ZeroTier affiche ONLINE mais ACCESS_DENIED : où corriger ?

ZeroTier signale ONLINE au niveau du service et ACCESS_DENIED au niveau du réseau, et le couple n'est pas une contradiction. Le premier est une affirmation sur le chemin entre votre client et l'infrastructure de coordination. Le second est une affirmation sur la liste des membres d'un réseau. Lisez-les séparément et la combinaison vous dira exactement où regarder.

Ce que mesure ONLINE

La commande de statut indique si le service local dispose d'un chemin fonctionnel vers les serveurs racine qui coordonnent la découverte des pairs. Elle ne dit rien d'un réseau particulier, ni si un contrôleur a approuvé cet appareil. Une installation neuve sur une connexion fonctionnelle signale donc ONLINE immédiatement, avant que quiconque l'ait autorisée où que ce soit.

Traitez ONLINE comme une affirmation sur la plomberie et le statut par réseau comme une affirmation sur l'appartenance. Utiliser l'un pour expliquer l'autre est le point où commence l'essentiel de cette confusion.

Ce qu'ACCESS_DENIED vous demande

Sur un réseau privé, le contrôleur tient une liste de membres. Un nœud absent de cette liste, ou présent mais non autorisé, reçoit ACCESS_DENIED sans configuration au-delà de la poignée de main de base. La correction est côté contrôleur et elle a besoin de l'adresse du nœud plutôt que du nom de la machine, alors comparez l'adresse de la sortie de votre client avec l'entrée de membre et autorisez cette entrée.

Réinstaller le client est le mauvais premier geste, car une nouvelle installation apporte une nouvelle identité et l'ancienne autorisation ne s'y applique plus. Si le réseau est public, le même statut désigne une autre condition, alors demandez au propriétaire du contrôleur si le réseau est privé avant de solliciter une approbation. Cette seule question décide du reste de la conversation.

Le texte de statut est une branche, pas un verdict

Chaque statut resserre la vérification suivante, et c'est les lire comme un seul message d'échec qui transforme une correction de deux minutes en un après-midi de réinstallations. NOT_FOUND signifie que l'identifiant saisi n'existe pas chez ce contrôleur, donc la question de l'appartenance n'est pas encore atteinte. REQUESTING_CONFIGURATION signifie que le nœud a atteint le contrôleur et attend une configuration qui n'arrive pas, ce qui désigne le chemin et non l'autorisation. OK signifie que l'appartenance et la configuration sont en place, donc la question suivante est l'adresse attribuée puis le service lui-même.

Deux commandes séparent tout cela, et toutes deux lisent le même client. La référence de la CLI ZeroTier énumère les chaînes de statut par réseau qu'elles renvoient. La première commande est la vue du service et la seconde est par réseau :

zerotier-cli status
zerotier-cli listnetworks

Conservez le texte de statut lorsque vous demandez de l'aide à l'administrateur. Une commande de jonction locale qui a imprimé une confirmation prouve seulement que la demande a été acceptée localement, ce qui est un fait différent d'être admis.

L'appartenance appartient à une identité

Le contrôleur reconnaît les fichiers d'identité du client, c'est pourquoi copier une configuration sur une autre machine ou effacer l'identité pendant une réinstallation produit un membre que le contrôleur n'a jamais vu. C'est aussi pourquoi supprimer un enregistrement de membre diffère de le désautoriser. Un nœud autorisé qui tourne encore continue d'essayer, et un enregistrement supprimé plutôt que révoqué peut revenir comme une nouvelle demande depuis la même adresse.

Lorsque vous retirez un appareil, révoquez-le d'abord et confirmez que l'entrée reflète cet état avant de supprimer quoi que ce soit. L'ordre fait la différence entre un retrait propre et une réapparition mystérieuse.

Vérifiez après le changement

Relisez l'entrée réseau plutôt que la commande qui a fait le changement. Quatre questions couvrent le résultat, et l'une d'elles peut être fausse alors que les autres semblent correctes :

zerotier-cli listnetworks
ip -br addr show
ping -c 2 10.147.20.5
ip route get 10.147.20.5

La première imprime l'appartenance et l'adresse attribuée pour chaque réseau, et la seconde montre si une interface a réellement reçu cette adresse. Les deux dernières prouvent qu'un pair du réseau répond et quelle interface porte le trafic. Notez quelle commande a répondu à quelle question, afin que la personne suivante parte de preuves et non de mémoire.

Si l'appartenance est OK et que l'adresse est présente mais que les pairs ne répondent pas, le problème a migré vers le routage ou vers la politique du pair lui-même. Sortez le texte de statut de cette conversation, car il a déjà fait son travail. L'enregistrement d'appartenance et le chemin sont des sujets distincts, et plus tôt ils sont séparés, plus l'enquête est courte.