ZeroTier ONLINE-t mutat, de ACCESS_DENIED: hol kell javítani?

A ZeroTier szolgáltatási szinten ONLINE-t, hálózati szinten ACCESS_DENIED-et jelent, és a kettő nem ellentmondás. Az első állítás az ügyfél és a koordinációs infrastruktúra közötti útvonalról. A második állítás egy hálózat taglistájáról. Olvassa őket külön, és a kombináció pontosan megmutatja, hol keresse a hibát.

Mit mér az ONLINE

A státuszparancs azt jelenti, hogy a helyi szolgáltatásnak van-e működő útvonala a társfelderítést koordináló gyökérszerverekhez. Semmit nem mond egyetlen hálózatról sem, és arról sem, hogy egy vezérlő jóváhagyta-e ezt az eszközt. Ezért egy friss telepítés működő kapcsolaton azonnal ONLINE-t jelent, mielőtt bárki bárhol engedélyezte volna.

Tekintse az ONLINE-t a csővezetékről szóló állításnak, az egyes hálózatok státuszát pedig a tagságról szóló állításnak. Az egyikkel a másikat magyarázni — itt kezdődik a zavar nagy része.

Mit kér Öntől az ACCESS_DENIED

Egy privát hálózaton a vezérlő taglistát vezet. Az a csomópont, amely hiányzik a listáról, vagy szerepel rajta, de nincs engedélyezve, ACCESS_DENIED-et kap az alap kézfogáson túli konfiguráció nélkül. A javítás a vezérlő oldalán van, és a csomópont címére van szüksége, nem a gép nevére, ezért egyeztesse az ügyfél kimenetében szereplő címet a tagbejegyzéssel, és engedélyezze azt a bejegyzést.

Az ügyfél újratelepítése a rossz első lépés, mert az új telepítés új identitást hoz, és a régi engedély már nem vonatkozik rá. Ha a hálózat nyilvános, ugyanaz a státusz más feltételre utal, ezért kérdezze meg a vezérlő tulajdonosát, hogy a hálózat privát-e, mielőtt jóváhagyást kér. Ez az egy kérdés dönti el a beszélgetés többi részét.

A státuszszöveg ág, nem ítélet

Minden státusz szűkíti a következő ellenőrzést, és éppen az, hogy ezeket egyetlen hibaüzenetként olvassuk, változtat egy kétperces javítást egy egész délutános újratelepítéssé. A NOT_FOUND azt jelenti, hogy a beírt azonosító nem létezik annál a vezérlőnél, tehát a tagság kérdése még nem merült fel. A REQUESTING_CONFIGURATION azt jelenti, hogy a csomópont elérte a vezérlőt, és olyan konfigurációra vár, amely nem érkezik meg, ami az útvonalra, nem az engedélyezésre utal. A OK azt jelenti, hogy a tagság és a konfiguráció a helyén van, tehát a következő kérdés a kiosztott cím és utána maga a szolgáltatás.

Két parancs választja szét mindezt, és mindkettő ugyanazt az ügyfelet olvassa. A ZeroTier CLI-referencia felsorolja a hálózatonként visszaadott státuszszövegeket. Az első parancs a szolgáltatás nézete, a második pedig hálózatonkénti:

zerotier-cli status
zerotier-cli listnetworks

Tartsa meg a státuszszöveget, amikor segítséget kér a rendszergazdától. Egy helyi csatlakozási parancs, amely megerősítést írt ki, csak azt bizonyítja, hogy a kérés helyben elfogadásra került, ami más tény, mint beengedve lenni.

A tagság identitáshoz tartozik

A vezérlő az ügyfél identitásfájljait ismeri fel, ezért egy konfiguráció másik gépre másolása vagy az identitás törlése újratelepítéskor olyan tagot hoz létre, amelyet a vezérlő soha nem látott. Ezért is különbözik egy tagrekord törlése az engedélyezés visszavonásától. Egy engedélyezett csomópont, amely még fut, tovább próbálkozik, és egy törölt, nem pedig visszavont rekord új kérésként térhet vissza ugyanarról a címről.

Amikor egy eszközt kivon a használatból, először vonja vissza az engedélyét, és erősítse meg, hogy a bejegyzés ezt az állapotot tükrözi, mielőtt bármit eltávolít. A sorrend a különbség a tiszta eltávolítás és a titokzatos újracsatlakozás között.

Ellenőrizze a változtatás után

Olvassa újra a hálózati bejegyzést, ne a változtatást végző parancsot. Négy kérdés fedi le az eredményt, és bármelyikük lehet hibás, miközben a többi helyesnek látszik:

zerotier-cli listnetworks
ip -br addr show
ping -c 2 10.147.20.5
ip route get 10.147.20.5

Az első kiírja a tagságot és a kiosztott címet minden hálózathoz, a második pedig megmutatja, hogy egy interfész valóban megkapta-e azt a címet. Az utolsó kettő bizonyítja, hogy egy társ válaszol a hálózaton, és melyik interfész viszi a forgalmat. Jegyezze fel, melyik parancs melyik kérdésre válaszolt, hogy a következő ember bizonyítékból induljon ki, ne emlékezetből.

Ha a tagság OK, és a cím megvan, de a társak nem válaszolnak, a probléma átkerült az útválasztásra vagy a társ saját szabályzatára. Vegye ki a státuszszöveget abból a beszélgetésből, mert már elvégezte a dolgát. A tagsági rekord és az útvonal külön témák, és minél hamarabb szétválasztják őket, annál rövidebb a vizsgálat.