credentials

type Credentials struct {
	Name                string       `json:"name"`                   // エージェント名(登録時に確定)
	Endpoint            string       `json:"endpoint"`               // エージェント用 API の host:port
	CertSHA256          string       `json:"cert_sha256"`            // エージェント用 API の証明書のハッシュ(hex)
	PermanentToken      string       `json:"permanent_token"`        // 恒久トークン
	UsedJoinTokenSHA256 string       `json:"used_join_token_sha256"` // 使用済み登録トークンのハッシュ(仕様 5.1 節)
	WGPrivateKey        string       `json:"wg_private_key"`         // base64
	LastState           *proto.State `json:"last_state"`             // 最後に処理した全体状態

	// Mode は転送の方式の記録である(仕様 9・11a 節)。起動のたびに設定の WGFT_MODE と照合する。
	// 空はユーザー空間モードの記録とみなす。記録の無い既存のファイルはユーザー空間モードで動いてきたので、
	// ユーザー空間モードのエージェントはこの項目を書かない
	Mode string `json:"mode,omitempty"`
	// PreviousWGPrivateKey は 1 つ前の wg の秘密鍵である(仕様 7b.4 節)。カーネルモードでだけ持つ。
	// rotate-key の途中で落ちて鍵がずれた wgft0 や、停止中の rotate-key の後に古い鍵のまま残った
	// wgft0 を、自分のものと判定するために使う。次に鍵を変えるまで残す。base64
	PreviousWGPrivateKey string `json:"previous_wg_private_key,omitempty"`
	// IPForwardEnabledAt は、カーネルモードのエージェントが net.ipv4.ip_forward を 0 から 1 に変えた
	// 日時である(仕様 7b.1・9 節)。撤去が戻す候補として示すために残す。エージェント自身は値を 0 に
	// 戻さず、この記録も消さない。変えたことが無ければ nil
	IPForwardEnabledAt *time.Time `json:"ip_forward_enabled_at,omitempty"`
	// KernelPublication は、カーネルモードの直近の公開の結果である(仕様 7b.4・9 節)。テーブルの公開に
	// 成功するたびに書き換える。止まっている間の agent doctor が実際のテーブルと比べる。中身は
	// internal/dataplane/linuxkernel/nft の AgentPublication の JSON で、その package は Linux でしか
	// ビルドしないので、ここでは形を持たずに保存する
	KernelPublication json.RawMessage `json:"kernel_publication,omitempty"`
	// KernelUnconverged は、conntrack の収束が済んでいない前の公開の列である(仕様 7b.4 節)。古い順に
	// 並ぶ。収束に失敗している間だけ持ち、収束が済めば消す。再起動の後も、その公開で成立したフローを
	// wgft のものと見分けるために残す。中身は KernelPublication と同じ形の JSON の配列である
	KernelUnconverged json.RawMessage `json:"kernel_unconverged,omitempty"`
	// TunnelAddress は、登録で割り当てられたトンネルのアドレスの記録である(仕様 9・11 節)。形は 2 つある。
	// "10.200.0.2/24" は帯の長さまで記録したもので、"10.200.0.2" は登録の応答だけから記録し、帯の長さを
	// まだ知らないものである。登録の応答はアドレスだけを返すので、長さは最初に適用した全体状態から記録する。
	// 記録の無いファイル(この項目より前の版が書いたもの)も、最初に適用した全体状態から記録する。
	// カーネルモードのエージェントは、記録と違う wg.address を拒む(CheckTunnelAddress)。登録のし直しだけが
	// 記録を置き換え、撤去は消さない
	TunnelAddress string `json:"tunnel_address,omitempty"`
}

type LeftoverResult struct {
	Removed int // 消した一時ファイルの数
	Failed  int // 消せなかった一時ファイルの数
	// FirstFailure は最初に消せなかったときの誤りで、パスを含む。ログに出すときは ErrorKind で
	// パスを除く
	FirstFailure error
}

type Lock = flock.Lock

type State = flock.State

type TunnelAddressMismatch struct {
	Recorded string       // agent.json の tunnel_address
	Got      netip.Prefix // 全体状態の wg.address
}