Bumalik ang tinanggal na ZeroTier member: bawiin muna ang awtorisasyon

Tinatanggal mo ang member, isinasara ang pahina, at makalipas ang isang araw ay bumalik ang parehong device. Hindi ito bug sa console. Ito ang nangyayari kapag tinanggal ang isang record habang online pa ang device at humihiling pa ring sumali.

Dalawang operasyon ang magkatabi at magkaibang trabaho ang ginagawa. Ang isa ay nagpapasya sa access, ang isa ay nag-aayos lang ng listahan.

Magsimula sa record na bumabalik

Buksan ang network at tingnan ang entry na bumalik. Itala ang node ID nito, ang huling address at ang oras na muling lumitaw. Ihambing ito sa device na gusto mong i-retire. Ang display name ay ang itinype ng kahit sino, at ang address ay maaaring magbago sa susunod na pagsali.

Ang node ID ang stable na identifier. Ang ID ng network ang nagbibigay ng pangalan sa network, kaya sinasabi nito kung aling listahan ang binabasa mo at wala itong sinasabi tungkol sa kung aling device ang nasa loob nito. Itala ang dalawa, pagkatapos ay itugma ang node ID sa makina na gusto mong i-retire.

Kung mali ang paghahambing na iyon, aalisin mo ang gumaganang makina habang patuloy na humihiling ang hindi gustong device. Pagkatapos ay mukhang tama ang listahan sa loob ng isang araw. Sapat na iyon para walang makapansin, at iyon mismo ang problema.

Bawiin bago ka magtanggal

Palitan muna ang estado ng awtorisasyon sa pamamagitan ng workflow na sinusuportahan ng controller. Mula sa puntong iyon, ang pagtatangkang sumali ay lumilitaw na hindi awtorisado sa halip na tahimik na ibalik ang access, at ang kahilingan ay nakikita sa halip na hindi nakikita.

Dumarating ang pagtanggal pagkatapos, hindi kailanman kapalit nito. Ang pag-alis ng record ng awtorisadong member ay walang natitirang mabawi. Muling magtatanong ang device, at ituturing ito ng controller bilang bago.

Para sa makina na kinokontrol mo pa, ang pag-alis sa network ay kapaki-pakinabang na bahagi ng pag-retire. Hindi ito kapalit ng desisyon ng administrator tungkol sa nawawalang device. Ang client na hindi mo na kinokontrol ay maaaring balewalain ang anumang sinabi dito.

Nasaan ang dalawang operasyon

Sa hosted na controller, inaalok ng listahan ng member ang dalawang aksyon at nilalagyan ito ng label na sapat na malinaw upang makilala. Sa controller na ikaw mismo ang nagho-host, lumilitaw ang parehong pagkakaiba sa API at sa lokal na configuration, at doon karaniwang nagsisimula ang pagkalito.

# list members with authorization state
curl -s -H "X-ZT1-Auth: $TOKEN" \
  "http://127.0.0.1:9993/controller/network/$NETWORK_ID/member" | jq 'to_entries[] | {id: .key, authorized: .value.authorized}'

# deauthorize one member by node id, then confirm
curl -s -X POST -H "X-ZT1-Auth: $TOKEN" -d '{"authorized": false}' \
  "http://127.0.0.1:9993/controller/network/$NETWORK_ID/member/$NODE_ID"

Ang dalawang tawag na iyon ay sapat upang ipakita kung ang member ay naging tunay na hindi awtorisado kailanman. Ang record na paulit-ulit na bumabalik na may authorized: true ay hindi kailanman binawi; tinanggal lamang ito.

Tiyakin mula sa resource, hindi sa listahan

Ang maayos na listahan ng member ay hindi pagsusuri ng access. Subukan ang resource na ginamit ng device noon, mula sa device na iyon o mula sa makina na may hawak ng lumang address nito, at tiyakin na nabigo ang koneksyon. Pagkatapos ay tiyakin na gumagana pa rin ang aprubadong kapalit.

Isama ang mga ruta at pahintulot ng serbisyo sa pagsubok na iyon. Maaaring awtorisahan ng ZeroTier ang isang member at hayaang hindi pa rin ito makarating sa pinamamahalaang ruta. Ang pahintulot ng application ay maaaring mabigo sa parehong paraan. Parehong magkamukha ang dalawa mula sa listahan ng member.

zerotier-cli listnetworks
ip route show | grep zt
ping -c 3 10.144.0.5

Para sa controller na ikaw mismo ang nagho-host, panatilihin ang pare-parehong backup ng pagkakakilanlan at configuration nito. Ang isang pag-restore na bumabalik sa mas lumang estado ay maaaring magdala pabalik ng lumang awtorisasyon, at ang listahan ng member ay magmumukhang eksaktong tulad ng bago ang pag-retire.

Tapos na ang pag-retire kapag hindi na maabot ng lumang pagkakakilanlan ang anuman at wala na ang record. Gawin ito sa ganoong pagkakasunod-sunod at titigil ang member sa pagbabalik.