Function startNodeHub

internal/server/server_grpc.go:36–78

startNodeHub 实例化 nodehub.Hub 并构造 gRPC server（单端口 cmux 模式）。 TLS 监听和 cmux 分流由调用方负责；gRPC server 通过 Serve(grpcSubListener) 启动，keepalive 参数完全有效。 serverCN/serverSANs 用于自签服务器证书（节点 CA 信任链，节点无需额外配置）。 pushHandler 为 nil 时使用 NoopPushHandler。 失败仅打印 log：GRPCServer 为 nil 时不启用 gRPC 功能。

(ctx context.Context, serverCN string, serverSANs []string, nodeCA *cert.NodeCA, nodeStore nodes.Store, pushHandler nodehub.PushHandler)

//
// 失败仅打印 log：GRPCServer 为 nil 时不启用 gRPC 功能。
func startNodeHub(ctx context.Context, serverCN string, serverSANs []string, nodeCA *cert.NodeCA, nodeStore nodes.Store, pushHandler nodehub.PushHandler) *nodeHubResult {
	if pushHandler == nil {
		pushHandler = nodehub.NoopPushHandler{}
	}
	hub := nodehub.New(nodehub.Options{
		PushHandler:           pushHandler,
		DeadConnectionTimeout: 60 * time.Second,
		ReaperInterval:        10 * time.Second,
		OnNodeConnected:       onNodeConnected(nodeStore),
	})

	serverTLS, err := nodeCA.IssueServerCert(serverCN, serverSANs, 365*24*time.Hour)
	if err != nil {
		log.Printf("nodehub: issue server cert failed: %v; gRPC disabled", err)
		return &nodeHubResult{Hub: hub}
	}

	// gRPC 使用真实 TLS 握手（cmux 按 TLS ClientHello 分流，握手在此完成）。
	// RequireAndVerifyClientCert 在 TLS 层强制 mTLS，无需额外的应用层拦截器。
	tlsCfg := &tls.Config{
		Certificates: []tls.Certificate{serverTLS},
		ClientAuth:   tls.RequireAndVerifyClientCert,
		ClientCAs:    nodeCA.ClientCAPool(),
		NextProtos:   []string{"h2"},
		MinVersion:   tls.VersionTLS12,
	}

	grpcSrv := grpc.NewServer(
		grpc.Creds(credentials.NewTLS(tlsCfg)),
		grpc.KeepaliveParams(keepalive.ServerParameters{
			Time:    30 * time.Second,
			Timeout: 10 * time.Second,
		}),
		grpc.KeepaliveEnforcementPolicy(keepalive.EnforcementPolicy{
			MinTime:             25 * time.Second,
			PermitWithoutStream: true,
		}),
	)
	nodev1.RegisterNodeAgentServer(grpcSrv, hub)
	go hub.RunReaper(ctx)

	return &nodeHubResult{Hub: hub, GRPCServer: grpcSrv}
}

// onNodeConnected 返回节点建连回调：用 gRPC 对端 IP 更新 node.BaseURL。
// 仅更新 loopback 或空 BaseURL，保留管理员手动配置的域名。