- workerii `dhcp-router` și `mdns-listener`

 - Work Order-ul existent pentru retragerea numelor legacy

 ## Inspecție

 |--------|-----|

 | `var/host-manager.sqlite` | sursa de adevăr runtime pentru registry și Work Orders |

 | `config/hosts.yaml` | seed/snapshot export pentru hosturi și FQDN-uri canonice |

 `madagascar.xdev.ro` este domeniul implicit. Pentru orice host real `*.madagascar.xdev.ro`, aliasul scurt este derivat automat. De exemplu, `autonas01.madagascar.xdev.ro` publică și `autonas01`. Vhosturile, de exemplu `pmx.baobab.madagascar.xdev.ro`, se publică drept CNAME către hostul care le servește; aliasul scurt derivat, de exemplu `pmx.baobab`, este tot CNAME. Aliasurile derivate nu se declară separat în registry.

 1. DHCP lease/reservation pe router (`admin@192.168.2.1`) — autoritatea pentru alocarea IP-urilor pe LAN. Configurațiile statice locale nu au voie să mute un IP peste DHCP; cel mult semnalează o rezervare lipsă sau o intrare veche.

 2. `cluster/cluster-context/madagascar.json` — autoritatea pentru roluri, topologie și IP-uri de serviciu. Pentru nodurile Proxmox, DNS-ul de serviciu poate folosi interfața `thunderbridge` (`192.168.10.x`) chiar dacă management/WAN este `192.168.2.x`.

 3. `var/host-manager.sqlite` — registry-ul operațional aprobat, editat prin Madagascar Local Authority.

 5. `hosts-local.yaml` — inventar SSH: aliasuri, utilizatori, entrypoint-uri și căi de acces. IP-urile de aici sunt utile pentru audit, dar pot fi stale dacă DHCP spune altceva.

 6. mDNS (`*.local`) — sursă observată de descoperire și validare. Confirmă prezența unui host sau propune aliasuri, dar nu creează automat intrări `madagascar.xdev.ro`.

 7. DNS public — folosit doar pentru acces extern. Local, numele interne trebuie shadow-uite exact sau lăsate nerezolvate; wildcard-ul public nu este autoritate pentru LAN.

 - `var/host-manager.sqlite` - runtime source of truth for host registry and Work Orders

 - `config/hosts.yaml` - seed/snapshot export for host registry compatibility

 - `config/work-orders.yaml` - seed/snapshot export for confirmable operational changes

 - `scripts/host_manager.pl` - Perl-only web app

 - `scripts/ca_manager.sh` - local OpenSSL CA helper for host certificates

 The public `xdev.ro` zone is maintained in the separate DNS public-zone repository.

 The default internal domain is `madagascar.xdev.ro`. Short aliases are derived automatically from FQDNs, so `autonas01.madagascar.xdev.ro` also publishes `autonas01` without declaring it separately.

 The local host CA stores private material outside git under `var/ca`. Initialize it on jumper with:

 # Local DNS manifest for the madagascar network.

 #

 # Format:

 # ip<TAB>name [aliases...]

 #

 # Priority rule:

 # - DHCP lease/reservation on 192.168.2.1 is canonical for LAN IP allocation.

 # - madagascar.json is canonical for cluster roles and service interfaces.

 # - This file publishes approved local DNS records derived from those sources.

 192.168.10.21	autonas01.madagascar.xdev.ro autonas01

 192.168.10.22	autonas02.madagascar.xdev.ro autonas02

 192.168.2.102	mazeri.madagascar.xdev.ro mazeri

 192.168.2.103	toltec.madagascar.xdev.ro toltec

 192.168.2.107	zabbix.madagascar.xdev.ro zabbix

 ## mDNS discovery

     local_hosts_tsv => $ENV{HOST_MANAGER_LOCAL_HOSTS_TSV} || "$project_dir/config/local-hosts.tsv",

     work_orders => $ENV{HOST_MANAGER_WORK_ORDERS} || "$project_dir/config/work-orders.yaml",

 );

 while (@ARGV) {

     my $arg = shift @ARGV;

         $opt{local_hosts_tsv} = shift @ARGV;

     } elsif ($arg eq '--work-orders') {

         $opt{work_orders} = shift @ARGV;

     } elsif ($arg eq '--help' || $arg eq '-h') {

         usage();

         exit 0;

     }

 }

 my $session_secret = $ENV{HOST_MANAGER_SESSION_SECRET} || random_hex(32);

 my %sessions;

   HOST_MANAGER_DATA             Defaults to config/hosts.yaml.

   HOST_MANAGER_LOCAL_HOSTS_TSV  Defaults to config/local-hosts.tsv.

   HOST_MANAGER_WORK_ORDERS      Defaults to config/work-orders.yaml.

 SQLite is the runtime source of truth. YAML files seed a new database and remain

 download/export compatibility artifacts. The nginx vhost keeps registry, CA,

 SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"

 PROJECT_DIR="$(dirname "$SCRIPT_DIR")"

 JUMPER_HOST="jumper.madagascar.xdev.ro"

 AS01="admin@192.168.2.2"

 APPLY=false

 VERIFY=false

 TARGET="all"

 NEGATIVE_NAME="nohost.madagascar.xdev.ro"

 usage() {

     cat << EOF

 Default mode is dry-run. Use --apply to change remote resolvers.

 Examples:

   $0

   $0 --apply --verify

   $0 --target as01 --apply

 EOF

 }

         --apply) APPLY=true; shift ;;

         --verify) VERIFY=true; shift ;;

         --target) TARGET="${2:-}"; shift 2 ;;

         -h|--help) usage; exit 0 ;;

         *) die "Unknown option: $1" ;;

     esac

     *) die "Invalid target: $TARGET" ;;

 esac

 if [[ "$TARGET" == "is-vpn-gw" ]]; then

     log "Target is-vpn-gw is deprecated; use jumper"

     TARGET="jumper"

 fi

 WORK_DIR="$(mktemp -d)"

 trap 'rm -rf "$WORK_DIR"' EXIT

 HOSTS_ROWS="$WORK_DIR/hosts.rows"

 CLOAK_ROWS="$WORK_DIR/cloak.rows"

 NAMES_FILE="$WORK_DIR/names.txt"

     fi

 }

 while IFS= read -r line || [[ -n "$line" ]]; do

     [[ -z "${line//[[:space:]]/}" ]] && continue

     [[ "$line" =~ ^[[:space:]]*# ]] && continue

             printf '/ip dns static add name="%s" type=A address=%s comment="xdev-local managed"\n' "$ros_name" "$ros_ip"

         } >> "$MIKROTIK_RSC"

     done

 sort -u "$NAMES_FILE" -o "$NAMES_FILE"

 printf '/ip dns cache flush\n' >> "$MIKROTIK_RSC"