Mesh: sonene melder seg selv; mDNS på LAN, NetBird-provisjonering

Sonene trenger ikke stå i [zones] på sentralen. En sone sender hjerteslag
hvert 30. s (POST /api/mesh/register med navn, egen adresse og
mesh-nøkkelen), dukker opp i lista med en gang, og tas ut etter 90 s uten
slag. Riktig nøkkel er godkjenningen. Statisk [zones] vinner over et navn
som melder seg (409) – en skrivefeil i config skal ikke kunne overstyres av
en boks på nettet.

Hvorfor push og ikke pull fra NetBird: netbird status --json gir navn, IP og
status per peer, men ikke grupper. Pull ville krevd en service-token mot
management-serveren og virket bare over NetBird. Push virker likt over
NetBird og LAN, uten token, og gir liveness gratis.

Sonen finner sentralen lagvis: ANNOUNCER_SENTRAL hvis satt (NetBird-DNS-navn,
konvensjon announcer-<navn>.skynet.corp), ellers mDNS (_announcer._tcp,
discovery.py). Egen adresse regnes ut som ruten mot sentralen – over NetBird
blir det wt0-adressen, på LAN LAN-adressen – med ANNOUNCER_URL som
overstyring. Hjerteslag hvert 5. s til første OK, så oppstart ikke tar et
halvt minutt.

Containeren bruker nå vertens nett. mDNS-multicast når ikke LAN-et fra
bridge-nettet, så det var ingen vei utenom – og det ga tilbake ufw: det
gamle Docker-smutthullet er borte, portregler virker igjen, og BIND_IP er
appens eget --host. Appen lytter alltid også på 127.0.0.1 for helsesjekken.

install.sh tar NETBIRD_SETUP_KEY: installerer NetBird, melder maskina inn
som announcer-<navn>, venter på wt0, binder til NetBird-adressen.
Management-URL leses fra /etc/netbird/config.json når den finnes.

Rollen avgjøres av config (Config.role): sentral hvis [zones] eller
ANNOUNCER_ROLE=sentral, sone hvis bare nøkkelen er satt, ellers som før.
Dispatcher og ZonePoller slår opp soner ved hver bruk, siden de kommer og
går. register følger, som play, aldri med «alt åpent». Flask sorterte
JSON-nøkler alfabetisk, så sonene kom i feil rekkefølge i /api/status –
app.json.sort_keys = False.

25 nye tester, 173 totalt. Verifisert i compose på host-nett: to soner
meldte seg innen 4 s uten noe [zones], fordeling til en av dem havnet i kø,
avahi-browse på verten ser sentralen, en stoppet sone ble tatt ut etter 90 s
og var tilbake 2 s etter start. Underveis fant live-testen at testkonfigen
fortsatt hadde statiske a/b – og sentralen avviste hjerteslagene med 409,
som den skal.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

AGENTS.md

@@ -19,12 +19,13 @@ Filer:
 | `auth.py` | `Principal`, leverandørene, OIDC-rutene |
 | `config.py` | `config.toml` + miljøvariabler, standardverdier |
 | `schedule.py` | planlagte sendinger, lagret i `data/scheduled.json` |
-| `mesh.py` | sentral + soner: fordeling, transport, statuspolling |
+| `mesh.py` | sentral + soner: fordeling, transport, statuspolling, register og hjerteslag |
+| `discovery.py` | mDNS: sentralen annonserer, sonene finner den |
 | `index.html` | hele sida, inline CSS/JS, ingen byggesteg |
 | `config.example.toml` | kommentert mal; kopier til `config.toml` |
 | `docs/crew-integration.md` | kontrakten mot crew-panelet |
 | `docs/mesh.md` | flere anlegg: oppsett, bruk, feiltilfeller, protokoll |
-| `tests/` | `uv run pytest` – 148 tester: auth, planlegging, mesh og HTTP-laget |
+| `tests/` | `uv run pytest` – 173 tester: auth, planlegging, mesh og HTTP-laget |
 | `Dockerfile` + `compose.yaml` | **drift** – appen kjøres i Docker |
 | `.env.example` | bruker-ID, portbinding og hemmeligheter |
 | `compose.test.yaml` | testoppsett med dummy-IdP, se under |
@@ -216,11 +217,31 @@ transporten (`send_to_zone` sin håndrullede multipart mot Flask sin parser)
 prøves i `test_routes.py` mot en levende werkzeug-server – det er den
 testen som fanger en feil i selve HTTP-en.
 
-- **Sentral eller sone avgjøres av config, ikke kode.** `[zones]` satt →
-  `DISPATCHER` og `POLLER` finnes, `/api/announce` tar `zones`. Ellers er
-  begge `None` og alt går i lokal kø nøyaktig som før. `ANNOUNCER_MESH_SECRET`
-  satt → `MeshProvider` er aktiv og `/api/play` tar imot. Begge kan være
-  satt på samme maskin (sentral med eget anlegg).
+- **Rollen avgjøres av config, ikke kode** (`Config.role`): `sentral` hvis
+  `[zones]` finnes eller `ANNOUNCER_ROLE=sentral`; `sone` hvis bare nøkkelen
+  er satt; ellers `none` og alt er som før. En sentral har `REGISTRY`,
+  `DISPATCHER` og `POLLER`; en sone har `HEARTBEAT`. `MeshProvider` er aktiv
+  hos begge, så `/api/play` og `/api/mesh/register` tar imot.
+- **Sonene finnes i `Registry`, ikke i et dict.** `Dispatcher` og `ZonePoller`
+  får `REGISTRY.zones` som *funksjon* og slår opp ved hver bruk, fordi soner
+  kommer og går. Lokal først, så `[zones]`, så de som har meldt seg, sortert.
+  Statisk vinner over et navn som melder seg – `409` – så en skrivefeil i
+  config ikke kan overstyres fra nettet. En sone som er meldt av mellom
+  innlevering og fordeling får `unreachable: sonen er borte`.
+- **Hjerteslag** (`Heartbeat`, sonens side) finner sentralen via
+  `ANNOUNCER_SENTRAL` eller `discovery.Browser` (mDNS), regner ut egen
+  adresse som *ruten mot sentralen* (`local_ip_towards` – UDP-connect uten
+  pakke; over NetBird blir det wt0-adressen), og melder seg hvert 30. s –
+  hvert 5. til første OK, så oppstart ikke tar et halvt minutt. Sentralen tar
+  sonen ut etter `stale_seconds` (`_pruner_loop`). Alt som trenger host/port
+  startes i `start_mesh()` fra `main()`, ikke ved import.
+- **`network_mode: host`** er en forutsetning, ikke et valg: mDNS-multicast
+  når ikke LAN-et fra bridge-nettet. Bieffekt som er en fordel: ufw styrer
+  porten igjen, og `BIND_IP` er blitt appens eget `--host`. Appen lytter
+  alltid også på `127.0.0.1` (helsesjekken).
+- **`app.json.sort_keys = False`.** Flask sorterer nøkler alfabetisk som
+  standard, og da hadde sonene i `/api/status` kommet i feil rekkefølge – UI
+  og tester antar konfigurert rekkefølge med sentralens eget anlegg først.
 - **Egen tråd og egen kø for fordeling**, atskilt fra `Player`. Hadde
   fordelingen gått gjennom sentralens avspillingskø, ville en melding til
   resepsjonen ventet på at hovedscenen ble ferdig. Dispatcheren
@@ -229,9 +250,10 @@ testen som fanger en feil i selve HTTP-en.
 - **`Item.wav`** er hele endringen i avspillingen: `run_once()` bruker
   `item.wav or synthesize(...)`. En sone syntetiserer aldri det den får fra
   sentralen.
-- **`play` følger aldri med «alt åpent».** `Authenticator.anonymous()`
-  trekker den fra. Uten det kunne hvem som helst POSTe en WAV til en åpen
-  sone og få den spilt. Og en legitimasjon som vises fram og er feil (PIN,
+- **`play` og `register` følger aldri med «alt åpent».**
+  `Authenticator.anonymous()` trekker dem fra. Uten det kunne hvem som helst
+  POSTe en WAV til en åpen sone og få den spilt, eller melde en falsk sone
+  hos en åpen sentral. Testen for åpen modus lister unntakene eksplisitt. Og en legitimasjon som vises fram og er feil (PIN,
   token, mesh-nøkkel) gir nå 401 også der gjester ellers har lov –
   `require()` sjekker `error()` først. Det var ikke slik før; en feil PIN
   i åpen modus slapp stille gjennom som gjest.
@@ -362,6 +384,12 @@ Vil Kent ha enda bedre lyd: ElevenLabs (nøkkel, best norsk) eller OpenAI
 - **Én prosess.** `main()` kjører waitress med mange tråder, ikke gunicorn
   med flere workere: `Player` og planleggeren er singletons i prosessen, og
   flere workere ville gitt flere køer som snakker i munnen på hverandre.
+- **NetBird-provisjonering** i `install.sh` krever `NETBIRD_SETUP_KEY`;
+  management-URL leses fra `/etc/netbird/config.json` med sudo hvis den
+  finnes. Peer-navnet blir `announcer-<ANNOUNCER_NAME>`, og det er den
+  konvensjonen som gjør `ANNOUNCER_SENTRAL=http://announcer-her.skynet.corp:8090`
+  stabil. `netbird status --json` gir **ikke** grupper – derfor melder sonene
+  seg selv i stedet for at sentralen leter.
 - **Mesh-nøkkelen må være lik** på sentral og sone, ellers `✗ avvist` med
   `401 Feil mesh-nøkkel` på fordelingen. Og sonens `BIND_IP` må gjøre den
   nåbar fra sentralen – med NetBird er det NetBird-adressen som skal stå i