ZeroTier mostra ONLINE però ACCESS_DENIED: on es corregeix?

ZeroTier informa d'ONLINE al nivell del servei i d'ACCESS_DENIED al nivell de la xarxa, i la parella no és cap contradicció. La primera és una afirmació sobre el camí entre el vostre client i la infraestructura de coordinació. La segona és una afirmació sobre la llista de membres d'una xarxa. Llegiu-les per separat i la combinació us dirà exactament on cal mirar.

Què mesura ONLINE

L'ordre d'estat informa si el servei local té un camí funcional fins als servidors arrel que coordinen el descobriment de parells. No diu res sobre cap xarxa concreta, ni sobre si un controlador ha aprovat aquest dispositiu. Per això una instal·lació nova en una connexió funcional informa d'ONLINE de seguida, abans que ningú l'hagi autoritzada enlloc.

Tracteu ONLINE com una afirmació sobre la fontaneria i l'estat de cada xarxa com una afirmació sobre la pertinença. Fer servir l'un per explicar l'altre és on comença la major part d'aquesta confusió.

Què us demana ACCESS_DENIED

En una xarxa privada el controlador manté una llista de membres. Un node que falta d'aquesta llista, o que hi és però no està autoritzat, rep ACCESS_DENIED sense cap configuració més enllà de l'encaixada bàsica. La correcció és al costat del controlador i necessita l'adreça del node, no el nom de la màquina, així que compareu l'adreça de la sortida del client amb l'entrada de membre i autoritzeu aquesta entrada.

Reinstal·lar el client és el primer moviment equivocat, perquè una instal·lació nova porta una identitat nova i l'autorització antiga ja no s'hi aplica. Si la xarxa és pública, el mateix estat apunta a una condició diferent, així que pregunteu al propietari del controlador si la xarxa és privada abans de demanar aprovació. Aquesta sola pregunta decideix la resta de la conversa.

El text d'estat és una branca, no un veredicte

Cada estat estreny la comprovació següent, i llegir-los com un sol missatge de fallada és el que converteix una correcció de dos minuts en un matí sencer de reinstal·lacions. NOT_FOUND vol dir que l'identificador que heu escrit no existeix en aquell controlador, així que la qüestió de la pertinença encara no s'ha plantejat. REQUESTING_CONFIGURATION vol dir que el node ha arribat al controlador i espera una configuració que no arriba, cosa que apunta al camí i no a l'autorització. OK vol dir que la pertinença i la configuració estan al seu lloc, així que la pregunta següent és l'adreça assignada i després el servei mateix.

Dues ordres separen tot això, i totes dues llegeixen el mateix client. Referència de la CLI de ZeroTier llista les cadenes d'estat per xarxa que retornen. La primera ordre és la vista del servei i la segona és per xarxa:

zerotier-cli status
zerotier-cli listnetworks

Guardeu el text d'estat quan demaneu ajuda a l'administrador. Una ordre d'unió local que ha imprès una confirmació només demostra que la petició s'ha acceptat localment, cosa que és un fet diferent de ser admès.

La pertinença pertany a una identitat

El controlador reconeix els fitxers d'identitat del client, per això copiar una configuració a una altra màquina o esborrar la identitat durant una reinstal·lació produeix un membre que el controlador no ha vist mai. És també per això que esborrar un registre de membre és diferent de desautoritzar-lo. Un node autoritzat que encara funciona continua provant, i un registre esborrat en lloc de revocat pot tornar com una petició nova des de la mateixa adreça.

Quan jubileu un dispositiu, revoqueu-lo primer i confirmeu que l'entrada reflecteix aquest estat abans de treure res. L'ordre és la diferència entre una retirada neta i una reincorporació misteriosa.

Verifiqueu després del canvi

Torneu a llegir l'entrada de la xarxa en lloc de l'ordre que ha fet el canvi. Quatre preguntes cobreixen el resultat, i qualsevol d'elles pot ser incorrecta mentre les altres semblen bé:

zerotier-cli listnetworks
ip -br addr show
ping -c 2 10.147.20.5
ip route get 10.147.20.5

La primera imprimeix la pertinença i l'adreça assignada per a cada xarxa, i la segona mostra si una interfície ha rebut realment aquesta adreça. Les dues últimes proven que un parell de la xarxa respon i quina interfície porta el trànsit. Anoteu quina ordre ha respost quina pregunta, perquè la propera persona comenci per l'evidència i no per la memòria.

Si la pertinença és OK i l'adreça hi és però els parells no responen, el problema s'ha traslladat a l'encaminament o a la política del mateix parell. Traieu el text d'estat d'aquesta conversa, perquè ja ha fet la seva feina. El registre de pertinença i el camí són temes separats, i com més aviat se separin, més curta serà la investigació.