Διαγραμμένο μέλος ZeroTier επιστρέφει: ανακαλέστε πρώτα την εξουσιοδότηση

Διαγράφετε το μέλος, κλείνετε τη σελίδα και μία μέρα αργότερα η ίδια συσκευή είναι πάλι εκεί. Δεν είναι σφάλμα της κονσόλας. Αυτό συμβαίνει όταν μια εγγραφή διαγράφεται ενώ η συσκευή είναι ακόμη σε σύνδεση και εξακολουθεί να ζητά να συνδεθεί.

Δύο ενέργειες ζουν δίπλα δίπλα και κάνουν διαφορετικές δουλειές. Η μία αποφασίζει την πρόσβαση και η άλλη απλώς τακτοποιεί τη λίστα.

Ξεκινήστε από την εγγραφή που επιστρέφει

Ανοίξτε το δίκτυο και κοιτάξτε την καταχώριση που επέστρεψε. Σημειώστε το node ID της, την τελευταία διεύθυνσή της και την ώρα που εμφανίστηκε ξανά. Συγκρίνετε τα με τη συσκευή που θέλατε να παροπλίσετε. Το εμφανιζόμενο όνομα είναι ό,τι πληκτρολόγησε κάποιος, και η διεύθυνση μπορεί να αλλάξει στην επόμενη σύνδεση.

Το node ID είναι το σταθερό αναγνωριστικό. Ένα ID δικτύου ονομάζει το δίκτυο, άρα σας λέει ποια λίστα διαβάζετε και τίποτα για το ποια συσκευή βρίσκεται μέσα της. Καταγράψτε και τα δύο και μετά αντιστοιχίστε το node ID με το μηχάνημα που θέλατε να παροπλίσετε.

Αν κάνετε λάθος σε αυτή τη σύγκριση, θα αφαιρέσετε ένα μηχάνημα που δουλεύει ενώ το ανεπιθύμητο συνεχίζει να ζητά. Τότε η λίστα φαίνεται σωστή για μία μέρα. Αυτό είναι αρκετό για να μην το προσέξει κανείς, και ακριβώς αυτό είναι το πρόβλημα.

Ανακαλέστε πριν διαγράψετε

Αλλάξτε πρώτα την κατάσταση εξουσιοδότησης μέσω της ροής εργασίας που υποστηρίζει ο ελεγκτής. Από εκείνο το σημείο, μια απόπειρα σύνδεσης εμφανίζεται ως μη εξουσιοδοτημένη αντί να αποκαθιστά σιωπηρά την πρόσβαση, και το αίτημα είναι ορατό αντί αόρατο.

Η διαγραφή έρχεται μετά, ποτέ αντί γι' αυτήν. Αν αφαιρέσετε την εγγραφή ενός εξουσιοδοτημένου μέλους, δεν μένει τίποτα για ανάκληση. Η συσκευή ρωτά ξανά και ο ελεγκτής τη θεωρεί νέα.

Για ένα μηχάνημα που ελέγχετε ακόμη, η αποχώρηση από το δίκτυο είναι χρήσιμο μέρος του παροπλισμού. Δεν υποκαθιστά την απόφαση του διαχειριστή για μια χαμένη συσκευή. Ένας πελάτης που δεν ελέγχετε πια μπορεί να αγνοήσει ό,τι κι αν του ειπώθηκε.

Πού ζουν οι δύο ενέργειες

Σε έναν φιλοξενούμενο ελεγκτή, η λίστα μελών προσφέρει και τις δύο ενέργειες και τις χαρακτηρίζει αρκετά καθαρά ώστε να ξεχωρίζουν. Σε έναν αυτο-φιλοξενούμενο ελεγκτή, η ίδια διάκριση εμφανίζεται στο API και στην τοπική διαμόρφωση, και από εκεί συνήθως αρχίζει η σύγχυση.

# list members with authorization state
curl -s -H "X-ZT1-Auth: $TOKEN" \
  "http://127.0.0.1:9993/controller/network/$NETWORK_ID/member" | jq 'to_entries[] | {id: .key, authorized: .value.authorized}'

# deauthorize one member by node id, then confirm
curl -s -X POST -H "X-ZT1-Auth: $TOKEN" -d '{"authorized": false}' \
  "http://127.0.0.1:9993/controller/network/$NETWORK_ID/member/$NODE_ID"

Αυτές οι δύο κλήσεις αρκούν για να δείξουν αν το μέλος ήταν ποτέ πραγματικά μη εξουσιοδοτημένο. Μια εγγραφή που επιστρέφει ξανά και ξανά με authorized: true δεν ανακλήθηκε ποτέ· απλώς διαγράφηκε.

Επιβεβαιώστε από τον πόρο, όχι από τη λίστα

Μια τακτοποιημένη λίστα μελών δεν είναι έλεγχος πρόσβασης. Δοκιμάστε τον πόρο που χρησιμοποιούσε η συσκευή πριν, από εκείνη τη συσκευή ή από ένα μηχάνημα που έχει την παλιά της διεύθυνση, και επιβεβαιώστε ότι η σύνδεση αποτυγχάνει. Μετά επιβεβαιώστε ότι ένα εγκεκριμένο υποκατάστατο λειτουργεί ακόμη.

Συμπεριλάβετε διαδρομές και άδειες υπηρεσιών σε αυτή τη δοκιμή. Το ZeroTier μπορεί να εξουσιοδοτήσει ένα μέλος και παρόλα αυτά να το αφήσει ανίκανο να φτάσει μια διαχειριζόμενη διαδρομή. Μια άδεια εφαρμογής μπορεί να αποτύχει με τον ίδιο τρόπο. Και τα δύο φαίνονται ίδια από τη λίστα μελών.

zerotier-cli listnetworks
ip route show | grep zt
ping -c 3 10.144.0.5

Για έναν αυτο-φιλοξενούμενο ελεγκτή, κρατήστε ένα συνεπές αντίγραφο ασφαλείας της ταυτότητας και της διαμόρφωσής του. Μια επαναφορά που γυρίζει σε προηγούμενη κατάσταση μπορεί να φέρει πίσω και μια παλιά εξουσιοδότηση, και η λίστα μελών θα φαίνεται ακριβώς όπως πριν από τον παροπλισμό.

Ο παροπλισμός ολοκληρώνεται όταν η παλιά ταυτότητα δεν μπορεί να φτάσει τίποτα και η εγγραφή έχει φύγει. Κάντε τα με αυτή τη σειρά και το μέλος σταματά να επιστρέφει.