ZeroTier kaže ONLINE, a vendar ACCESS_DENIED: kje to popraviti?

ZeroTier poroča ONLINE na ravni storitve in ACCESS_DENIED na ravni omrežja, in ta par ni protislovje. Prvo je trditev o poti med vašim odjemalcem in koordinacijsko infrastrukturo. Drugo je trditev o seznamu članov enega omrežja. Berite ju ločeno, in kombinacija vam bo natančno povedala, kje iskati.

Kaj meri ONLINE

Ukaz stanja poroča, ali ima lokalna storitev delujočo pot do korenskih strežnikov, ki usklajujejo odkrivanje peerov. O posameznem omrežju ne pove nič in nič o tem, ali je kontroler to napravo odobril. Zato sveža namestitev na delujoči povezavi takoj poroča ONLINE, preden jo je kdorkoli kje avtoriziral.

ONLINE obravnavajte kot trditev o napeljavi, stanje po posameznih omrežjih pa kot trditev o članstvu. Razlaganje enega z drugim je mesto, kjer se začne večina te zmede.

Kaj od vas zahteva ACCESS_DENIED

V zasebnem omrežju kontroler vodi seznam članov. Vozlišče, ki ga na tem seznamu ni, ali je na njem, a ni avtorizirano, prejme ACCESS_DENIED brez kakršne koli konfiguracije razen osnovnega rokovanja. Popravek je na strani kontrolerja in potrebuje naslov vozlišča, ne imena stroja, zato primerjajte naslov v izpisu odjemalca z vnosom člana in avtorizirajte ta vnos.

Ponovna namestitev odjemalca je napačna prva poteza, ker nova namestitev prinese novo identiteto in stara avtorizacija zanjo ne velja več. Če je omrežje javno, isti status kaže na drugo stanje, zato pred prošnjo za odobritev vprašajte lastnika kontrolerja, ali je omrežje zasebno. To eno vprašanje odloči preostanek pogovora.

Besedilo stanja je veja, ne sodba

Vsak status zoži naslednje preverjanje, in prav branje vseh kot enega sporočila o napaki spremeni dvominutni popravek v celo popoldne ponovnih namestitev. NOT_FOUND pomeni, da identifikator, ki ste ga vnesli, pri tem kontrolerju ne obstaja, zato vprašanje članstva še ni doseženo. REQUESTING_CONFIGURATION pomeni, da je vozlišče doseglo kontroler in čaka na konfiguracijo, ki ne prihaja, kar kaže na pot in ne na avtorizacijo. OK pomeni, da sta članstvo in konfiguracija na mestu, zato naslednje vprašanje je dodeljeni naslov in nato storitev sama.

Dva ukaza ločita vse to in oba bereta istega odjemalca. Referenca CLI ZeroTier navaja nize stanja za posamezna omrežja, ki jih vračata. Prvi ukaz je pogled na storitev, drugi pa za posamezna omrežja:

zerotier-cli status
zerotier-cli listnetworks

Shranite besedilo stanja, ko prosite skrbnika za pomoč. Lokalni ukaz join, ki je natisnil potrditev, dokazuje le, da je bila zahteva sprejeta lokalno, kar je drugo dejstvo kot sprejem v omrežje.

Članstvo pripada identiteti

Kontroler prepozna prav identitetne datoteke odjemalca, zato kopiranje konfiguracije na drug stroj ali brisanje identitete med ponovno namestitvijo ustvari člana, ki ga kontroler ni nikoli videl. To je tudi razlog, da brisanje zapisa člana ni isto kot preklic njegove avtorizacije. Avtorizirano vozlišče, ki še teče, poskuša naprej, in zapis, ki je bil izbrisan namesto preklican, se lahko vrne kot nova zahteva z istega naslova.

Ko napravo umikate iz uporabe, najprej prekličite njeno avtorizacijo in pred odstranitvijo česar koli potrdite, da vnos odraža to stanje. Vrstni red je razlika med čistim odstranjevanjem in skrivnostnim ponovnim pridružitvijo.

Preverite po spremembi

Znova preberite vnos omrežja, ne ukaza, ki je spremembo izvedel. Izid pokrivajo štiri vprašanja in katero koli od njih je lahko napačno, medtem ko so druga videti pravilna:

zerotier-cli listnetworks
ip -br addr show
ping -c 2 10.147.20.5
ip route get 10.147.20.5

Prvi izpiše članstvo in dodeljeni naslov za vsako omrežje, drugi pa pokaže, ali je vmesnik ta naslov res prejel. Zadnja dva dokazujeta, da peer v omrežju odgovarja in kateri vmesnik nosi promet. Zapišite, kateri ukaz je odgovoril na katero vprašanje, da bo naslednja oseba začela z dokazi in ne s spominom.

Če je članstvo OK in je naslov prisoten, a peeri ne odgovarjajo, se je težava preselila v usmerjanje ali v politiko samega peera. Besedilo stanja umaknite iz tega pogovora, ker je svoje delo že opravilo. Zapis članstva in pot sta ločeni temi in prej ko se ločita, krajša bo preiskava.