Autorizovano u ZeroTieru ali bez adrese? Dve odvojene postavke

ZeroTier prikazuje člana kao OK, mreža je pridružena, a adrese za ping i dalje nema. Takva kombinacija izgleda kao greška i obično je podeljena konfiguracija: odobravanje člana je jedan prekidač, a dodela adrese je drugi. Mreža može prihvatiti uređaj i nikada mu ništa ne dodeliti, jer bazen adresa ili režim dodele nikada nije podešen.

Pročitajte obe strane pre nego što promenite bilo koju. Odgovor se vidi na dva mesta, a samo jedno od njih je na kontroleru.

Autorizacija i dodela su različiti prekidači

Autorizacija odgovara na pitanje sme li ovaj čvor da učestvuje u mreži. Dodela adrese odgovara na pitanje šta mu mreža daje kada učestvuje, a taj odgovor dolazi iz bazena adresa zajedno sa režimom dodele. Nijedna postavka ne podrazumeva drugu. Jedna je dozvola, druga je raspodela.

Konfiguracija kontrolera obično nosi upravljanu rutu, opseg adresa i režim koji odlučuje da li se koristi automatska dodela. Kopiranje ID-ja mreže iz drugog okruženja donosi članstvo i ništa od te konfiguracije.

Zato uređaj može izgledati zdravo na listi članova dok njegova kolona dodeljene adrese ostaje prazna. Kontroler ga je prihvatio i nema šta da da. Obe tvrdnje su tačne u isto vreme.

Čitanje stvarnog stanja člana

Pitajte klijenta šta je zaista primio, a ne šta je kontroler nameravao. Obična lista prikazuje kolone statusa i adrese, a JSON oblik prikazuje mrežnu konfiguraciju koju je klijent primenio, uključujući upravljane adrese i rute.

zerotier-cli listnetworks
zerotier-cli -j listnetworks | jq '.networks[] | {nwid, status, assignedAddresses}'

Uporedite ta dva izlaza za isti ID mreže, a ne za fizičke adaptere koji se pojavljuju na sopstvenoj listi operativnog sistema. Red koji javlja OK sa praznim skupom adresa potvrđuje prazninu u dodeli, a ne kvar povezanosti. Čitanje pogrešnog reda je druga polovina ove greške.

Status ACCESS_DENIED upućuje natrag na autorizaciju, a to je druga popravka. Ako naredba uopšte ne može da pročita lokalni token za proveru identiteta, problem su lokalne dozvole, a ne odbijanje kontrolera, i popravka je na računaru za kojim sedite.

Kada klijent ignoriše ono što kontroler šalje

Klijent ima sopstvene postavke koje odlučuju da li se primenjuje upravljana konfiguracija. Profil koji onemogući upravljane adrese, upravljane rute ili obradu podrazumevane rute odbaciće ono što mreža šalje, a lista članova će sa strane kontrolera i dalje izgledati ispravno.

Te zastavice utiču samo na lokalni čvor. Njihova promena ne menja ono što primaju drugi članovi i ne popravlja bazen koji nikada nije definisan.

Dijagnoza dakle ima dve grane: ili kontroler nema adresu koju bi dao, ili je klijent odbio onu koja mu je data. One vode do različitih popravki na različitim računarima. JSON izlaz ih razlikuje, jer adresa ili nedostaje u konfiguraciji mreže, ili postoji i nedostaje u primenjenom stanju klijenta.

Šta popraviti umesto izmišljanja adrese

Upisivanje proizvoljne statičke adrese primamljiva je treća opcija i najgora. Slučajna adresa može da se sudari sa drugim čvorom, padne izvan ruta koje mreža propagira ili u opseg koji firewall pravila tretiraju drukčije. Ona takođe skriva bazen koji nedostaje od svakoga ko sledeći pogleda mrežu. Popravite radije dodelu i pustite kontroler i klijent da se slože o rezultatu.

Pitajte administratora šta mreža treba da daje, zatim proverite da li bazen pokriva predviđeni opseg i da li je režim dodele uključen. Ponovo se pridružite nakon promene, umesto da očekujete da će klijent sam odmah doći do nove konfiguracije.

Kada se adresa pojavi, testirajte ono što vam je zaista trebalo: peer, servis ili podmrežu iza pristupnika. Dostizanje LAN-a iza člana zahteva usmeravanje i prosleđivanje izvan članstva, a opšti pristup internetu zahteva izlazni čvor, pa je radna adresa početak tog testa, a ne njegov kraj.