Aelod ZeroTier wedi'i ddileu yn dychwelyd: dirymwch yr awdurdodiad yn gyntaf

Rydych yn dileu'r aelod, yn cau'r dudalen, ac ymhen diwrnod mae'r un ddyfais yn ôl. Nid yw hynny'n nam yn y consol. Dyma sy'n digwydd pan fydd cofnod yn cael ei ddileu tra bo'r ddyfais yn dal ar-lein ac yn dal i ofyn am ymuno.

Mae dwy weithred yn byw wrth ymyl ei gilydd ac yn gwneud gwahanol waith. Mae un yn penderfynu ar fynediad, a'r llall yn unig yn tacluso'r rhestr.

Dechreuwch o'r cofnod sy'n dychwelyd

Agorwch y rhwydwaith ac edrychwch ar y cofnod sydd wedi dychwelyd. Nodwch ei node ID, ei gyfeiriad diwethaf a'r amser y daeth i'r golwg eto. Cymharwch hynny â'r ddyfais roeddech am ei hymddeol. Enw arddangos yw'r hyn a deipiodd rhywun, a gall y cyfeiriad newid ar yr ymuniad nesaf.

Y node ID yw'r dynodwr sefydlog. Mae ID rhwydwaith yn enwi'r rhwydwaith, felly mae'n dweud pa restr rydych yn ei darllen ac yn dweud dim am ba ddyfais sydd ynddi. Cofnodwch y ddau, yna parwch y node ID â'r peiriant roeddech am ei ymddeol.

Os byddwch yn cael y gymhariaeth honno'n anghywir, byddwch yn tynnu peiriant sy'n gweithio tra bo'r un anghymeradwy yn dal i ofyn. Bydd y rhestr wedyn yn edrych yn gywir am ddiwrnod. Mae hynny'n ddigon hir i neb sylwi, a dyna'r union broblem.

Dirymwch cyn i chi ddileu

Newidiwch gyflwr yr awdurdodiad yn gyntaf drwy'r llif gwaith mae'r rheolwr yn ei gefnogi. O'r pwynt hwnnw, mae ymgais i ymuno yn ymddangos fel un heb awdurdod yn lle adfer mynediad yn dawel, ac mae'r cais yn weladwy yn hytrach nag yn anweledig.

Daw'r dileu ar ôl hynny, byth yn lle hynny. Nid yw tynnu cofnod aelod awdurdodedig yn gadael dim i'w ddirymu. Mae'r ddyfais yn gofyn eto, ac mae'r rheolwr yn ei thrin fel un newydd.

Ar gyfer peiriant rydych yn dal i'w reoli, mae gadael y rhwydwaith yn rhan ddefnyddiol o ymddeoliad. Nid yw'n lle penderfyniad y gweinyddwr ar ddyfais goll. Gall cleient nad ydych yn ei reoli mwyach anwybyddu unrhyw beth a ddywedwyd wrtho.

Lle mae'r ddwy weithred yn byw

Ar reolwr a gynhelir gan wasanaeth, mae'r rhestr aelodau yn cynnig y ddwy weithred ac yn eu labelu'n ddigon clir i'w gwahaniaethu. Ar reolwr a gynhelir gennych eich hun, mae'r un gwahaniaeth yn ymddangos yn yr API ac yn y ffurfweddiad lleol, a dyna lle mae'r dryswch fel arfer yn dechrau.

# list members with authorization state
curl -s -H "X-ZT1-Auth: $TOKEN" \
  "http://127.0.0.1:9993/controller/network/$NETWORK_ID/member" | jq 'to_entries[] | {id: .key, authorized: .value.authorized}'

# deauthorize one member by node id, then confirm
curl -s -X POST -H "X-ZT1-Auth: $TOKEN" -d '{"authorized": false}' \
  "http://127.0.0.1:9993/controller/network/$NETWORK_ID/member/$NODE_ID"

Mae'r ddau alwad hynny'n ddigon i ddangos a oedd yr aelod erioed wedi bod heb awdurdod mewn gwirionedd. Cofnod sy'n dychwelyd dro ar ôl tro gyda'r gwerth authorized: true ni chafodd ei ddirymu erioed; dim ond ei ddileu.

Cadarnhewch o'r adnodd, nid o'r rhestr

Nid yw rhestr aelodau daclus yn archwiliad mynediad. Rhowch gynnig ar yr adnodd a ddefnyddiodd y ddyfais o'r blaen, o'r ddyfais honno neu o beiriant sy'n dal ei hen gyfeiriad, a chadarnhewch fod y cysylltiad yn methu. Yna cadarnhewch fod amnewidiad cymeradwy yn dal i weithio.

Cynhwyswch lwybrau a chaniatadau gwasanaeth yn y prawf hwnnw. Gall ZeroTier awdurdodi aelod a gadael iddo fod yn methu cyrraedd llwybr a reolir. Gall caniatâd cymhwysiad fethu yr un ffordd. Mae'r ddau yn edrych yn unfath o'r rhestr aelodau.

zerotier-cli listnetworks
ip route show | grep zt
ping -c 3 10.144.0.5

Ar gyfer rheolwr a gynhelir gennych eich hun, cadwch gopi wrth gefn cyson o'i hunaniaeth a'i ffurfweddiad. Gall adferiad sy'n mynd yn ôl i gyflwr cynharach ddod ag hen awdurdodiad yn ôl gyda'i gilydd, a bydd y rhestr aelodau yn edrych yn union fel yr oedd cyn yr ymddeoliad.

Mae'r ymddeoliad yn gyflawn pan na all yr hen hunaniaeth gyrraedd dim byd ac mae'r cofnod wedi mynd. Gwnewch hynny yn y drefn honno a bydd'r aelod yn stopio dod yn ôl.