> По дефолту контейнеры разбросаны между нодами.
> Ежели одна нода вылетает - все переезжает на другую.
>
> Проблема возникает, если вылетает не нода, а сетка между ними.
> В результате возникает split brain, т.к. каждая нода считает, что
> именно она является ведущей.

Да, это неизбежно.

http://en.wikipedia.org/wiki/CAP_theorem

ты хочешь и C (нет дублей типа split brain) и A (от падения одной остальные
живут) => значит, если P, то фигушки.

Значит, дублировать и квадралировать:) связи, ибо другого выхода нет.

Именно это я и хочу сделать.
Т.к. в связях участвуют не только патч-корды, но и свичи, то их выход
из строя также нужно предусмотреть.

У меня в голове вот такая схемка нарисовалась (PNG в аттаче).

Как уже подсказали, для решения с динамической агрегацией линков нужна
поддержка стекирования свичей.

В моем случае это не так, посему буду юзать failover bonding и один из портов
на каждой физической ноде будет простаивать в ожидании трындеца.

P.S. Если бы ты знал, какими изуверскими извращениями мы в своём проекте
пытаемся обеспечить, что при CA есть хоть какой-то смысл по P...
Уже думали базы в darcs/аналог загонять и мержить коммиты по объединению...