# Open issues

Stand **2026-07-16** (koopa, live). Keine Secrets.

## Index

| ID | Severity | Status | Kurz |
|----|----------|--------|------|
| [I-01](#i-2026-07-16-01) | high | open | firewalld: Nym-Ports unbestätigt |
| [I-02](#i-2026-07-16-02) | medium | open | Nym nicht bonded / nicht in Explorern |
| [I-03](#i-2026-07-16-03) | medium | mitigated | Taler-Apps nach Reboot |
| [I-04](#i-2026-07-16-04) | low | open | Stray `kind_taussig` |
| [I-05](#i-2026-07-16-05) | low | open | Alte exited Podman-Container |
| [I-06](#i-2026-07-16-06) | low–medium | open | Nym HTTP API `*:9080` |
| [I-07](#i-2026-07-16-07) | medium | **fixed** | Tor host vs `koopa-tor-relay` |

---

### I-2026-07-16-01

**firewalld: Nym-Ports auf koopa unbestätigt**  
Severity: high · Host: koopa · Status: open

VeciGate DNAT **1789/tcp+udp**, **1790/tcp**, **51822/udp** → koopa.  
Ohne passende **firewalld**-Allow-Regeln stirbt der Traffic am Host.

Agent konnte `firewall-cmd` nicht ausführen (sudo-Passwort).

```bash
sudo firewall-cmd --permanent --add-port=1789/tcp
sudo firewall-cmd --permanent --add-port=1789/udp
sudo firewall-cmd --permanent --add-port=1790/tcp
sudo firewall-cmd --permanent --add-port=51822/udp
sudo firewall-cmd --reload
sudo firewall-cmd --list-ports
```

---

### I-2026-07-16-02

**Nym-Node nicht bonded / nicht in öffentlichen Explorern**  
Severity: medium · Host: koopa (`koopa-nym`) · Status: open

Container läuft (mixnode); API auf **9080** antwortet.  
Ohne **Bond** im Nym-Wallet erscheint der Node typischerweise nicht in Harbour Master / Explorern (anders als Tor nach ORPort-Publish).

Siehe `configs/nym/PUBLIC-LISTING.md`.

Logs: WARN `validator.nymtech.net/api/.../refresh-described` → **404** (API-Pfad; Node läuft trotzdem im Mixmode).

**Identity key (public):** `55gPqeyHHj4CwpVZXLEQy9MjSvVTVXM8t2pMmNCH2MsW`

---

### I-2026-07-16-03

**`podman-restart` / Taler-Apps nach Reboot**  
Severity: medium → mitigated · Host: koopa (hernani) · Status: mitigated 2026-07-16 Abend

**Beobachtet:** Container up, aber Merchant/Bank nur `sleep infinity` → öffentlich **502** bis manuelles `start_base` / `start_*.sh`.

**Mitigation:** User-Units `taler-merchant-apps.service` / `taler-bank-apps.service` + `~/.local/bin/ensure-taler-apps.sh`  
→ `2026/2026-07-16--reboot-recovery.md`. Nächster voller Reboot als Test.

```bash
systemctl --user is-active podman-restart.service \
  taler-merchant-apps.service taler-bank-apps.service
~/.local/bin/ensure-taler-apps.sh status
```

---

### I-2026-07-16-04

**Stray-Container `kind_taussig`**  
Severity: low · Host: koopa · Status: open

Container **Up** ~5 Tage: `kind_taussig` (`debian:bookworm-slim`), einmaliger Wallet/DEB-Test, `restart=no`, kein Prod-Name.

```bash
podman stop kind_taussig && podman rm kind_taussig
```

---

### I-2026-07-16-05

**Alte exited Podman-Container (Müll)**  
Severity: low · Host: koopa · Status: open

Mehrere **Exited**-Container (Monate/Jahre), z. B. `pensive_dubinsky`, `hardcore_edison`, `taler-exchange-no-network`, `debian00`, …  
Kein Autostart; nur Unordnung in `podman ps -a`.

Optional: `podman container prune` (nur exited, nach Review).

---

### I-2026-07-16-06

**Nym HTTP-API lauscht auf `*:9080`**  
Severity: low–medium · Host: koopa · Status: open (compose so konfiguriert)

`ss` zeigt **\*:9080** (rootlessport). **Kein** VeciGate-DNAT für 9080 → WAN normalerweise nicht erreichbar; LAN ja.

Härten optional: in compose nur `127.0.0.1:9080:8080` publishen.

Hinweis: `nym-node` startet intern mit `--http-bind-address [::]:8080` (Container-intern). Öffentlich relevant ist das Host-Mapping **9080**, nicht WAN :8080 (das ist Tor OR).

---

### I-2026-07-16-07

**`koopa-tor-relay` vs host `tor.service` (Port-Clash)**  
Severity: medium · Host: koopa · Status: **fixed** 2026-07-16

**War:** Nach Reboot crash-loopte `koopa-tor-relay` — Host-`tor.service` hielt **8080**/**9051**.  
**Soll:** nur Container (`KoopaRelay`, ORPort **8080**, VeciGate WAN→koopa:8080).

**Fix:** Host-Tor gestoppt/disabled; ggf. hängenden Prozess gekillt; User-Unit:

```bash
sudo systemctl disable --now tor
sudo systemctl mask tor   # optional
systemctl --user enable --now container-koopa-tor-relay.service
ss -lntp | grep -E '8080|9051'
podman ps --filter name=koopa-tor-relay
```

**Live (nach Fix):** Host-`tor` inactive/disabled; `koopa-tor-relay` Up; 8080 + 127.0.0.1:9051 vom Relay-Prozess.

---

## Kein Issue (Scan)

- Prod-Container mit Boot-Autostart: Up
- Taler-Ports 9010–9015 antworten (401/302 OK)
- Linger=yes, container-*-Units enabled
- Tor-OR: Container-Pfad (I-07 fixed)