utun2/doc/etcp_full_suite_findings.md

Разбор полного прогона 2026-09-27

Исходный результат ./check.sh вне песочницы: 92 passed, 5 failed, 1 skipped (98 тестов). Песочница запрещает сетевые сокеты; её результаты не использовались для оценки протокола.

Промежуточный прогон: 96 passed, 1 failed, 1 skipped; оставался test_chat_join_e2e. После KEY_REGISTER_ACK и исправления невыровненных чтений повторный полный make check -j4: 97 passed, 0 failed, 1 skipped (98). Лог: /tmp/utun-ack-final-check.log. Пропущенный test_auto_socket_dynamic запущен отдельно с root в изолированной сети и упал — подробности ниже. Внешние check-proxy/check-burst/check-load не выполнялись: цепочка root-проверок остановилась на этом тесте.

test_etcp_lifecycle, test_etcp_link_stress, test_conn_mgr_phases дополнительно прошли ASan/UBSan/LeakSanitizer. Инструментированы тесты и изменённые транспортные/ маршрутные модули, остальные объекты библиотек взяты из обычной сборки. Логи: /tmp/ncd-late-asan.log, /tmp/link-role-asan.log, /tmp/cm-phases-asan.log.

Исправленные причины

• test_conn_mgr_phases: после TIMEOUT фазы DIRECT NCD навсегда подавлял UP, хотя conn_mgr сохранял handle для REVERSE. В логе физический ETCP уже UP, но conn_mgr продолжал DIRECT_REQ до своего таймаута. TIMEOUT теперь обозначает истечение срока первой попытки, CLOSED — окончательное завершение. Удерживаемый handle получает поздний UP. Отдельный lifecycle-регрессионный тест воспроизводит TIMEOUT → INIT/UP (одно уведомление) → DOWN → UP; до исправления он падал.
• test_etcp_link_stress: ожидал reset всей сессии при коллизии дополнительного линка. Проверка заменена на сохранение эпох, отсутствие reset и дублей линков, доставку и ACK сообщений через новый линк. Прежний тест забирал сырые фрагменты вместо normalizer и мог считать служебные пакеты полезным трафиком. Теперь он использует отдельный ETCP service и проверяет каждый байт и порядок сообщений. Эта проверка выявила ошибку реализации: при принятии встречного INIT сохранённый исходящий линк не менял is_server. Роль обновляется при отправке INIT_RESPONSE.
• test_bgp_route_exchange: после разрыва B–C recovery успешно строил C–A, нарушая предположение теста о фиксированной цепочке. Теперь A и C принимают только ключ B: все прежние проверки withdraw/restore сохранены, обход запрещён условиями тестовой сети. Автоматический обход отдельно проверяет test_topo_recovery.
• test_tcp_io: адрес 192.0.2.1:81 в окружении устанавливал TCP-соединение, поэтому connect timeout закономерно не срабатывал. Теперь используется локальный listener с заполненной accept-очередью, проверяется ETIMEDOUT. Перед уничтожением uasync тест завершает отложенное освобождение TCP и проверяет баланс таймеров.

Диагностика тестов включается UTUN_TEST_DEBUG=1; обычный запуск не включает DEBUG. Остаточные DATA после удаления соединения могут быть undecryptable и сами по себе не означают ошибку транспорта.

Исправлено: гонка регистрации приглашения

test_chat_join_e2e, happy path A != C, падал из-за отсутствия подтверждения KEY_REGISTER. Раньше chat_invite_build_link() вызывал chat_join_register_key() и сразу возвращал ссылку. Успех etcp_route_send() означает постановку в очередь. Он не подтверждает обработку ключа посредником C. Параллельное подключение J–C может завершиться раньше доставки A–C.

Доказательство: /tmp/join-e2e-debug.log, один ключ 90c4b081833450a0:

• 01:39:02.437851 — A пишет join-key registered, фактически ключ только поставлен в отправку.
• 01:39:02.446527 — C отвергает JOIN_INFO_REQ: ключ ещё неизвестен.
• 01:39:02.449724 — C сохраняет этот ключ, но J уже получил терминальный ERROR.

Теперь C отвечает KEY_REGISTER_ACK только после сохранения ключа. A сопоставляет channel/target/key и выдаёт ссылку после успешного ACK и локального сохранения ключа. Отрицательный ACK завершает запрос ошибкой. Чужие, неподписанные, незашифрованные, повторные и запоздалые подтверждения не могут завершить другой запрос.

Контракт асинхронных API chat_join_register_key / chat_invite_build_link: NULL означает ошибку запуска без callback; принятый запрос даёт ровно один callback. Обычное завершение происходит после возврата API, включая self. Cancel/destroy завершают запрос синхронно с CANCELLED. Handle недействителен после callback. Для удалённого узла дедлайн 5 секунд; доставку и повтор потерянных пакетов обеспечивает надёжный router. Повторная регистрация того же ключа тем же инвайтером обновляет TTL; замена инвайтера для существующего ключа запрещена. Отмена может оставить ключ на C до истечения TTL, но A не авторизует по нему вход, поскольку локально такой ключ сохраняется только при успешном завершении.

GUI получает request_id в событии и игнорирует устаревшие результаты. Новый запрос отменяет предыдущее ожидание GUI. Headless связывает ответ с JSON id и отменяет все ожидания отключившегося клиента. Ни один из путей не запускает вложенный event loop.

Дополнительные исправления:

• Устранён double-free при ошибке etcp_route_send: пакет уже освобождён роутером.
• Headless прекращает разбор пакета после quit; последующая команда не создаёт запрос на уже закрытом клиенте. При destroy отменяются cleanup_timer и запросы, удаляются клиентские сокеты и освобождается контекст.
• UBSan обнаружил невыровненное чтение group_id из d + 1 в chat_sync. Оно и три аналогичных диагностических чтения заменены на memcpy.
• Тест chat_join теперь останавливает вручную запущенный member_sync; проверяется баланс выделения/освобождения таймеров.

Проверки:

• test_chat_join: 31/31, включая задержанный/отсутствующий ACK, таймаут, неверные channel/peer/key/flags/размер/status, дубликат, отказ хранения из-за конфликта инвайтера, отмену, shutdown, параллельные ключи и ошибку отправки.
• test_chat_join_e2e: 3/3 (A≠C, A=C, неверный ключ). C принудительно откладывает регистрацию на 200 мс; проверяется отсутствие ссылки до обработки регистрации. Дополнительно проверяются подавление старого GUI-запроса и реальный headless control socket: параллельные ответы, валидность ссылок, quit и команда после него.
• ASan/UBSan: оба теста проходят. LeakSanitizer и баланс таймеров проверены в test_chat_join; E2E использует fork/_exit, поэтому сам по себе не проверяет утечки при завершении дочерних процессов. Инструментированы изменённые chat-модули и transport/routing, остальные объекты взяты из обычной библиотеки. Логи: /tmp/utun-ack-join-asan.log, /tmp/utun-ack-e2e-asan.log.

Отдельный root-тест auto_socket_dynamic

Запуск в sudo unshare --net с поднятым loopback закончился TIMEOUT через 30 секунд. Лог: /tmp/utun-ack-root-checks.log. Это не PASS основного набора: в нём тест пропущен.

В конфиге теста включён auto_sockets, но не отключён стандартный фильтр auto_socket_skip_no_default_route=1. Dummy-интерфейсы теста не имеют default route, а auto_socket.c:reconcile_iface() исключает такие интерфейсы. Лог показывает no links created, затем TIMEOUT. Для локального сценария тест должен явно задать auto_socket_skip_no_default_route=no и проверить создание сокетов до трафика.

Кроме того, тест сохраняет handle общего дедлайна, traffic_send и traffic_monitor в одну переменную timeout_handle; фазовые таймеры вообще не сохраняются. При выходе не отменяются все таймеры; зафиксирован остаток 9 таймеров (665/656). В обработчиках трафика освобождается entry без queue_dgram_free. Нужна отдельная доработка fixture: владение таймерами и payload, backpressure отправителя, завершение deferred cleanup. Производственный auto_socket в рамках исправления приглашений не менялся.

Попутная проблема диагностики

lib/debug_config.c:debug_parse_config() требует :, хотя документация описывает =. Кроме того, функция всё ещё вычисляет индекс через битовую маску, хотя категории теперь являются индексами. Исправление в этот набор не включено; тесты используют debug_set_category_level() напрямую.