ZeroTier mostra ONLINE pero ACCESS_DENIED: onde se corrixe?

ZeroTier informa de ONLINE a nivel de servizo e de ACCESS_DENIED a nivel de rede, e a parella non é unha contradición. O primeiro é unha afirmación sobre a ruta entre o seu cliente e a infraestrutura de coordinación. O segundo é unha afirmación sobre a lista de membros dunha rede. Leaos por separado e a combinación diralle exactamente onde mirar.

Que mide ONLINE

A orde de estado informa de se o servizo local ten unha ruta funcional cara aos servidores raíz que coordinan o descubrimento de pares. Non di nada sobre ningunha rede concreta, nin sobre se un controlador aprobou este dispositivo. Por iso unha instalación nova nunha conexión funcional informa de ONLINE de inmediato, antes de que ninguén a autorizase en ningún sitio.

Trate ONLINE como unha afirmación sobre a fontanería e o estado de cada rede como unha afirmación sobre a pertenza. Usar un para explicar o outro é onde comeza a maior parte desta confusión.

Que lle pide ACCESS_DENIED

Nunha rede privada o controlador mantén unha lista de membros. Un nodo que falta desa lista, ou que figura nela sen estar autorizado, recibe ACCESS_DENIED sen configuración máis alá do aperto de mans básico. A corrección está do lado do controlador e necesita o enderezo do nodo en lugar do nome da máquina, así que compare o enderezo da saída do seu cliente coa entrada de membro e autorice esa entrada.

Reinstalar o cliente é o primeiro paso equivocado, porque unha instalación nova trae unha identidade nova e a autorización antiga xa non se lle aplica. Se a rede é pública, o mesmo estado apunta a outra condición, así que pregunte ao propietario do controlador se a rede é privada antes de pedir aprobación. Esa soa pregunta decide o resto da conversa.

O texto de estado é unha rama, non un veredicto

Cada estado estreita a comprobación seguinte, e lerlos como unha única mensaxe de fallo é o que converte unha corrección de dous minutos nunha tarde enteira de reinstalacións. NOT_FOUND significa que o identificador que escribiu non existe nese controlador, así que a cuestión da pertenza aínda non se formulou. REQUESTING_CONFIGURATION significa que o nodo chegou ao controlador e espera unha configuración que non chega, o que apunta á ruta e non á autorización. OK significa que a pertenza e a configuración están no seu sitio, así que a seguinte pregunta é o enderezo asignado e despois o servizo mesmo.

Dúas ordes separan todo isto, e ambas len o mesmo cliente. A referencia da CLI de ZeroTier enumera as cadeas de estado por rede que devolven. A primeira orde é a vista do servizo e a segunda é por rede:

zerotier-cli status
zerotier-cli listnetworks

Garde o texto de estado cando pida axuda ao administrador. Unha orde de unión local que imprimiu unha confirmación só demostra que a solicitude se aceptou localmente, o cal é un feito distinto de ser admitido.

A pertenza pertence a unha identidade

O controlador recoñece os ficheiros de identidade do cliente, por iso copiar unha configuración a outra máquina ou borrar a identidade durante unha reinstalación produce un membro que o controlador nunca viu. É tamén por iso polo que borrar un rexistro de membro é distinto de desautorizalo. Un nodo autorizado que segue funcionando segue intentándoo, e un rexistro borrado en lugar de revogado pode volver como unha solicitude nova desde o mesmo enderezo.

Cando retire un dispositivo, revóqueo primeiro e confirme que a entrada reflicte ese estado antes de quitar nada. A orde é a diferenza entre unha retirada limpa e unha reincorporación misteriosa.

Verifique despois do cambio

Volva ler a entrada da rede en lugar da orde que fixo o cambio. Catro preguntas cobren o resultado, e calquera delas pode estar mal mentres as demais parecen correctas:

zerotier-cli listnetworks
ip -br addr show
ping -c 2 10.147.20.5
ip route get 10.147.20.5

A primeira imprime a pertenza e o enderezo asignado para cada rede, e a segunda mostra se unha interface recibiu realmente ese enderezo. As dúas últimas proban que un par da rede responde e que interface leva o tráfico. Anote que orde respondeu a que pregunta, para que a seguinte persoa comece pola evidencia e non pola memoria.

Se a pertenza é OK e o enderezo está presente pero os pares non responden, o problema trasladouse ao encamiñamento ou á política do propio par. Saque o texto de estado desa conversa, porque xa fixo o seu traballo. O rexistro de pertenza e a ruta son temas separados, e canto antes se separen, máis curta será a investigación.