ZeroTier wys ONLINE maar ACCESS_DENIED: waar reg jy dit?

ZeroTier rapporteer ONLINE op diensvlak en ACCESS_DENIED op netwerkvlak, en die twee is nie 'n teenstrydigheid nie. Die eerste sê iets oor die pad tussen jou kliënt en die koördinasie-infrastruktuur. Die tweede sê iets oor een netwerk se ledelys. Lees hulle afsonderlik, en die kombinasie wys presies waar om te kyk.

Wat ONLINE meet

Die statusopdrag rapporteer of die plaaslike diens 'n werkende pad na die wortelbedieners het wat portuurontdekking koördineer. Dit sê niks oor enige individuele netwerk nie, en niks oor of 'n beheerder hierdie toestel goedgekeur het nie. 'n Nuwe installasie op 'n werkende verbinding rapporteer dus dadelik ONLINE, voordat iemand dit enige plek gemagtig het.

Behandel ONLINE as 'n stelling oor die leidings en die per-netwerk status as 'n stelling oor lidmaatskap. Om die een te gebruik om die ander te verduidelik, is waar die meeste van hierdie verwarring begin.

Wat ACCESS_DENIED van jou vra

Op 'n privaat netwerk hou die beheerder 'n ledelys. 'n Nodus wat aan daardie lys ontbreek, of gelys maar nie gemagtig is nie, kry ACCESS_DENIED saam met geen konfigurasie buiten die basiese handdruk nie. Die regstelling is aan die beheerder se kant en dit het die nodusadres nodig, nie die masjiennaam nie, so pas die adres in jou kliëntuitset by die lede-inskrywing en magtig daardie inskrywing.

Om die kliënt te herinstalleer is die verkeerde eerste stap, want 'n nuwe installasie bring 'n nuwe identiteit en die ou magtiging geld nie meer daarvoor nie. As die netwerk publiek is, wys dieselfde status na 'n ander toestand, so vra die beheerder se eienaar of die netwerk privaat is voordat jy goedkeuring aanvra. Daardie een vraag bepaal die res van die gesprek.

Statusteks is 'n vertakking, nie 'n uitspraak nie

Elke status vernou die volgende kontrole, en om hulle as een foutboodskap te lees, is wat 'n regstelling van twee minute in 'n middag van herinstalleer verander. NOT_FOUND beteken die identifiseerder wat jy getik het, bestaan nie by daardie beheerder nie, so die lidmaatskapvraag is nog nie bereik nie. REQUESTING_CONFIGURATION beteken die nodus het die beheerder bereik en wag op konfigurasie wat nie opdaag nie, wat na die pad wys eerder as na magtiging. OK beteken lidmaatskap en konfigurasie is in plek, so die volgende vraag is die toegewysde adres en dan die diens self.

Twee opdragte skei dit alles, en albei lees dieselfde kliënt. Die ZeroTier CLI-verwysing lys die per-netwerk statusstringe wat hulle teruggee. Die eerste opdrag is die diens-aansig en die tweede is per netwerk:

zerotier-cli status
zerotier-cli listnetworks

Hou die statusteks by wanneer jy die administrateur om hulp vra. 'n Plaaslike aansluitingsopdrag wat 'n bevestiging gedruk het, bewys net dat die versoek plaaslik aanvaar is, wat 'n ander feit is as om toegelaat te word.

Lidmaatskap hoort aan 'n identiteit

Die kliënt se identiteitslêers is wat die beheerder herken, so om 'n konfigurasie na 'n ander masjien te kopieer of die identiteit tydens 'n herinstallasie te wis, lewer 'n lid wat die beheerder nog nooit gesien het nie. Dit is ook waarom om 'n lede-rekord te skrap verskil van om dit te deoutoriseer. 'n Gemagtigde nodus wat nog loop, hou aan probeer, en 'n rekord wat geskrap eerder as herroep is, kan terugkom as 'n nuwe versoek van dieselfde adres.

Wanneer jy 'n toestel uit diens stel, herroep dit eerste en bevestig dat die inskrywing daardie toestand weerspieël voordat jy enigiets verwyder. Die volgorde is die verskil tussen 'n skoon verwydering en 'n raaiselagtige heraansluiting.

Verifieer ná die verandering

Lees die netwerk-inskrywing eerder as die opdrag wat die verandering gemaak het. Vier vrae dek die uitkoms, en enige een van hulle kan verkeerd wees terwyl die ander reg lyk:

zerotier-cli listnetworks
ip -br addr show
ping -c 2 10.147.20.5
ip route get 10.147.20.5

Die eerste druk lidmaatskap en die toegewysde adres vir elke netwerk, en die tweede wys of 'n koppelvlak daardie adres werklik ontvang het. Die laaste twee bewys dat 'n portuur op die netwerk antwoord en watter koppelvlak die verkeer dra. Let op watter opdrag watter vraag beantwoord het, sodat die volgende persoon van bewyse eerder as van geheue begin.

As lidmaatskap OK is en die adres teenwoordig is maar porture antwoord nie, het die probleem na roetering of na die portuur se eie beleid geskuif. Haal die statusteks uit daardie gesprek, want dit het al sy werk gedoen. Die lede-rekord en die pad is aparte onderwerpe, en hoe gouer hulle geskei word, hoe korter word die ondersoek.