Document resuming an interrupted Tailscale enrollment

README.md

@@ -29,6 +29,23 @@ geplanten Aenderungen. Beide installieren nichts, starten nichts neu und speiche
 keine Einstellungen. Fuer interaktive Eingaben muss ein Terminal vorhanden sein;
 die Eingaben werden ueber `/dev/tty` gelesen, auch beim Start per curl.
 
+### Nach einer unterbrochenen Tailscale-Anmeldung
+
+Wenn Tailscale bereits installiert wurde, die erste Anmeldung aber scheiterte,
+die aktuelle Datei erneut herunterladen und fuer den betroffenen Container starten:
+
+```bash
+bash /run/lxc-enroll.sh --resume-tailscale --select CTID
+```
+
+Dieser ausdrueckliche Wiederaufnahme-Modus meldet vorhandene Clients nur im
+Zustand `NeedsLogin` oder `NoState` an. Clients im Zustand `Running` behalten
+ihre Registrierung; andere Zustaende werden zur manuellen Pruefung gemeldet.
+Tailscale wird nicht erneut installiert. Fehlendes Wazuh und die gewaehlte
+SSH-Einrichtung folgen danach. Einstellungen koennen aus `.vars` geladen
+werden; benoetigte Schluessel und Passwoerter werden erneut verdeckt abgefragt.
+Vollstaendig installierte Container bleiben aus der normalen Auswahl ausgeblendet.
+
 ## Ablauf
 
 1. Laufende Debian-/Ubuntu-LXCs mit systemd erkennen. Gestoppte, gesperrte und
@@ -109,9 +126,9 @@ kann temporaere Dateien in `/run/lxc-enroll.*` hinterlassen; dann entfernen.
 - Unterstuetzt native APT-/systemd-Installationen in Debian und Ubuntu. Alpine,
   VMs, weitere Hosts und gestoppte Container sind nicht enthalten.
 - Der Proxmox-Host selbst bekommt durch dieses Skript keinen Wazuh-Agent.
-- Vorhandene Tailscale-/Wazuh-Registrierungen werden nicht veraendert. Bereits
-  installierte, aber nicht verbundene Dienste muessen separat repariert werden.
-  Ein fehlgeschlagener Enrollment-Versuch kann deshalb manuelle Reparatur brauchen.
+- Vorhandene Tailscale-/Wazuh-Registrierungen werden nicht ersetzt. Fuer noch
+  nicht angemeldetes Tailscale gibt es `--resume-tailscale`; andere Fehler,
+  insbesondere bei vorhandenen Wazuh-Agents, brauchen separate Reparatur.
 - Ein Wazuh-Manager-LXC bekommt niemals zusaetzlich einen Wazuh-Agent; es kann
   bei fehlendem Tailscale fuer die Tailscale-Einrichtung ausgewaehlt werden.
 - Die Manager-Adresse muss von den jeweiligen LXCs auf TCP 1514 und 1515
@@ -133,5 +150,7 @@ kann temporaere Dateien in `/run/lxc-enroll.*` hinterlassen; dann entfernen.
 - [Headscale-Registrierung](https://headscale.net/stable/ref/registration/)
 - [Tailscale SSH und Zugriffsregeln](https://tailscale.com/docs/features/tailscale-ssh)
 
-Syntax und simulierte Auswahl-/Installationsablaeufe sind lokal geprueft.
-Ein echter Proxmox-Lauf und eine echte Tailscale-SSH-Anmeldung stehen noch aus.
+Syntax und simulierte Auswahl-/Installationsablaeufe sind lokal geprueft,
+einschliesslich Debian-Systemdaten und Wiederaufnahme nach fehlgeschlagener
+Anmeldung. Die aktuelle Korrektur und eine Tailscale-SSH-Anmeldung muessen
+auf dem echten Proxmox-System noch bestaetigt werden.