Secretul TOTP nu este în repo. Pentru bootstrap, citește URI-ul root-only de pe jumper:

 ```bash

 ```

 ## OTP

 1. Hosturile se editează în aplicație sau direct în `config/hosts.yaml`.

 2. Operatorii autentificați pot descărca `/download/hosts.yaml`, `/download/local-hosts.tsv` sau `/download/monitoring.json`.

 3. Pentru DNS local, butonul `Write local-hosts.tsv` regenerează `config/local-hosts.tsv`.

 ```bash

 ./scripts/sync_local_hosts.sh --apply --verify

 # Adăugare hosturi locale — madagascar network

 Regula importantă: local nu se folosește wildcard pentru `*.madagascar.xdev.ro`. Doar hostname-urile cunoscute din `config/local-hosts.tsv` se rezolvă local; orice nume necunoscut, inclusiv typo-uri precum `nohost.madagascar.xdev.ro`, trebuie să întoarcă `NXDOMAIN`.

 ## De ce dual?

 ## Unde se adaugă

 | Loc | Fișier | Rol |

 |-----|--------|-----|

 Zona publică poate avea nume Madagascar care ajung la IP-ul public `89.32.222.226`. Pentru LAN, fiecare nume real care există și local trebuie să aibă override exact în ambele resolvere, altfel va cădea în DNS public și va ajunge greșit la `.226`.

 1. DHCP lease/reservation pe router (`admin@192.168.2.1`) — autoritatea pentru alocarea IP-urilor pe LAN. Configurațiile statice locale nu au voie să mute un IP peste DHCP; cel mult semnalează o rezervare lipsă sau o intrare veche.

 2. `cluster/cluster-context/madagascar.json` — autoritatea pentru roluri, topologie și IP-uri de serviciu. Pentru nodurile Proxmox, DNS-ul de serviciu poate folosi interfața `thunderbridge` (`192.168.10.x`) chiar dacă management/WAN este `192.168.2.x`.

 4. `hosts-local.yaml` — inventar SSH: aliasuri, utilizatori, entrypoint-uri și căi de acces. IP-urile de aici sunt utile pentru audit, dar pot fi stale dacă DHCP spune altceva.

 5. mDNS (`*.local`) — sursă observată de descoperire și validare. Confirmă prezența unui host sau propune aliasuri, dar nu creează automat intrări `madagascar.xdev.ro`.

 6. DNS public — folosit doar pentru acces extern. Local, numele interne trebuie shadow-uite exact sau lăsate nerezolvate; wildcard-ul public nu este autoritate pentru LAN.

 - Prefixele istorice `is-`, `vad-` și `b-` se elimină la normalizarea numelor. `.vad.is.xdev.ro` rămâne deprecated și nu se reactivează prin aliasuri.

 - Dacă o sursă observată există doar în mDNS sau doar în lease-uri dinamice, se raportează ca propunere, nu se sincronizează automat în DNS.

 `dnscrypt-proxy` folosește blocklist; `google.com` și `www.google.com` sunt allowlist-uite explicit ca să nu fie întoarse ca `0.0.0.0`.

 ./scripts/sync_local_hosts.sh --apply --verify

 # 3. Verificare manuală, dacă e nevoie

 dig @192.168.2.2   host.madagascar.xdev.ro +short   # via as01

 # 4. Verificare negativă: numele inexistente nu trebuie să se rezolve

 ## Hosturi speciale — excepții

 |----------|------------------------|----------------|-------|

 ## Hosturi existente

 - `config/hosts.yaml` - git-versioned host registry

 - `config/local-hosts.tsv` - DNS manifest exported for local resolvers

 - `scripts/host_manager.pl` - Perl-only web app

 - `scripts/ca_manager.sh` - local OpenSSL CA helper for host certificates

 The public `xdev.ro` zone is maintained in the separate DNS public-zone repository.

       - "local-hosts.tsv"

       - "hosts-local.yaml"

     monitoring: "enabled"

 #!/usr/bin/env bash

 #

 #

 set -euo pipefail

 SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"

 PROJECT_DIR="$(dirname "$SCRIPT_DIR")"

 CONFIG_FILE="$PROJECT_DIR/config/local-hosts.tsv"

 AS01="admin@192.168.2.2"

 APPLY=false

 VERIFY=false

 usage() {

     cat << EOF

 Default mode is dry-run. Use --apply to change remote resolvers.

 done

 case "$TARGET" in

     *) die "Invalid target: $TARGET" ;;

 esac

 [[ -f "$CONFIG_FILE" ]] || die "Missing config file: $CONFIG_FILE"

 WORK_DIR="$(mktemp -d)"

     printf '%s' "$1" | sed 's/\\/\\\\/g; s/"/\\"/g'

 }

     local host_name

     host_name="$(hostname -f 2>/dev/null || hostname 2>/dev/null || true)"

     [[ "$host_name" == "jumper.madagascar.xdev.ro" ]] && return 0

     return 1

 }

     local remote_dir="$1"

         REMOTE_DIR="$remote_dir" bash -s

     else

     fi

 }

 printf '/ip dns cache flush\n' >> "$MIKROTIK_RSC"

 printf ':put "xdev local dns sync complete"\n' >> "$MIKROTIK_RSC"

     if ! $APPLY; then

         sed -n '1,80p' "$HOSTS_ROWS"

         sed -n '1,120p' "$CLOAK_ROWS"

         return

     fi

     remote_dir="/tmp/xdev-local-dns.$$"

         mkdir -p "$remote_dir"

         cp "$HOSTS_ROWS" "$CLOAK_ROWS" "$NAMES_FILE" "$remote_dir/"

     else

     fi

 set -euo pipefail

 stamp="$(date +%Y%m%d_%H%M%S)"

 cp /etc/hosts "/etc/hosts.bak.$stamp"

 if $APPLY || ! $VERIFY; then

     case "$TARGET" in

         all)

             sync_as01

             ;;

         as01) sync_as01 ;;

     esac

 fi

             verify_resolver 192.168.2.100

             verify_resolver 192.168.2.2

             ;;

         as01) verify_resolver 192.168.2.2 ;;

     esac

 fi