ZeroTier viser ONLINE men ACCESS_DENIED: kvar skal det rettast?

ZeroTier rapporterer ONLINE på tenestenivå og ACCESS_DENIED på nettverksnivå, og paret er ikkje ei motsegn. Det første er ei utsegn om vegen mellom klienten din og koordineringsinfrastrukturen. Det andre er ei utsegn om medlemslista til eitt nettverk. Les dei kvar for seg, og kombinasjonen fortel deg nøyaktig kvar du skal leite.

Kva ONLINE måler

Statuskommandoen rapporterer om den lokale tenesta har ein fungerande veg til rotservarane som koordinerer peer-oppdaging. Ho seier ingenting om eit enkelt nettverk, og ingenting om ein kontrollør har godkjent denne eininga. Ei ny installasjon på ei fungerande tilkopling rapporterer difor ONLINE med ein gong, før nokon har autorisert han nokon stad.

Behandle ONLINE som ei utsegn om røyropplegget og statusen per nettverk som ei utsegn om medlemskap. Å bruke det eine til å forklare det andre er der mesteparten av denne forvirringa byrjar.

Kva ACCESS_DENIED ber deg gjere

På eit privat nettverk held kontrolløren ei medlemsliste. Ein node som manglar i den lista, eller står der men ikkje er autorisert, får ACCESS_DENIED saman med ingen konfigurasjon utover det grunnleggjande handtrykket. Rettinga er på kontrolløren si side, og ho treng nodeadressa og ikkje maskinnamnet, så samanlikn adressa i klientutdata med medlemsoppføringa og autoriser den oppføringa.

Å installere klienten på nytt er feil første trekk, fordi ein ny installasjon tek med seg ein ny identitet, og den gamle autorisasjonen gjeld ikkje lenger for han. Viss nettverket er offentleg, peikar same status på ein annan tilstand, så spør kontrolløreigaren om nettverket er privat før du ber om godkjenning. Det eine spørsmålet avgjer resten av samtalen.

Statustekst er ei grein, ikkje ein dom

Kvar status snevrar inn neste sjekk, og å lese dei som éi feilmelding er det som gjer ei retting på to minutt til ein heil ettermiddag med reinstallasjonar. NOT_FOUND tyder at identifikatoren du skreiv inn ikkje finst hos den kontrolløren, så medlemskapsspørsmålet er enno ikkje nådd. REQUESTING_CONFIGURATION tyder at noden nådde kontrolløren og ventar på konfigurasjon som ikkje kjem, noko som peikar på vegen og ikkje på autorisasjonen. OK tyder at medlemskap og konfigurasjon er på plass, så er neste spørsmål den tildelte adressa og deretter sjølve tenesta.

To kommandoar skil alt dette, og begge les same klient. ZeroTier CLI-referansen listar opp statusstrengane per nettverk som dei returnerer. Den første kommandoen er tenestevisninga og den andre er per nettverk:

zerotier-cli status
zerotier-cli listnetworks

Ta vare på statusteksten når du ber administratoren om hjelp. Ein lokal join-kommando som skreiv ut ei stadfesting, beviser berre at førespurnaden vart godteken lokalt, noko som er eit anna faktum enn å bli sleppt inn.

Medlemskap høyrer til ein identitet

Det er identitetsfilene til klienten kontrolløren kjenner att, så å kopiere ein konfigurasjon til ein annan maskin eller slette identiteten under ein reinstallasjon gjev eit medlem kontrolløren aldri har sett. Det er også grunnen til at å slette ei medlemsoppføring er noko anna enn å trekkje attende autorisasjonen. Ein autorisert node som framleis køyrer, held fram med å prøve, og ei oppføring som vart sletta i staden for trekt attende, kan kome tilbake som ein ny førespurnad frå same adresse.

Når du fasar ut ei eining, trekk attende autorisasjonen først og stadfest at oppføringa speglar den tilstanden før du fjernar noko. Rekkjefølgja er skilnaden mellom ei rein fjerning og ei mystisk gjeninnmelding.

Stadfest etter endringa

Les nettverksoppføringa på nytt i staden for kommandoen som gjorde endringa. Fire spørsmål dekkjer resultatet, og kva som helst av dei kan vere feil medan dei andre ser rette ut:

zerotier-cli listnetworks
ip -br addr show
ping -c 2 10.147.20.5
ip route get 10.147.20.5

Den første skriv ut medlemskap og tildelt adresse for kvart nettverk, og den andre viser om eit grensesnitt faktisk fekk den adressa. Dei to siste beviser at ein peer på nettverket svarar og kva grensesnitt som ber trafikken. Noter kva kommando som svara på kva spørsmål, slik at neste person byrjar frå prov og ikkje frå minne.

Viss medlemskapet er OK og adressa er der men peers svarar ikkje, har problemet flytta seg til ruting eller til policyen til peeren sjølv. Ta statusteksten ut av den samtalen, fordi han alt har gjort jobben sin. Medlemsoppføringa og vegen er separate emne, og jo før dei vert skilde, jo kortare vert undersøkinga.