Aufbau eines Meshwork-Netzwerks¶

Die Konfiguration von Meshwork läuft darauf hinaus, dass jeder Knoten seinen eigenen Namen und seine Domäne kennt und mindestens einen erreichbaren Nachbarn hat. Anschließend baut die Domäne die übrigen Verbindungen selbst auf. Alle Aktionen werden im Web-Adminbereich durchgeführt; das Ändern der Meshwork-Einstellungen erfordert die Administratorrolle. Die genauen Felder und ihre Position sind im Abschnitt Weboberfläche beschrieben.

Anforderungen und Erreichbarkeit¶

Netzwerk-Erreichbarkeit. Ein Knoten muss in der Lage sein, eine TCP-Verbindung zum administrativen Webserver eines Nachbarn herzustellen. Der Port wird der Adresse des Nachbarn („Host:Port“) entnommen oder dem öffentlichen Port, den der Nachbar über sich selbst meldet (Knotenparameter). Einen eigenen Port hat Meshwork nicht: Es ist der Port des Webservers des Nachbarn oder, bei aktiviertem HTTPS auf dem Nachbarn, dessen TLS-Port. Hat ein Nachbar hinter NAT einen öffentlichen Port festgelegt, ist es der Port, der an seinen Webserver weitergeleitet wird. Die Werte für eine Neuinstallation sind in Anfangseinstellungen aufgeführt; der benötigte Port eines Nachbarn muss von den anderen Knoten aus geöffnet sein.
HTTPS für die automatische Erkennung über das Internet. Wenn automatisch erkannte Domänen-Knoten über öffentliche (Internet-)Adressen kommunizieren, müssen sie untereinander eine sichere Verbindung (HTTPS) herstellen, um die Authentizität des jeweils anderen über das offene Netz sicher zu bestätigen. Aktivieren Sie HTTPS daher zumindest auf den Knoten, über die die Erkennung erfolgt. HTTPS wird erst nach einem Neustart des Servers wirksam. Wenn Knoten nur über öffentliche Adressen erreichbar sind und keiner per HTTPS läuft, werden direkte automatisch erkannte Verbindungen nicht authentifiziert: Der Knoten ist dennoch sichtbar (über Relay von einem Nachbarn), seine direkte Verbindung wird jedoch mit einer Ursache gekennzeichnet (siehe Netzwerkkarte und Ressourcenkatalog).
Lokales Netzwerk — HTTPS nicht erforderlich. Wenn Domänenknoten über private Adressen eines einzigen vertrauenswürdigen Netzwerks kommunizieren (10.x.x.x, 172.16–31.x.x, 192.168.x.x sowie 127.x.x.x und 169.254.x.x), ist eine sichere Verbindung für die automatische Erkennung nicht erforderlich — die Knoten bestätigen die Authentizität auch über einfaches HTTP. Ein Knoten wird anhand seiner IP-Adresse als lokal erkannt, geben Sie Nachbarn im lokalen Netzwerk daher gezielt über IP-Adressen und nicht über Domainnamen an. HTTPS kann dabei aktiviert werden — es wird verwendet, sofern verfügbar. Eine Ausnahme ist ein Knoten, dem eine Announce-Schnittstelle mit privater Adresse zugewiesen ist. Er kündigt sich nur für einfaches HTTP an. Hat ein Knoten mehrere Netzwerke (zum Beispiel ein internes und ein öffentliches, über das die Standardroute läuft), meldet er den Nachbarn ohne gesonderte Einstellung seine öffentliche Adresse. Legen Sie für einen solchen Knoten eine Announce-Schnittstelle fest (Knoten mit mehreren Netzwerken).
Eine explizite Verbindung funktioniert auch über HTTP — die HTTPS-Anforderung gilt für sie in keinem Fall.
Name und Secret sind obligatorisch. Ein Knoten nimmt nur dann am Netzwerk teil, wenn für ihn ein Name und ein Signatur-Secret festgelegt sind.
Synchronisierte Uhren. Seit Version 2.0.2.416 lehnt ein Knoten einen Nachbarn ab, dessen Uhr um mehr als 5 Minuten von seiner eigenen abweicht, und eine solche Verbindung wird als nicht erreichbar angezeigt. Halten Sie auf allen Knoten die Zeitsynchronisation (NTP) in Betrieb. Bei einer Abweichung von mehr als der halben Toleranz schreiben beide Knoten eine Warnung mit dem Namen des Nachbarn und der Größe der Abweichung ins Protokoll. Die Toleranz legt der Parameter cluster-hello-window-sec im Abschnitt cluster der Konfigurationsdatei fest (Die Einstellungsdatei pss.json): standardmäßig 300 Sekunden, von 0 bis 86400; 0 schaltet die Uhrenprüfung ab, wenn sich die Uhren nicht synchronisieren lassen.
Namensbeschränkungen. Ein Knotenname umfasst 2 bis 16 Zeichen, ein Domänenname ist höchstens 16 Zeichen lang; erlaubt sind lateinische Buchstaben, Ziffern und die Zeichen _, -, .. Leerzeichen und andere Zeichen sind nicht zulässig (zum Beispiel lässt sich die Domäne „Alex Home“ nicht festlegen — verwenden Sie Alex_Home).

Knotenparameter¶

In den Servereinstellungen wird festgelegt, wie sich der Knoten im Netzwerk vorstellt:

Knotenname — ein kurzer, eindeutiger Name, an dem die anderen den Knoten erkennen. Ein leerer Name bedeutet, dass der Knoten nicht am Netzwerk teilnimmt.
Notiz — eine beliebige Beschriftung des Knotens (zum Beispiel „Moskau, Rack 3“), wird im Adminbereich angezeigt und hat keinen Einfluss auf den Netzwerkbetrieb.
Domäne — Knoten mit derselben Domäne finden sich automatisch, teilen sich einen gemeinsamen Ressourcenkatalog und replizieren Alarme. Ein leerer Wert deaktiviert die automatische Erkennung (der Knoten kann nur über die explizite Nachbarliste arbeiten).
Öffentliche Ports (HTTP und HTTPS) — die Ports, die der Knoten den Nachbarn für die Rück-Erreichbarkeit bei Adressübersetzung (NAT) mitteilt. Sind sie nicht festgelegt, meldet der Knoten seine eigenen Webserver-Ports.
Announce-Schnittstelle — die Netzwerkschnittstelle, deren Adresse der Knoten den Nachbarn anstelle des Hostnamens des Webservers oder seiner öffentlichen Adresse meldet. Sie wird von einem Knoten mit mehreren Netzwerken benötigt (Knoten mit mehreren Netzwerken). Eine private Adresse wird nur für einfaches HTTP angekündigt, die öffentlichen Ports gelten für sie nicht. Der Wert „Standard (HTTP-Hostname oder öffentliche Adresse)“ bedeutet, dass der Knoten die Standardadresse meldet.
Zusätzliche Domänen (super-node-Modus) — der Knoten ist zusätzlich Mitglied der aufgeführten Domänen. Die Ressourcen bleiben je Domäne isoliert — der Knoten vermischt sie nicht. In seiner Hauptdomäne ist der Knoten vollwertiger Teilnehmer der automatischen Erkennung. In einer zusätzlichen Domäne ist er nur mit den Nachbarn aus seiner Liste verbunden (Nachbarn und Secrets): Von ihnen erhält er den Ressourcenkatalog und die Alarme dieser Domäne, die übrigen Knoten der Domäne sieht er über sie und wendet sich nicht selbst an sie. Tragen Sie daher bei der super-node für jede zusätzliche Domäne mindestens einen Nachbarn aus dieser Domäne ein.

Nachbarn und Secrets¶

Hier wird festgelegt, mit welchen Nachbarn der Knoten eine direkte Verbindung unterhält und wie die Seiten einander überprüfen. Anfragen zwischen Knoten werden mit einem gemeinsamen Secret signiert, daher kommt ohne übereinstimmende Secrets keine Verbindung zustande. Die Länge jedes Secrets beträgt 16 bis 128 Zeichen.

Die Nachbarliste besteht aus Einträgen der Form „Adresse — Name — Secret“:

Adresse eines Nachbarn — der „Host:Port“ seines Adminbereichs. Ein Eintrag darf ohne Adresse sein: Ein solcher Nachbar wird von diesem Knoten nie kontaktiert (er baut die Verbindung nur selbst auf) und wird anhand von Namen und Secret erkannt. So richtet man einen Knoten hinter NAT ein, der nur eine Verbindung initiieren kann.
Name eines Nachbarn muss exakt mit dem Namen übereinstimmen, der auf dem Nachbarn selbst festgelegt ist.
Gemeinsames Secret der Verbindung mit diesem Nachbarn muss an beiden Enden identisch sein.
Announce-Schnittstelle (optional) — die Schnittstelle, deren Adresse der Knoten gezielt diesem Nachbarn anstelle seiner allgemeinen Announce-Schnittstelle meldet (Knoten mit mehreren Netzwerken). Der Wert „Wie beim Knoten“ bedeutet, dass die allgemeine gilt.

Die Announce-Schnittstelle eines Nachbarn ist an seinen Namen gebunden, nicht an die Zeile der Liste:

solange die Zeile keinen gültigen Nachbarnamen hat, ist die Auswahl der Schnittstelle nicht verfügbar — es gibt nichts, unter dem die Einstellung gespeichert werden könnte;
beim Umbenennen des Nachbarn wandert die Einstellung mit;
beim Entfernen des Nachbarn aus der Liste bleibt die Einstellung erhalten und wirkt weiter, wenn dieser Knoten über die automatische Erkennung im Netzwerk bleibt.

Solche Einstellungen für Knoten, die nicht in der Nachbarliste stehen, werden im Block „Announce-Schnittstelle für andere Knoten“ unter der Liste angezeigt: Dort lassen sie sich ändern oder löschen. Einen neuen Knoten kann man diesem Block nicht hinzufügen — die Einstellung wird in der Zeile des Nachbarn vorgenommen.

Der Eintrag eines nicht erreichbaren Nachbarn wird nicht nur hier gelöscht: Die Aktion „Knoten entfernen“ auf den Ansichten „Knoten“ und „Topologie“ (Knoten) streicht ihn aus dieser Liste. Das ist dieselbe Änderung der Konfiguration, nur von einer Beobachtungsansicht aus vorgenommen, und sie lässt sich nicht rückgängig machen.

Neben der Nachbarliste besitzt ein Knoten sein eigenes Signatur-Secret: Damit signiert der Knoten seine ausgehenden Anfragen. Ein Nachbar überprüft die Signatur mit dem Secret, das er für diesen Knoten speichert, daher muss das eigene Secret des Knotens mit dem Secret übereinstimmen, das bei jedem Nachbarn über ihn hinterlegt ist.

Antworten werden ebenso signiert: Ein Knoten nimmt die Antwort eines Nachbarn nur an, wenn sie mit dem Schlüssel signiert ist, mit dem die Anfrage signiert wurde — dem Verbindungs-Secret oder dem Schlüssel der Domäne. Eine Antwort mit falscher Signatur oder von einem anderen Knoten baut keine Verbindung auf. Der Domänenschlüssel wird zwischen den Knoten verschlüsselt übertragen. Knoten mit Versionen vor 2.0.2.415 signieren keine Antworten; wie in einer gemischten Domäne vorzugehen ist, beschreibt Aktualisierung der Knoten einer Domäne. Seit Version 2.0.2.416 trägt jede Nachricht eines Knotens die Sendezeit und den Namen des Empfängers: Ein Nachbar lehnt eine erneut gesendete oder an einen anderen Knoten adressierte Nachricht ab, ebenso eine Nachricht mit einer Zeit außerhalb der Toleranz (siehe „Synchronisierte Uhren“ in Anforderungen und Erreichbarkeit).

Bemerkung

Eine praktische Regel: Legen Sie für einen einfachen Standort ein gemeinsames Secret fest und verwenden Sie es sowohl als eigenes Signatur-Secret auf jedem Knoten als auch als Secret in jedem Nachbareintrag. Dann authentifiziert sich jedes Knotenpaar auf dieselbe Weise. Für eine strengere Trennung können Sie pro Verbindung ein separates Secret führen.

Schnellstart¶

Variante A. Zwei Knoten direkt (explizite Verbindung)¶

Das einfachste Meshwork sind zwei manuell verbundene Server.

Legen Sie auf jedem Knoten einen eindeutigen kurzen Namen fest (zum Beispiel node1 und node2).
Fügen Sie auf jedem Knoten einen Nachbar-Eintrag hinzu: die Adresse seines Adminbereichs, seinen Namen und das gemeinsame Secret.
Legen Sie auf jedem Knoten das eigene Signatur-Secret fest. Am einfachsten ist es, ein einziges gemeinsames Secret für beide Knoten zu führen.
Öffnen Sie im Admin-Bereich die Ansicht „Knoten“ des Bereichs Meshwork. Innerhalb weniger Sekunden sehen beide Knoten einander mit dem Status „Aktiv“.

Eine Domäne muss dabei nicht festgelegt werden, aber ohne gemeinsame Domäne erhalten Sie nur die gegenseitige Sichtbarkeit der Knoten. Der gemeinsame Ressourcenkatalog und die Alarm-Replikation funktionieren nur zwischen Knoten mit derselben Domäne. Falls Sie sie benötigen, legen Sie für die Knoten eine gemeinsame Domäne fest (Variante B).

Variante B. Eine Domäne mit automatischer Erkennung¶

Bei mehr als zwei Knoten ist es bequemer, ihnen eine gemeinsame Domäne zuzuweisen, als jede Verbindung manuell aufzulisten.

Legen Sie auf jedem Knoten einen eindeutigen Namen und die gemeinsame Standortdomäne fest.
Wenn Domänenknoten über das Internet kommunizieren (über öffentliche Adressen), aktivieren Sie HTTPS auf mindestens ein bis zwei Domänenknoten und starten Sie diese neu (siehe Anforderungen und Erreichbarkeit). In einem lokalen Netzwerk kann dieser Schritt übersprungen werden; legen Sie für Knoten ohne festgelegten Hostnamen des Webservers ihre interne Schnittstelle als Announce-Schnittstelle fest (Knoten mit mehreren Netzwerken).
Verbinden Sie die Knoten über einen „Einstiegspunkt“: Geben Sie auf jedem Knoten mindestens einen bereits funktionierenden Nachbarn an (Adresse, Name, gemeinsames Secret), wie in Variante A. Die übrigen Domänenknoten findet der Knoten selbst.
Öffnen Sie die Netzwerkkarte. Innerhalb weniger Sekunden erscheinen darauf alle Domänenknoten: die explizit angegebenen als permanent, die automatisch gefundenen als automatisch erkannt.

Knoten hinter NAT¶

Ein Knoten in einem privaten Netzwerk, der von außen nicht direkt erreichbar ist, kann als Initiator am Netzwerk teilnehmen. Er stellt selbst eine Verbindung zu einem erreichbaren Nachbarn her, und über diese eine Verbindung fließen die Daten in beide Richtungen — der Knoten meldet sich selbst und erhält zugleich Informationen über andere. Für einen solchen Knoten genügt es, mindestens einen erreichbaren Nachbarn anzugeben.

Informationen über einen NAT-Knoten verbreiten sich automatisch über die Domäne: Ein Nachbar, der mit ihm in Verbindung steht, leitet seinen Zustand per Relay an die anderen weiter. Bei entfernten Nachbarn wird ein solcher Knoten als über Relay erhalten angezeigt, jedoch im Zustand „online“.

Damit ein Knoten hinter NAT auch für eingehende Verbindungen erreichbar ist (zum Beispiel als Einstiegspunkt der Domäne dient), konfigurieren Sie die Veröffentlichung des öffentlichen Ports (siehe Knotenparameter) und leiten Sie diesen Port auf dem Router/der Firewall an den administrativen Webserver des Knotens weiter. Auf Seiten der Nachbarn wird ein solcher Knoten als Eintrag „Name + Secret ohne Adresse“ geführt: Der Nachbar versucht nicht vergeblich, die private Adresse zu erreichen, sondern erkennt den Knoten anhand von Namen und Secret, wenn dieser sich selbst verbindet.

Knoten mit mehreren Netzwerken¶

Standardmäßig meldet ein Knoten den Nachbarn die Adresse, unter der er angesprochen werden soll: den für den Webserver festgelegten Hostnamen oder, falls dieser nicht festgelegt ist, die Adresse seiner ersten öffentlichen Schnittstelle. Für einen Knoten mit einem einzigen Netzwerk genügt das. Hat ein Knoten jedoch mehrere Netzwerke, kann die Standardwahl falsch sein. Ein typischer Fall: Alle Knoten der Domäne befinden sich im internen Netzwerk, einer von ihnen hat jedoch zusätzlich eine öffentliche Schnittstelle, über die die Standardroute läuft. Ein solcher Knoten meldet den Nachbarn seine öffentliche Adresse, und die Nachbarn sprechen ihn über das öffentliche Netzwerk und per HTTPS an, obwohl sich alle Knoten im selben internen Netzwerk befinden.

Damit der Knoten die gewünschte Adresse ankündigt, legen Sie für ihn eine Announce-Schnittstelle fest (Knotenparameter). Das ist die Netzwerkschnittstelle, deren Adresse der Knoten den Nachbarn anstelle des Hostnamens und der öffentlichen Adresse meldet:

ist die Adresse der Schnittstelle privat (10.x.x.x, 172.16–31.x.x, 192.168.x.x, 127.x.x.x, 169.254.x.x), kündigt der Knoten sie nur für einfaches HTTP an — auf dem Port des Webservers, ohne HTTPS und ohne öffentliche Ports. Nachbarn im internen Netzwerk sprechen ihn per HTTP an, HTTPS ist für den Austausch nicht erforderlich;
ist die Adresse öffentlich, wird sie genauso angekündigt wie die öffentliche Adresse des Knotens: mit HTTPS bei aktiviertem HTTPS und unter Berücksichtigung der öffentlichen Ports.

Die Announce-Schnittstelle bestimmt nur, welche Adresse der Knoten über sich meldet. Über welche Schnittstelle die eigenen Verbindungen des Knotens zu den Nachbarn hinausgehen, entscheidet weiterhin die Routing-Tabelle des Servers.

Vorgehen beim Einrichten einer internen Domäne, in der ein Knoten zusätzlich ein öffentliches Netzwerk hat:

Legen Sie auf dem Knoten mit mehreren Netzwerken die Schnittstelle des internen Netzwerks als Announce-Schnittstelle fest.
Legen Sie auch auf den Knoten der Domäne, für die kein Hostname des Webservers festgelegt ist, ihre interne Schnittstelle als Announce-Schnittstelle fest. Ohne sie meldet ein Knoten, der nur private Adressen hat, nichts über sich, und die automatische Erkennung findet ihn nicht: Er ist nur mit denen verbunden, die ihn explizit eingetragen haben.
Tragen Sie die Knoten gegenseitig als Nachbarn über ihre internen IP-Adressen ein.
Prüfen Sie die Netzwerkkarte (Netzwerkkarte und Ressourcenkatalog): Die Adressen der Knoten sind intern, die NAT-Kennzeichnung ist beim Knoten mit zwei Netzwerken nicht gesetzt, und die Verbindungen zeigen keine Ursache einer fehlgeschlagenen Authentifizierung.

Soll ein Knoten verschiedenen Nachbarn verschiedene Adressen melden (zum Beispiel den Nachbarn im internen Netzwerk die interne Adresse und einem Nachbarn im Internet die öffentliche), legen Sie die Announce-Schnittstelle für einzelne Nachbarn fest (Nachbarn und Secrets): Sie gilt anstelle der allgemeinen Announce-Schnittstelle des Knotens. Beachten Sie: Kündigt sich derselbe Knoten in verschiedenen Netzwerken unterschiedlich an, kann ein dritter Knoten, der Angaben über ihn aus beiden Netzwerken erhält, seine Adresse abwechselnd mal so, mal so sehen. Unterschiedliche Adressen legt man daher für einen Knoten an der Grenze zwischen Netzwerken fest, dessen Nachbarn aus den verschiedenen Netzwerken einander keine Angaben übereinander melden.

Das Ergebnis ist in der Ansicht „Knoten“ (Knoten) in der Zeile des Knotens selbst sichtbar: Die Felder „Öffentliches HTTP“ und „Öffentliches HTTPS“ zeigen, was der Knoten den Nachbarn meldet. Bei einer privaten Announce-Schnittstelle fehlt das Feld „Öffentliches HTTPS“, und „Öffentliches HTTP“ enthält die interne Adresse und den Port. Eine für einen einzelnen Nachbarn festgelegte Schnittstelle erscheint nicht in der Zeile des Knotens selbst — sie ist in der Zeile dieses Knotens auf dem Nachbarn sichtbar, für den sie bestimmt ist.

Im Admin-Bereich wird die Announce-Schnittstelle aus der Liste der Netzwerkschnittstellen des Servers gewählt — Name und IPv4-Adresse; in der Konfigurationsdatei kann sie auch als IP-Adresse angegeben werden. Eine Schnittstelle, die auf dem Server nicht existiert, wird beim Speichern mit einer Meldung wie cluster-bind-if: 'eth9' is neither a network interface of this host nor an IPv4 address abgelehnt. Verschwindet die Schnittstelle später (zum Beispiel, weil ein VPN getrennt wird), bleibt die Einstellung erhalten: Der Knoten arbeitet weiter und meldet bis zur Rückkehr der Schnittstelle die Standardadresse, und in der Auswahlliste wird die gespeicherte Schnittstelle nur mit ihrem Namen, ohne Adresse, angezeigt.

Aktualisierung der Knoten einer Domäne¶

Ab Version 2.0.2.415 prüfen Knoten die Signatur der Antworten von Nachbarn und übertragen den Schlüssel der Domäne verschlüsselt (Nachbarn und Secrets). Knoten früherer Versionen signieren keine Antworten, deshalb ist die Reihenfolge der Aktualisierung wichtig:

aktualisieren Sie nach Möglichkeit alle Knoten der Domäne auf einmal;
ist das nicht möglich, aktualisieren Sie zuerst die Knoten, mit denen sich die übrigen verbinden (zentrale Knoten und Knoten mit öffentlichen Adressen), und danach die Knoten hinter NAT.

Solange in der Domäne Knoten unterschiedlicher Versionen laufen:

ein alter und ein neuer Knoten sehen einander weiterhin als laufend;
die Daten des alten Knotens (Sitzungen der automatischen Anmeldung, der gemeinsame Ressourcenkatalog, Alarme) gelangen auf den neuen Knoten, sobald sich der alte selbst mit ihm verbindet — in der Regel innerhalb von 30 Sekunden;
ein alter Knoten, der sich nicht mit dem neuen verbinden kann (zum Beispiel wegen NAT), wird bis zu seiner Aktualisierung nur als laufend angezeigt, ohne seine Daten;
der vollständige Schutz gegen erneut gesendete aufgezeichnete Austausche greift, sobald alle Knoten der Domäne mit Version 2.0.2.415 oder neuer laufen.

Die Rückkehr zur vorherigen Version ist sicher.

Seit Version 2.0.2.416 prüfen die Knoten zusätzlich die Sendezeit der Nachrichten, deshalb:

prüfen Sie vor dem Update, dass auf allen Knoten der Domäne die Zeitsynchronisation (NTP) läuft (Anforderungen und Erreichbarkeit);
aktualisieren Sie die ganze Domäne: Solange sie noch Knoten älterer Versionen enthält, lassen sich deren Nachrichten noch wiederholen;
ein Knoten, der von 2.0.2.416 auf eine frühere Version zurückgesetzt wurde, wird von seinen Nachbarn auf 2.0.2.416 bis zu deren Neustart abgelehnt. Setzen Sie die ganze Domäne zurück oder starten Sie die Knoten mit 2.0.2.416 nach dem Zurücksetzen neu.

Typische Probleme¶

Die Knoten sehen einander nicht. Prüfen Sie: Bei beiden ist ein Knotenname festgelegt; jeder hat ein Signatur-Secret und es stimmt mit dem überein, das beim Nachbarn über ihn hinterlegt ist; die Adresse des Nachbarn ist korrekt und sein Admin-Port ist vom anderen Knoten aus geöffnet.
Ein Nachbar ist im Zustand „Ausgefallen“. Der Knoten hat das Wartefenster überschritten: Prüfen Sie das Netzwerk und die Funktionsfähigkeit seines Webservers. Stellen Sie bei einem Knoten hinter NAT sicher, dass er die Verbindung zu einem erreichbaren Nachbarn selbst initiiert oder dass Portveröffentlichung und Portweiterleitung konfiguriert sind. Steht im Protokoll eine Warnung über eine Uhrabweichung zu diesem Nachbarn, synchronisieren Sie die Zeit auf beiden Knoten (NTP).
Ein Nachbar wurde nach dem Zurücksetzen eines Knotens unerreichbar. Nachbarn auf 2.0.2.416 lehnen einen auf eine frühere Version zurückgesetzten Knoten bis zu ihrem Neustart ab: Starten Sie sie neu oder setzen Sie die ganze Domäne zurück.
Ein automatisch erkannter Nachbar ist mit einer Ursache gekennzeichnet, die direkte Verbindung funktioniert nicht. In der Domäne lässt sich die Authentizität der Knoten nicht bestätigen. Wenn sie über das Internet kommunizieren, aktivieren Sie HTTPS auf mindestens einem Domänenknoten und starten Sie ihn neu; prüfen Sie in einem lokalen Netzwerk, dass Nachbarn über IP-Adressen und nicht über Domainnamen angegeben sind und dass für den Knoten mit mehreren Netzwerken eine Announce-Schnittstelle festgelegt ist. Eine explizite Verbindung (permanente Knoten) funktioniert auch ohne HTTPS.
Nachbarn sprechen einen Knoten über seine öffentliche Adresse an, obwohl sich die Domäne im internen Netzwerk befindet. Der Knoten hat mehrere Netzwerke und meldet den Nachbarn standardmäßig seine öffentliche Adresse. Legen Sie für ihn die interne Schnittstelle als Announce-Schnittstelle fest (Knoten mit mehreren Netzwerken).
Falsche NAT-Kennzeichnung. Wenn Knoten über Domainnamen und nicht über IP angegeben sind, lässt sich die NAT-Kennzeichnung möglicherweise nicht anhand der Adresse ermitteln — dies beeinträchtigt den Betrieb nicht. Verwenden Sie für die NAT-Diagnose IP-Adressen.
Der Domänenwechsel hat die Karte „zurückgesetzt“. Das Ändern der Domäne oder der Menge zusätzlicher Domänen baut die Mitgliedschaft neu auf: Automatisch erkannte Verbindungen und der gemeinsame Katalog werden vorübergehend zurückgesetzt und neu aufgebaut. Das ist normal.