eine Queue später wiedererkennt. |
| Name der Paketmarkierung | `new-packet-mark` | Text | Nein | — | Frei wählbarer Name für die Paketmarkierung. |
| Weitere Mangle-Regeln noch prüfen | `passthrough` | Ja/Nein | Nein | `yes` | Ja (Standard) lässt nachfolgende Mangle-Regeln diese Verbindung noch zusätzlich prüfen. |
| Quell-Adresse | `src-address` | Text | Nein | — | Einzel-IP oder Netz mit Präfix, z.B. 192.168.88.0/24. Leer = beliebig. |
| Ziel-Adresse | `dst-address` | Text | Nein | — | Einzel-IP oder Netz mit Präfix, z.B. 192.168.88.0/24. Leer = beliebig. |
| Eingangs-Interface | `in-interface` | Auswahl aus Live-Interface-Liste des Routers | Nein | — | Nur Pakete, die über dieses Interface hereinkommen, z.B. ether1 oder bridge. |
| Ausgangs-Interface | `out-interface` | Auswahl aus Live-Interface-Liste des Routers | Nein | — | Nur Pakete, die über dieses Interface hinausgehen, z.B. ether1 oder bridge. |
| Protokoll | `protocol` | Auswahl (fest): `tcp`, `udp`, `icmp` | Nein | — | IP-Protokoll. Leer = alle. |
| Ziel-Port(s) | `dst-port` | Text | Nein | — | Nur bei tcp/udp sinnvoll. Einzelner Port (z.B. 80) oder Bereich (z.B. 8000-8100). |
| Kommentar | `comment` | Text | Nein | — | Nur zur Wiedererkennung. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | Regel inaktiv schalten, ohne sie zu löschen. |


### Firewall: Raw (vor Connection-Tracking)

<a id="schema-ip-firewall-raw"></a>
#### Raw-Regeln
RouterOS-Menü: `/ip firewall raw` · REST-Pfad: `ip/firewall/raw`

Läuft vor jeder Connection-Tracking-Verarbeitung — meist zur Entlastung oder für DDoS-Grobfilter.

Regeln hier greifen, bevor RouterOS eine Verbindung überhaupt "kennt" (Connection-Tracking). Damit lässt sich z.B. bekannt uninteressanter Verkehr sehr günstig verwerfen, oder gezielt vom Tracking ausnehmen (notrack).

> ⚠️ **Achtung:** notrack nimmt den betroffenen Verkehr aus dem Connection-Tracking heraus — danach greifen dafür keine Filter-/NAT-Regeln mehr, die sich auf connection-state oder NAT verlassen. Nur gezielt einsetzen.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Chain | `chain` | Auswahl (fest): `prerouting`, `output` | Ja | `prerouting` | prerouting = eingehende Pakete, bevor der Router sie verarbeitet. output = vom Router selbst erzeugte Pakete. |
| Aktion | `action` | Auswahl (fest): `accept`, `drop`, `notrack` | Ja | `accept` | notrack = von der Connection-Tracking-Verfolgung ausnehmen (siehe Warnhinweis oben). |
| Quell-Adresse | `src-address` | Text | Nein | — | Einzel-IP oder Netz mit Präfix, z.B. 192.168.88.0/24. Leer = beliebig. |
| Ziel-Adresse | `dst-address` | Text | Nein | — | Einzel-IP oder Netz mit Präfix, z.B. 192.168.88.0/24. Leer = beliebig. |
| Eingangs-Interface | `in-interface` | Auswahl aus Live-Interface-Liste des Routers | Nein | — | Nur Pakete, die über dieses Interface hereinkommen, z.B. ether1. |
| Protokoll | `protocol` | Auswahl (fest): `tcp`, `udp`, `icmp` | Nein | — | IP-Protokoll. Leer = alle. |
| Ziel-Port(s) | `dst-port` | Text | Nein | — | Nur bei tcp/udp sinnvoll. Einzelner Port (z.B. 80) oder Bereich (z.B. 8000-8100). |
| Kommentar | `comment` | Text | Nein | — | Nur zur eigenen Wiedererkennung. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | Regel inaktiv schalten, ohne sie zu löschen. |


### Firewall: Adress-Listen

<a id="schema-ip-firewall-address-list"></a>
#### Adress-Listen
RouterOS-Menü: `/ip firewall address-list` · REST-Pfad: `ip/firewall/address-list`

Benannte Gruppen von IP-Adressen/Netzen, die Filter/NAT/Mangle-Regeln als Bedingung referenzieren können.

Statt in jeder Regel einzelne IPs aufzuzählen, legst du hier eine benannte Liste an (z.B. "gesperrt" oder "vertraut") und verweist in Filter-/NAT-/Mangle-Regeln per "src-address-list"/"dst-address-list" darauf. Einträge können dauerhaft oder mit Ablaufzeit (timeout) sein.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Listen-Name | `list` | Text | Ja | — | Frei wählbarer Name, wird in anderen Regeln referenziert, z.B. gesperrt. |
| Adresse | `address` | Text | Ja | — | Einzel-IP oder Netz mit Präfix, z.B. 192.168.88.5 oder 10.0.0.0/24. |
| Ablaufzeit | `timeout` | Zeitdauer (Tage/Std/Min/Sek, per Stepper) | Nein | — | Optional. Nach dieser Zeit wird der Eintrag automatisch entfernt. Alles auf 0 lassen = bleibt dauerhaft, bis manuell entfernt. |
| Kommentar | `comment` | Text | Nein | — | Nur zur eigenen Wiedererkennung. |


### Queues / Bandbreiten-Steuerung

<a id="schema-queue-simple"></a>
#### Einfache Bandbreiten-Begrenzung
RouterOS-Menü: `/queue simple` · REST-Pfad: `queue/simple`

Begrenzt Up-/Download einer IP-Adresse oder eines Netzes.

Reicht für die meisten Heim-/Kleinnetz-Fälle ohne Mangle-Markierungen aus.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Name | `name` | Text | Ja | — | Frei wählbar, z.B. limit-gast. |
| Ziel | `target` | Text | Ja | — | IP-Adresse oder Netz, das begrenzt wird, mit Präfix, z.B. 192.168.88.50/32. |
| Max. Bandbreite (Upload/Download) | `max-limit` | Text | Ja | — | Zwei Werte getrennt durch "/", z.B. 10M/50M (Upload/Download). |
| Burst-Bandbreite | `burst-limit` | Text | Nein | — | Optional: kurzzeitig erlaubte höhere Bandbreite, z.B. 15M/60M. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | Begrenzung inaktiv schalten, ohne sie zu löschen. |

<a id="schema-queue-tree"></a>
#### Queue-Baum
RouterOS-Menü: `/queue tree` · REST-Pfad: `queue/tree`

Erweiterte, hierarchische Bandbreiten-Steuerung basierend auf Mangle-Markierungen.

Statt einer festen Adresse wirkt ein Queue-Baum-Eintrag auf Verkehr mit einer bestimmten Mangle-Markierung.

> ⚠️ **Achtung:** Setzt eine passende Mangle-Regel voraus, die genau diese Markierung setzt (siehe Firewall: Mangle) — ohne die greift ein Queue-Baum-Eintrag ins Leere.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Name | `name` | Text | Ja | — | Frei wählbar, z.B. queue-gast. |
| Übergeordnet | `parent` | Text | Ja | — | Ein Interface (z.B. der WAN-Port, etwa ether1) oder der Name eines anderen Queue-Baum-Eintrags. |
| Paket-/Verbindungsmarkierung | `packet-mark` | Text | Nein | — | Name der Mangle-Markierung, auf die dieser Eintrag wirkt. |
| Max. Bandbreite | `max-limit` | Text | Nein | — | Einzelwert, z.B. 20M. |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | Begrenzung inaktiv schalten, ohne sie zu löschen. |


### Werkzeuge & Überwachung

<a id="schema-tool-netwatch"></a>
#### Netwatch
RouterOS-Menü: `/tool netwatch` · REST-Pfad: `tool/netwatch`

Überwacht laufend, ob eine Adresse erreichbar ist, und kann bei Statuswechsel ein Skript auslösen.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Zu überwachende Adresse | `host` | Text | Ja | — | IP-Adresse oder Hostname, ohne Präfix, z.B. 192.168.88.1 oder 8.8.8.8. |
| Prüf-Intervall | `interval` | Zeitdauer (Tage/Std/Min/Sek, per Stepper) | Nein | `10s` | Wie oft die Erreichbarkeit geprüft wird. |
| Skript bei Erreichbarkeit | `up-script` | Text | Nein | — | Name eines Skripts unter "Skripte". |
| Skript bei Nichterreichbarkeit | `down-script` | Text | Nein | — | Name eines Skripts unter "Skripte". |
| Deaktiviert | `disabled` | Ja/Nein | Nein | `no` | Überwachung inaktiv schalten, ohne sie zu löschen. |

<a id="schema-tool-e-mail"></a>
#### E-Mail-Versand *(Einstellungsmenü — genau ein Eintrag, kein Anlegen/Löschen)*
RouterOS-Menü: `/tool e-mail` · REST-Pfad: `tool/e-mail`

Postausgangs-Server, den Scheduler/Netwatch/Skripte für Benachrichtigungen nutzen.

Ein einzelner, geräteweiter Satz Einstellungen — kein Menü mit mehreren Einträgen.

| Feld | RouterOS-Parameter | Typ | Pflicht | Standard | Hilfetext |
|---|---|---|---|---|---|
| Mailserver-Adresse | `address` | Text | Ja | — | Hostname oder IP-Adresse des Mailservers, z.B. smtp.gmail.com. |
| Port | `port` | Zahl | Nein | — | Meist 587 (STARTTLS) oder 465 (SSL). |
| Absenderadresse | `from` | Text | Nein | — | Z.B. router@example.com. |
| Benutzername | `user` | Text | Nein | — | Zugangsdaten des Mailservers. |
| Passwort | `password` | Text | Nein | — | Zugangsdaten des Mailservers. |

<!-- EXPERT_REFERENCE_END -->

---

<a id="tab-backup"></a>
## 6. Sicherungen

![Sicherung/Wiederherstellung](Manual-assets/backup_restore.png)

- **Jetzt sichern**: „Erstelle eine Sicherung, bevor du Änderungen am
  Router vornimmst.“ Exportiert die aktuelle Konfiguration.
- **Speicherort**: „Wähle einen eigenen Ordner für neue Sicherungen, z.B.
  auf einer externen Festplatte oder in iCloud Drive“ / „Standard
  verwenden“ — „Setzt den Speicherort zurück auf den App-eigenen
  Standardordner.“
- **Wiederherstellen**: „Diese Sicherung auf den verbundenen Router
  zurückspielen — nur für exakt dasselbe Routermodell.“ Lädt das Backup
  über SFTP hoch und spielt es zurück ein; prüft vorher, ob das Backup
  zum angeschlossenen Routermodell passt (Schutz vor einem „Brick“ durch
  falsches Modell), und erhält den aktuellen Login automatisch (Backups
  enthalten grundsätzlich keine Passwörter).
- **Gefahrenzone — Werkseinstellungen wiederherstellen**: „Setzt den
  Router komplett auf die vom Hersteller mitgelieferte
  Standardkonfiguration zurück — alle bisherigen Änderungen (Internet,
  Heimnetz, VLANs, WLAN, Firewall) gehen verloren. Der Router startet
  danach neu.“ Vor dem endgültigen Zurücksetzen: „Dies löscht ALLE
  bisherigen Einstellungen … Vorher wird zusätzlich automatisch eine
  Sicherung erstellt.“ Nur für den Notfall gedacht, falls etwas
  schiefgelaufen ist.

---

<a id="tab-settings"></a>
## 7. Einstellungen

Erreichbar über das App-Menü **RouterOS Assistant → Einstellungen…**
(oder ⌘,) — kein eigener Tab, sondern ein natives macOS-Settings-Fenster
mit drei Reitern. Jede Änderung wirkt sofort, ohne Neustart der App.

**Allgemein**

- **Sprache**: DE/EN-Umschalter — „Entspricht dem 🇩🇪/🇬🇧-Knopf in der
  Toolbar — beide steuern dieselbe Einstellung.“
- **Beim Verbinden automatisch nach Updates suchen** (Standard: aus):
  „Prüft nach jedem erfolgreichen Verbinden automatisch, ob eine neuere
  RouterOS-Version verfügbar ist — entspricht dem Button „Nach Updates
  suchen“ im Tab „Verbinden“.“

**Darstellung**

- **Farbschema**: Standard oder Kontrastreich. „Gilt für die
  Diagrammfarben in der Übersicht und die Status-Farben im LAN-Scanner
  (Traffic aktiv, Fest/Dynamisch, offener/geschlossener Port).“ Färbt
  außerdem die Kategorien in der Experte-Tab-Seitenleiste (Firewall,
  Interfaces, IP-Adressierung, Routing, VPN/WLAN/Queues/System/
  Werkzeuge) mit derselben Palette.
- **Textgröße**: Klein / Standard / Groß / Sehr groß. Gilt für Text
  überall in der App — mit zwei bewussten Ausnahmen: die Knotenkarten im
  Übersicht-Diagramm und die Tabellenspalten im LAN-Scanner bleiben fest
  in ihrer Schriftgröße, da sie feste Kartenbreiten haben und sonst
  Text abschneiden würden.
- **Bedienelemente**: Kompakt / Standard / Komfortabel — „Größe von
  Buttons, Feldern und Abständen in der ganzen App.“

**Netzwerk**

- **Aktualisierungsrate** (0,1 s / 0,5 s / 1 s / 3 s): wie oft der
  LAN-Scanner den Live-Traffic pro Port abfragt. „Höhere
  Aktualisierungsraten zeigen den Traffic-Verlauf feiner, kosten aber
  mehr CPU bei vielen gleichzeitig aktiven Ports.“
- **Sparkline-Zeitfenster** (10 s / 30 s / 60 s) und
  **Sparkline-Breite** (100–300pt): Länge bzw. Breite der kleinen
  Traffic-Verlaufsgrafik neben jeder Port-Überschrift im LAN-Scanner.