ZeroTier приказује ONLINE, али ACCESS_DENIED: где то поправити?

ZeroTier пријављује ONLINE на нивоу услуге и ACCESS_DENIED на нивоу мреже, а тај пар није противречност. Прво је тврдња о путу између вашег клијента и координационе инфраструктуре. Друго је тврдња о списку чланова једне мреже. Читајте их одвојено, и комбинација ће вам тачно рећи где да тражите.

Шта мери ONLINE

Наредба стања пријављује да ли локална услуга има радни пут до коренских сервера који координирају откривање peer-ова. Не говори ништа о појединачној мрежи, као ни о томе да ли је контролер одобрио овај уређај. Зато свежа инсталација на радној вези одмах пријављује ONLINE, пре него што ју је било ко игде ауторизовао.

Третирајте ONLINE као тврдњу о цевоводу, а статус по мрежи као тврдњу о чланству. Објашњавање једнога другим је место где почиње већина ове збрке.

Шта ACCESS_DENIED тражи од вас

На приватној мрежи контролер држи списак чланова. Чвор који недостаје на том списку, или је на њему али није ауторизован, добија ACCESS_DENIED уз никакву конфигурацију осим основног руковања. Поправка је на страни контролера и потребна му је адреса чвора, а не име машине, па упоредите адресу из излаза клијента са уносом члана и ауторизујте тај унос.

Поновна инсталација клијента је погрешан први корак, јер нова инсталација доноси нови идентитет и стара ауторизација више се не односи на њу. Ако је мрежа јавна, исти статус упућује на други услов, па пре тражења одобрења питајте власника контролера да ли је мрежа приватна. То једно питање одлучује остатак разговора.

Текст стања је грана, а не пресуда

Сваки статус сужава следећу проверу, и управо читање свих њих као једне поруке о грешци претвара двоминутну поправку у цело поподне реинсталација. NOT_FOUND значи да идентификатор који сте уписали не постоји на том контролеру, па питање чланства још није достигнуто. REQUESTING_CONFIGURATION значи да је чвор стигао до контролера и чека конфигурацију која не долази, што упућује на пут, а не на ауторизацију. OK значи да су чланство и конфигурација на месту, па следеће питање је додељена адреса и затим сама услуга.

Две наредбе раздвајају све то, и обе читају исти клијент. Референца ZeroTier CLI-ја наводи низове стања по мрежи које враћају. Прва наредба је поглед на услугу, а друга је по мрежи:

zerotier-cli status
zerotier-cli listnetworks

Сачувајте текст стања кад тражите помоћ администратора. Локална join наредба која је исписала потврду доказује само да је захтев прихваћен локално, што је друга чињеница од примања у мрежу.

Чланство припада идентитету

Контролер препознаје управо датотеке идентитета клијента, па копирање конфигурације на други строј или брисање идентитета током реинсталације ствара члана којег контролер никада није видео. То је и разлог зашто брисање записа члана није исто што и опозив његове ауторизације. Ауторизовани чвор који још ради наставља да покушава, а запис који је обрисан уместо опозван може се вратити као нови захтев са исте адресе.

Кад уређај повлачите из употребе, прво опозовите његову ауторизацију и потврдите да унос одражава то стање пре него што било шта уклоните. Редослед је разлика између чистог уклањања и тајанственог поновног придруживања.

Проверите након промене

Поново прочитајте унос мреже, а не наредбу која је направила промену. Четири питања покривају исход, и било које од њих може бити погрешно док остала изгледају тачно:

zerotier-cli listnetworks
ip -br addr show
ping -c 2 10.147.20.5
ip route get 10.147.20.5

Прва исписује чланство и додељену адресу за сваку мрежу, а друга показује да ли је интерфејс заиста примио ту адресу. Последње две доказују да peer на мрежи одговара и који интерфејс носи саобраћај. Запишите која је наредба одговорила на које питање, да следећа особа почне од доказа, а не од сећања.

Ако је чланство OK и адреса постоји али peer-ови не одговарају, проблем се преселио на усмеравање или на политику самог peer-а. Извадите текст стања из тог разговора, јер је већ одрадио свој посао. Запис чланства и пут су одвојене теме, и што се пре раздвоје, истрага ће бити краћа.