ZeroTier hlási ONLINE, ale ACCESS_DENIED: kde to opraviť?

ZeroTier hlási ONLINE na úrovni služby a ACCESS_DENIED na úrovni siete, a táto dvojica nie je protirečenie. Prvé je tvrdenie o ceste medzi vaším klientom a koordinačnou infraštruktúrou. Druhé je tvrdenie o zozname členov jednej siete. Čítajte ich oddelene a kombinácia vám presne povie, kde hľadať.

Čo meria ONLINE

Príkaz stavu hlási, či má lokálna služba funkčnú cestu ku koreňovým serverom, ktoré koordinujú objavovanie peerov. O jednotlivej sieti nehovorí nič a nič ani o tom, či kontrolér toto zariadenie schválil. Preto nová inštalácia na funkčnom pripojení hlási ONLINE okamžite, skôr než ju niekto kdekoľvek autorizoval.

Berte ONLINE ako tvrdenie o potrubí a stav jednotlivých sietí ako tvrdenie o členstve. Vysvetľovanie jedného druhým je miesto, kde začína väčšina tohto zmätku.

Čo od vás ACCESS_DENIED žiada

V súkromnej sieti kontrolér vedie zoznam členov. Uzol, ktorý v tomto zozname chýba, alebo v ňom je, ale nie je autorizovaný, dostane ACCESS_DENIED a žiadnu konfiguráciu okrem základného podania ruky. Oprava je na strane kontroléra a potrebuje adresu uzla, nie názov stroja, preto porovnajte adresu z výstupu klienta so záznamom člena a autorizujte ten záznam.

Preinštalovanie klienta je nesprávny prvý krok, pretože nová inštalácia prináša novú identitu a stará autorizácia už na ňu neplatí. Ak je sieť verejná, ten istý stav ukazuje na inú podmienku, preto sa pred žiadosťou o schválenie opýtajte vlastníka kontroléra, či je sieť súkromná. Tá jediná otázka rozhoduje o zvyšku rozhovoru.

Text stavu je vetva, nie rozsudok

Každý stav zužuje nasledujúcu kontrolu, a práve ich čítanie ako jednej chybovej správy mení dvojminútovú opravu na celé popoludnie preinštalovaní. NOT_FOUND znamená, že identifikátor, ktorý ste zadali, na tomto kontroléri neexistuje, takže otázka členstva ešte nebola dosiahnutá. REQUESTING_CONFIGURATION znamená, že uzol sa dostal ku kontrolérovi a čaká na konfiguráciu, ktorá neprichádza, čo poukazuje na cestu a nie na autorizáciu. OK znamená, že členstvo a konfigurácia sú na mieste, takže ďalšia otázka je pridelená adresa a potom samotná služba.

Dva príkazy oddeľujú toto všetko a oba čítajú toho istého klienta. Referencia CLI ZeroTier uvádza reťazce stavu pre jednotlivé siete, ktoré vracajú. Prvý príkaz je pohľad na službu a druhý je pre jednotlivé siete:

zerotier-cli status
zerotier-cli listnetworks

Zachovajte text stavu, keď žiadate administrátora o pomoc. Lokálny príkaz join, ktorý vytlačil potvrdenie, dokazuje len to, že žiadosť bola prijatá lokálne, čo je iný fakt než prijatie do siete.

Členstvo patrí identite

Kontrolér rozpoznáva práve identitné súbory klienta, preto kopírovanie konfigurácie na iný stroj alebo vymazanie identity počas preinštalovania vytvára člena, ktorého kontrolér nikdy nevidel. To je aj dôvod, prečo vymazanie záznamu člena je niečo iné ako zrušenie jeho autorizácie. Autorizovaný uzol, ktorý stále beží, sa ďalej pokúša, a záznam vymazaný namiesto zrušeného sa môže vrátiť ako nová žiadosť z tej istej adresy.

Keď zariadenie vyraďujete, najprv zrušte jeho autorizáciu a pred odstránením čohokoľvek potvrďte, že záznam tento stav odzrkadľuje. Poradie je rozdiel medzi čistým odstránením a záhadným opätovným pripojením.

Overte po zmene

Prečítajte znova záznam siete, nie príkaz, ktorý zmenu vykonal. Výsledok pokrývajú štyri otázky a ktorákoľvek z nich môže byť nesprávna, kým ostatné vyzerajú správne:

zerotier-cli listnetworks
ip -br addr show
ping -c 2 10.147.20.5
ip route get 10.147.20.5

Prvý vypisuje členstvo a pridelenú adresu pre každú sieť a druhý ukazuje, či rozhranie túto adresu skutočne dostalo. Posledné dva dokazujú, že peer v sieti odpovedá a ktoré rozhranie nesie prevádzku. Poznamenajte si, ktorý príkaz odpovedal na ktorú otázku, aby nasledujúci človek začínal od dôkazov, nie od pamäti.

Ak je členstvo OK a adresa je prítomná, ale peeri neodpovedajú, problém sa presunul do smerovania alebo do politiky samotného peera. Vyberte text stavu z tohto rozhovoru, pretože už urobil svoju prácu. Záznam členstva a cesta sú oddelené témy a čím skôr sa oddelia, tým kratšie bude vyšetrovanie.