ZeroTier näitab ONLINE, aga ACCESS_DENIED: kus seda parandada?

ZeroTier teatab teenuse tasandil ONLINE ja võrgu tasandil ACCESS_DENIED ning see paar ei ole vastuolu. Esimene on väide tee kohta sinu kliendi ja koordineeriva infrastruktuuri vahel. Teine on väide ühe võrgu liikmete nimekirja kohta. Loe neid eraldi ja kombinatsioon ütleb sulle täpselt, kuhu vaadata.

Mida ONLINE mõõdab

Olekukäsk teatab, kas kohalikul teenusel on töötav tee juurserveriteni, mis koordineerivad partnerite avastamist. See ei ütle midagi ühegi üksiku võrgu kohta ega ka selle kohta, kas kontroller on selle seadme heaks kiitnud. Seetõttu teatab värske paigaldus töötaval ühendusel kohe ONLINE, enne kui keegi on selle kuskil autoriseerinud.

Käsitle ONLINE-i väitena torustiku kohta ja iga võrgu olekut väitena liikmelisuse kohta. Ühe kasutamine teise selgitamiseks on koht, kust suurem osa sellest segadusest algab.

Mida ACCESS_DENIED sinult palub

Privaatses võrgus peab kontroller liikmete nimekirja. Sõlm, mis selles nimekirjas puudub või on nimekirjas, kuid pole autoriseeritud, saab ACCESS_DENIED ilma igasuguse konfiguratsioonita peale põhilise käepigistuse. Parandus on kontrolleri poolel ja see vajab sõlme aadressi, mitte masina nime, seega sobita kliendi väljundis olev aadress liikmekirjega ja autoriseeri see kirje.

Kliendi uuesti paigaldamine on vale esimene samm, sest uus paigaldus toob uue identiteedi ja vana autoriseering ei kehti selle kohta enam. Kui võrk on avalik, osutab sama olek teistsugusele tingimusele, seega küsi kontrolleri omanikult, kas võrk on privaatne, enne kui taotled kinnitust. See üks küsimus otsustab ülejäänud vestluse.

Olekutekst on haru, mitte otsus

Iga olek kitsendab järgmist kontrolli ja just nende lugemine ühe veateatena muudab kaheminutilise paranduse terveks pärastlõunaks uuesti paigaldamist. NOT_FOUND tähendab, et identifikaator, mille sisestasid, ei eksisteeri selles kontrolleris, seega liikmelisuse küsimuseni pole veel jõutud. REQUESTING_CONFIGURATION tähendab, et sõlm jõudis kontrollerini ja ootab konfiguratsiooni, mis ei saabu, mis osutab pigem teele kui autoriseeringule. OK tähendab, et liikmelisus ja konfiguratsioon on paigas, seega järgmine küsimus on määratud aadress ja seejärel teenus ise.

Kaks käsku eraldavad kõik selle ja mõlemad loevad sama klienti. ZeroTier CLI viide loetleb iga võrgu olekustringid, mille need tagastavad. Esimene käsk on teenuse vaade ja teine on iga võrgu kohta:

zerotier-cli status
zerotier-cli listnetworks

Hoia olekutekst alles, kui palud administraatorilt abi. Kohalik liitumiskäsk, mis trükkis kinnituse, tõestab ainult seda, et taotlus võeti kohapeal vastu, mis on teine fakt kui sisse laskmine.

Liikmelisus kuulub identiteedile

Kontroller tunneb ära just kliendi identiteedifailid, seega konfiguratsiooni kopeerimine teisele masinale või identiteedi kustutamine uuesti paigaldamise ajal loob liikme, keda kontroller pole kunagi näinud. Seetõttu erineb ka liikmekirje kustutamine selle autoriseeringu tühistamisest. Autoriseeritud sõlm, mis veel töötab, jätkab proovimist, ja kirje, mis kustutati, mitte ei tühistatud, võib naasta uue taotlusena samalt aadressilt.

Kui võtad seadme kasutusest välja, tühista esmalt selle autoriseering ja kinnita, et kirje kajastab seda olekut, enne kui midagi eemaldad. Järjekord on vahe puhta eemaldamise ja salapärase taasliitumise vahel.

Kontrolli pärast muudatust

Loe uuesti võrgukirjet, mitte käsku, mis muudatuse tegi. Tulemust katavad neli küsimust ja ükskõik milline neist võib olla vale, samal ajal kui teised näivad õiged:

zerotier-cli listnetworks
ip -br addr show
ping -c 2 10.147.20.5
ip route get 10.147.20.5

Esimene trükib iga võrgu liikmelisuse ja määratud aadressi ning teine näitab, kas liides sai selle aadressi tegelikult kätte. Kaks viimast tõestavad, et võrgus olev partner vastab ja milline liides kannab liiklust. Pane kirja, milline käsk vastas millisele küsimusele, et järgmine inimene alustaks tõenditest, mitte mälust.

Kui liikmelisus on OK ja aadress on olemas, aga partnerid ei vasta, on probleem liikunud marsruutimisse või partneri enda poliitikasse. Võta olekutekst sellest vestlusest välja, sest see on oma töö juba teinud. Liikmekirje ja tee on eraldi teemad ning mida varem need eraldatakse, seda lühem on uurimine.