ZeroTieris autoriseeritud, aga aadressi pole? Kaks eraldi seadet
Liikme kinnitamine ja talle aadressi andmine on kaks eraldi seadet. Lugege enne IP leiutamist adressipooli, määramisrežiimi ja kliendi rakendatud olekut.
ZeroTier näitab liiget olekuga OK, võrk on liidetud, ja ikkagi pole aadressi, mida pingida. See kombinatsioon tundub veana ja on tavaliselt pooleks läinud konfiguratsioon: liikme kinnitamine on üks lüliti ja aadressi andmine on teine. Võrk võib seadme vastu võtta ja mitte kunagi midagi määrata, sest adressipooli või määramisrežiimi ei seatud kunagi üles.
Lugege mõlemat poolt enne, kui kumbagi muudate. Vastus on nähtav kahes kohas ja ainult üks neist on kontrolleril.
Autoriseerimine ja määramine on erinevad lülitid
Autoriseerimine vastab, kas see sõlm tohib võrgus osaleda. Aadressi määramine vastab, mida võrk talle pärast osalemist annab, ja see vastus tuleb adressipoolist pluss määramisrežiimist. Kumbki seade ei eelda teist. Üks on luba ja teine on jaotus.
Kontrolleri konfiguratsioon sisaldab tavaliselt haldatud marsruudi, aadressivahemiku ja režiimi, mis otsustab, kas automaatset määramist kasutatakse. Võrgu ID kopeerimine teisest keskkonnast toob liikmelisuse ega too midagi sellest konfiguratsioonist.
Seetõttu võib seade liikmete loendis terve välja näha, samal ajal kui selle määratud aadressi veerg jääb tühjaks. Kontroller on selle vastu võtnud ja tal pole midagi anda. Mõlemad väited on korraga tõesed.
| Layer | What it decides | Where it is configured |
|---|---|---|
| Membership | Whether the node may join | Member authorization on the network |
| Pool | Which addresses exist to hand out | Network address range |
| Assignment mode | Whether they are handed out automatically | Network v4/v6 assignment settings |
Liikme tegeliku oleku lugemine
Küsige kliendilt, mida see tegelikult sai, mitte mida kontroller kavatses. Tavaline loend näitab oleku- ja aadressiveerge ning JSON-vorm näitab võrgukonfiguratsiooni, mille klient rakendas, sealhulgas hallatavad aadressid ja marsruudid.
zerotier-cli listnetworks
zerotier-cli -j listnetworks | jq '.networks[] | {nwid, status, assignedAddresses}'Võrrelge kahte väljundit sama võrgu ID jaoks, mitte operatsioonisüsteemi enda loendis ilmuvate füüsiliste adapterite jaoks. Rida, mis teatab OK tühja aadressikogumiga, kinnitab määramise lünka, mitte ühenduvuse riket. Vale rea lugemine on selle vea teine pool.
Olek ACCESS_DENIED osutab tagasi autoriseerimisele, ja see on teine parandus. Kui käsk ei suuda üldse kohalikku autentimistokenit lugeda, on probleem kohalikes õigustes, mitte kontrolleri keeldumises, ja parandus tehakse masinas, mille taga te istute.
Kui klient eirab seda, mida kontroller saadab
Kliendil on oma seaded, mis otsustavad, kas hallatavat konfiguratsiooni rakendatakse. Profiil, mis lülitab välja hallatavad aadressid, hallatavad marsruudid või vaikemarsruudi käsitlemise, viskab kõrvale selle, mida võrk saadab, ja liikmete loend näeb kontrolleri poolt endiselt õige välja.
Need lipud mõjutavad ainult kohalikku sõlme. Nende muutmine ei muuda seda, mida teised liikmed saavad, ega paranda pooli, mida kunagi ei määratletud.
Nii on diagnoosil kaks haru: kas kontrolleril pole aadressi, mida anda, või klient keeldus sellest, mis talle anti. Need viivad erinevate parandusteni erinevates masinates. JSON-väljund eristab neid, sest aadress kas puudub võrgu konfiguratsioonist või on olemas ja puudub kliendi rakendatud olekus.
Mida parandada selle asemel, et aadressi leiutada
Suvalise staatilise aadressi sisestamine on ahvatlev kolmas valik ja halvim. Juhuslik aadress võib kokku põrgata teise sõlmega, jääda väljapoole marsruute, mida võrk levitab, või langeda vahemikku, mida tulemüüri reeglid kohtlevad teisiti. See peidab ka puuduva pooli igaühe eest, kes võrku järgmisena vaatab. Parandage hoopis määramine ja laske kontrolleril ja kliendil tulemuses kokku leppida.
Küsige administraatorilt, mida võrk peaks andma, seejärel kontrollige, et pool katab kavandatud vahemiku ja et määramisrežiim on lubatud. Liituge pärast muudatust uuesti, selle asemel et oodata, et klient jõuab ise kohe uue konfiguratsioonini.
Kui aadress ilmub, testige seda, mida te tegelikult vajasite: partnerit, teenust või lüüsi taga olevat alamvõrku. Liikme taga olevasse LAN-i pääsemine nõuab marsruutimist ja edastamist väljaspool liikmelisust ning üldine internetiühendus nõuab väljumissõlme, seega töötav aadress on selle testi algus, mitte lõpp.