ZeroTier näyttää ONLINE mutta ACCESS_DENIED: mistä se korjataan?

ZeroTier ilmoittaa ONLINE-palvelutason tilan ja ACCESS_DENIED-verkkotason tilan, eikä pari ole ristiriita. Ensimmäinen on väite asiakkaasi ja koordinointi-infrastruktuurin välisestä reitistä. Toinen on väite yhden verkon jäsenluettelosta. Lue ne erikseen, niin yhdistelmä kertoo tarkalleen, mistä katsoa.

Mitä ONLINE mittaa

Tilakomento ilmoittaa, onko paikallisella palvelulla toimiva reitti juuripalvelimiin, jotka koordinoivat vertaisten löytämistä. Se ei kerro mitään yksittäisestä verkosta eikä siitä, onko ohjain hyväksynyt tämän laitteen. Siksi tuore asennus toimivalla yhteydellä ilmoittaa heti ONLINE-tilan, ennen kuin kukaan on valtuuttanut sen missään.

Kohtele ONLINE-tilaa väitteenä putkistosta ja kunkin verkon tilaa väitteenä jäsenyydestä. Toisen käyttäminen toisen selittämiseen on se kohta, josta suurin osa tästä sekaannuksesta alkaa.

Mitä ACCESS_DENIED pyytää sinulta

Yksityisessä verkossa ohjain pitää jäsenluetteloa. Solmu, joka puuttuu luettelosta tai on luettelossa mutta ei valtuutettu, saa ACCESS_DENIED-tilan ilman muuta kokoonpanoa kuin peruskättelyn. Korjaus on ohjaimen puolella ja se tarvitsee solmun osoitteen eikä koneen nimeä, joten sovita asiakkaan tulosteessa oleva osoite jäsenmerkintään ja valtuuta se merkintä.

Asiakkaan uudelleenasennus on väärä ensimmäinen askel, koska uusi asennus tuo uuden identiteetin eikä vanha valtuutus enää päde siihen. Jos verkko on julkinen, sama tila viittaa toiseen ehtoon, joten kysy ohjaimen omistajalta, onko verkko yksityinen, ennen kuin pyydät hyväksyntää. Se yksi kysymys ratkaisee keskustelun loput.

Tilateksti on haara, ei tuomio

Jokainen tila kaventaa seuraavaa tarkistusta, ja juuri niiden lukeminen yhtenä virheilmoituksena muuttaa kahden minuutin korjauksen kokonaiseksi iltapäiväksi uudelleenasennuksia. NOT_FOUND tarkoittaa, että kirjoittamasi tunniste ei ole olemassa kyseisellä ohjaimella, joten jäsenyyskysymykseen ei ole vielä päästy. REQUESTING_CONFIGURATION tarkoittaa, että solmu on saavuttanut ohjaimen ja odottaa kokoonpanoa, joka ei saavu, mikä viittaa reittiin eikä valtuutukseen. OK tarkoittaa, että jäsenyys ja kokoonpano ovat paikallaan, joten seuraava kysymys on määritetty osoite ja sitten itse palvelu.

Kaksi komentoa erottavat tämän kaiken, ja molemmat lukevat samaa asiakasta. ZeroTier CLI -viite luettelee verkkokohtaiset tilamerkkijonot, jotka ne palauttavat. Ensimmäinen komento on palvelunäkymä ja toinen on verkkokohtainen:

zerotier-cli status
zerotier-cli listnetworks

Säilytä tilateksti, kun pyydät järjestelmänvalvojalta apua. Paikallinen liittymiskomento, joka tulosti vahvistuksen, todistaa vain, että pyyntö hyväksyttiin paikallisesti, mikä on eri asia kuin sisään pääseminen.

Jäsenyys kuuluu identiteetille

Ohjain tunnistaa juuri asiakkaan identiteettitiedostot, joten kokoonpanon kopioiminen toiselle koneelle tai identiteetin tyhjentäminen uudelleenasennuksen aikana tuottaa jäsenen, jota ohjain ei ole koskaan nähnyt. Siksi myös jäsenmerkinnän poistaminen eroaa sen valtuutuksen peruuttamisesta. Valtuutettu solmu, joka vielä käy, jatkaa yrittämistä, ja merkintä, joka poistettiin peruuttamisen sijaan, voi palata uutena pyyntönä samasta osoitteesta.

Kun poistat laitteen käytöstä, peruuta sen valtuutus ensin ja varmista, että merkintä kuvastaa tätä tilaa, ennen kuin poistat mitään. Järjestys on ero siistin poiston ja salaperäisen paluun välillä.

Varmista muutoksen jälkeen

Lue verkkomääritys uudelleen sen sijaan että lukisit komennon, joka muutoksen teki. Neljä kysymystä kattavat tuloksen, ja mikä tahansa niistä voi olla väärin, kun muut näyttävät oikeilta:

zerotier-cli listnetworks
ip -br addr show
ping -c 2 10.147.20.5
ip route get 10.147.20.5

Ensimmäinen tulostaa jäsenyyden ja määritetyn osoitteen kullekin verkolle, ja toinen näyttää, saiko verkkoliitäntä kyseisen osoitteen todella. Kaksi viimeistä todistavat, että verkon vertainen vastaa ja mikä liitäntä kuljettaa liikennettä. Kirjaa, mikä komento vastasi mihinkin kysymykseen, jotta seuraava henkilö aloittaa todisteista eikä muistista.

Jos jäsenyys on OK ja osoite on olemassa mutta vertaiset eivät vastaa, ongelma on siirtynyt reititykseen tai vertaisen omaan käytäntöön. Ota tilateksti pois siitä keskustelusta, koska se on jo tehnyt tehtävänsä. Jäsenmerkintä ja reitti ovat erillisiä aiheita, ja mitä aikaisemmin ne erotetaan, sitä lyhyemmäksi tutkinta jää.