ZeroTier viser ONLINE men ACCESS_DENIED: hvor skal det fikses?

ZeroTier rapporterer ONLINE på tjenestenivå og ACCESS_DENIED på nettverksnivå, og paret er ikke en motsigelse. Det første er en uttalelse om veien mellom klienten din og koordineringsinfrastrukturen. Det andre er en uttalelse om medlemslisten til ett nettverk. Les dem hver for seg, og kombinasjonen forteller deg nøyaktig hvor du skal lete.

Hva ONLINE måler

Statuskommandoen rapporterer om den lokale tjenesten har en fungerende vei til rotserverne som koordinerer peer-oppdagelse. Den sier ingenting om et enkelt nettverk, og ingenting om hvorvidt en kontroller har godkjent denne enheten. En ny installasjon på en fungerende tilkobling rapporterer derfor ONLINE med en gang, før noen har autorisert den noe sted.

Behandle ONLINE som en uttalelse om røropplegget og statusen per nettverk som en uttalelse om medlemskap. Å bruke det ene til å forklare det andre er der mesteparten av denne forvirringen starter.

Hva ACCESS_DENIED ber deg gjøre

På et privat nettverk holder kontrolleren en medlemsliste. En node som mangler i den listen, eller står der men ikke er autorisert, får ACCESS_DENIED sammen med ingen konfigurasjon utover det grunnleggende håndtrykket. Fiksen er på kontrollerens side, og den trenger nodeadressen og ikke maskinnavnet, så sammenlign adressen i klientutdataene med medlemsoppføringen og autoriser den oppføringen.

Å installere klienten på nytt er feil første trekk, fordi en ny installasjon tar med seg en ny identitet, og den gamle autorisasjonen gjelder ikke lenger for den. Hvis nettverket er offentlig, peker samme status på en annen tilstand, så spør kontrollereieren om nettverket er privat før du ber om godkjenning. Det ene spørsmålet avgjør resten av samtalen.

Statustekst er en gren, ikke en dom

Hver status snevrer inn neste sjekk, og å lese dem som én feilmelding er det som gjør en tominutters fiks til en hel ettermiddag med reinstallasjoner. NOT_FOUND betyr at identifikatoren du skrev inn ikke finnes hos den kontrolleren, så medlemskapsspørsmålet er ennå ikke nådd. REQUESTING_CONFIGURATION betyr at noden nådde kontrolleren og venter på konfigurasjon som ikke kommer, noe som peker på veien og ikke på autorisasjonen. OK betyr at medlemskap og konfigurasjon er på plass, så er neste spørsmål den tildelte adressen og deretter selve tjenesten.

To kommandoer skiller alt dette, og begge leser samme klient. ZeroTier CLI-referansen lister opp statusstrengene per nettverk som de returnerer. Den første kommandoen er tjenestevisningen og den andre er per nettverk:

zerotier-cli status
zerotier-cli listnetworks

Ta vare på statusteksten når du ber administratoren om hjelp. En lokal join-kommando som skrev ut en bekreftelse beviser bare at forespørselen ble godtatt lokalt, noe som er et annet faktum enn å bli sluppet inn.

Medlemskap tilhører en identitet

Det er klientens identitetsfiler kontrolleren kjenner igjen, så å kopiere en konfigurasjon til en annen maskin eller slette identiteten under en reinstallasjon gir et medlem kontrolleren aldri har sett. Det er også grunnen til at å slette en medlemsoppføring er noe annet enn å tilbakekalle autorisasjonen. En autorisert node som fortsatt kjører fortsetter å prøve, og en oppføring som ble slettet i stedet for tilbakekalt kan komme tilbake som en ny forespørsel fra samme adresse.

Når du faser ut en enhet, tilbakekall autorisasjonen først og bekreft at oppføringen gjenspeiler den tilstanden før du fjerner noe. Rekkefølgen er forskjellen mellom en ren fjerning og en mystisk gjeninnmelding.

Verifiser etter endringen

Les nettverksoppføringen på nytt i stedet for kommandoen som gjorde endringen. Fire spørsmål dekker resultatet, og hvilket som helst av dem kan være feil mens de andre ser riktige ut:

zerotier-cli listnetworks
ip -br addr show
ping -c 2 10.147.20.5
ip route get 10.147.20.5

Den første skriver ut medlemskap og tildelt adresse for hvert nettverk, og den andre viser om et grensesnitt faktisk fikk den adressen. De to siste beviser at en peer på nettverket svarer og hvilket grensesnitt som bærer trafikken. Noter hvilken kommando som svarte på hvilket spørsmål, slik at neste person starter fra bevis og ikke fra hukommelsen.

Hvis medlemskapet er OK og adressen er der men peers svarer ikke, har problemet flyttet seg til ruting eller til peerens egen policy. Ta statusteksten ut av den samtalen, fordi den allerede har gjort jobben sin. Medlemsoppføringen og veien er separate emner, og jo før de skilles, jo kortere blir undersøkelsen.