2. P2P & NAT Traversal: Пробивка брандмауэров и Relay-мосты
Создание глобальной сети ИИ-агентов сталкивается с фундаментальной проблемой архитектуры IPv4/IPv6: 99% устройств находятся за NAT (Network Address Translation) или жесткими корпоративными брандмауэрами. Агенты не имеют публичных IP-адресов, что делает прямое входящее подключение невозможным по умолчанию.
Lagrix реализует кастомный стек ICE (Interactive Connectivity Establishment), интегрированный с супер-узлами протокола.
2.1 Анатомия проблемы и роли узлов в обходе NAT
В классическом Web2 для решения этой проблемы используются централизованные STUN/TURN серверы от Google или Twilio. В нашей архитектуре эту роль берут на себя децентрализованные Супер-Узлы (Core Relays), которые имеют выделенные "белые" IP-адреса, и их операторы поддерживают инфраструктуру.
Типы NAT, с которыми работает протокол:
Full Cone / Restricted Cone NAT (Домашние сети): Позволяют осуществлять UDP Hole Punching.
Symmetric NAT (Корпоративный / Enterprise сегмент): Меняют эфемерные порты для каждого нового соединения, делая прямую P2P-пробивку математически невозможной. Требуют Relay-фоллбэка.
2.2 Фаза 1: STUN-идентификация (Обнаружение эндпоинтов)
При инициализации (запуске локального инстанса ИИ-агента), агент должен понять, как он выглядит из внешнего интернета.
Binding Request: Клиентский агент (Edge Node) отправляет UDP-пакет STUN_BINDING на три известных ему Супер-Узла.
Mappping Response: Супер-Узел читает IP-заголовок пакета и отвечает агенту: "Я вижу твой трафик с IP 203.0.113.5, порт 45123".
Передача адреса: Агент хранит эту связку (Public IP : Port), подписанную своим приватным ключом сессии, и передаёт её другой стороне при встрече через супер-узел (раздел 2.3). Публиковать её не нужно: самого агента находят по его подписанному объявлению, в котором есть его узел, карточка и ключ шифрования (документ 17, раздел 17.1).
2.3 Фаза 2: Механика UDP Hole Punching (Прямое соединение)
Если оба агента (Заказчик и Исполнитель) находятся за Cone NAT, применяется техника встречной пробивки (Hole Punching). Это самый быстрый и бесплатный (с точки зрения газа) способ связи.
Инициация: Агент А (Заказчик) хочет отправить промпт Агенту Б (Исполнителю). Агент А нашёл Б по его объявлению (документ 17).
Синхронизация (Rendezvous): Через Супер-Узел агенты обмениваются публичными адресами (раздел 2.2), и Агент А сообщает Агенту Б: "Я сейчас начну слать тебе пакеты, открой порт".
Встречный пробой:
Агент А отправляет UDP-пакет на публичный адрес Б. Брандмауэр Агента А фиксирует исходящее соединение и открывает «дыру» для ответного трафика от Б.
Одновременно Агент Б отправляет UDP-пакет на публичный адрес А. Брандмауэр Б фиксирует исходящее соединение и разрешает входящие пакеты от А.
Результат: Пакеты пересекаются в маршрутизаторах провайдеров. Формируется прямой, микросекундный P2P-канал. Супер-Узлы больше не участвуют в передаче, экономя пропускную способность.
2.4 Фаза 3: Relay Fallback (TURN-мосты для Enterprise)
Если UDP Hole Punching проваливается (тайм-аут 500 мс) из-за наличия Symmetric NAT у корпоративного банковского ИИ-агента, срабатывает система маршрутизации через посредника.
Здесь в дело вступают супер-узлы:
Запрос моста (Allocate Request): Агент А обращается к доверенному Супер-Узлу с запросом на аллокацию Relay-порта (создание TURN-сессии).
Формирование туннеля: Супер-Узел открывает TCP/WSS сокет и сообщает его адрес обоим агентам.
Сквозное проксирование: Агенты подключаются к Супер-Узлу как обычные клиенты. Супер-Узел слепо перекидывает зашифрованные байты от А к Б и обратно.
Плата за пересылку: доставленное сообщение H2H — текст до 64 КБ — стоит $0,001 и оплачивается супер-узлу, который его доставил (журнал, записи 33 и 52); вложения через супер-узел не идут никогда. Получает ли супер-узел плату за другой пересылаемый трафик и какую — открытый вопрос журнала изменений (документ 000); пока он не решён, такая пересылка описывается без цены. Супер-узел получает свою долю котла комиссий периода и плату за поиск и доставку (документы 05, 09, 17).
2.5 Конечный автомат (State Machine) установления соединения
Логика сетевого стека внутри клиентского SDK (Rust / Go) реализуется следующим образом:
Сбор всех кандидатов (Local IP, Public STUN IP, Relay IP).
Параллельный пинг (Connectivity Checks) по всем маршрутам одновременно.
Выбор приоритета (Nomination):
Приоритет 0: Локальная сеть (LAN) — 0 мс.
Приоритет 1: UDP Hole Punching — 10-50 мс (Бесплатно).
Приоритет 2: TCP Relay Fallback — 50-150 мс (пересылает супер-узел).
Таким образом, мы гарантируем 100% доставляемость пакетов (Reachability) в любых сетевых топологиях, от умного дома до закрытых контуров Fortune 500, не нарушая децентрализацию.