Een Tailscale-gasheer onbereikbaar: subnetroeteerder of uitgangsknoop?

Een Tailscale-gasheer antwoord terwyl 'n ander donker bly, of alles werk totdat openbare webwerwe die verkeerde land begin rapporteer. Albei klagtes kom in as “Tailscale is stukkend”, en albei is gewoonlik die verkeerde konstruk wat vir die verkeerde bestemming geaktiveer is. 'n Subnetroeteerder stel 'n private netwerk aan die tailnet bloot, terwyl 'n uitgangsknoop verander waar internetverkeer die netwerk verlaat. Sorteer eers die bestemming wat faal en kies dan die rol wat dit dek.

Begin by die bestemming wat gefaal het

Skryf die adres of naam neer wat nie gewerk het nie, en watter soort ding dit is. 'n Toestel op 'n private LAN agter 'n ander perseel, 'n diens op jou eie segment en 'n openbare webwerf is drie roeteerprobleme wat toevallig een kliënt deel. Die onderskeid is nie net kosmeties nie, want die twee konstrukte dek verskillende versamelings bestemmings. Om een te aktiveer doen niks vir die ander nie, en dit is die hele bron van die verwarring.

Let ook op die adresfamilie. 'n Subnet wat slegs as IPv4 geadverteer word, laat IPv6-bestemmings op die plaaslike pad, wat as 'n gedeeltelike faling voorkom totdat iemand albei roeteertabelle vergelyk. Teken aan wat jy verwag het die pad moes wees, sodat die toets later iets het om te weerspreek.

Bereik 'n toestel wat nooit Tailscale gebruik nie

Die roeteerder kondig spesifieke reekse aan die tailnet aan en stuur dan pakkette tussen die tailnet en die private segment deur, so die toestelle op daardie segment het geen eie kliënt nodig nie. Om 'n NAS by die kantoor vanaf 'n skootrekenaar by die huis te bereik, is presies hierdie geval. Die roeteerder is die enigste lid van die tailnet aan daardie kant.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Advertensie is slegs die eerste van drie voorwaardes. Die roete moet vir die tailnet goedgekeur word, die kliënt moet geadverteerde roetes aanvaar, en 'n toegangsreël moet die verbinding toelaat. Daardie ketting is die rede waarom die simptoom so dikwels is dat die roeteerder op is en die NAS nie. 'n Bereikbare roeteerder bewys die tonnel werk; dit bewys niks oor goedkeuring, kliëntaanvaarding of beleid nie.

Elkeen van daardie drie falings lyk anders in die administrasiekonsole. Kontroleer hulle in volgorde eerder as om al drie gelyk te verander, want 'n tweede verandering verberg watter een saak gemaak het.

Stuur openbare verkeer deur 'n ander masjien uit

'n Uitgangsknoop stuur jou algemene internetverkeer deur homself, wat die naaste eweknie is aan die voltonnel-reëling in ander VPN-produkte. Dit het ook drie afsonderlike instemmings nodig: die toestel adverteer die rol, 'n administrateur laat dit toe, en die kliënt kies dit. Om by 'n tailnet aan te sluit, stuur niks deur 'n ander lid nie, by verstek.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

Om 'n uitgangsknoop te kies, gee nie outomaties toegang tot daardie knoop se eie LAN nie. Die LAN-toegang-opsie bestaan juis omdat dit verskillende toestemmings is, en om dit af te laat is die veiliger verstek. Roetes na ander Tailscale-hulpbronne behou hul eie hantering selfs terwyl 'n uitgangsknoop aktief is. Dit is waarom 'n diens wat op 'n subnet gehuisves word, kan bly werk terwyl die openbare internetpad verander het.

'n Uitgangsknoop verander ook hoe die internet jou sien, nie net hoe vinnig dit voel nie. Verwag dat geoligging, stromingskatalogusse en tempobeperkings die uitgang se adres volg eerder as joune.

Lees die drieledige verdeling wanneer net een gasheer faal

'n Drukker op jou eie segment, 'n NAS agter 'n afgeleë subnetroeteerder en 'n openbare werf is drie bestemmings met drie verskillende paaie. As presies een van hulle faal, hoort die fout by daardie bestemming se pad eerder as by die kliënt as geheel. Vir die plaaslike drukker terwyl 'n uitgangsknoop in gebruik is, is die LAN-toegang-instelling die gewone antwoord. Vir die afgeleë NAS, kontroleer die geadverteerde reeks, sy goedkeuringsstatus en die toegangsreëls in daardie volgorde. Vir 'n openbare werf, kontroleer watter uitgangsknoop gekies is en of die kliënt dit werklik aanvaar het.

As die adres werk en die naam nie, hou op om na roetes te kyk. Private DNS word afsonderlik opgestel, en 'n naam wat na die verkeerde adres oplos, faal op 'n manier wat identies lyk aan 'n geblokkeerde roete. Toets eers die adres en dan die naam, en die twee resultate sê vir jou watter laag om oop te maak.

Bevestig die pad wat jy dink jy gebou het

Verifikasie is 'n roeteopsoek plus 'n adreskontrole, nie 'n ping nie. Die opsoek sê vir jou watter koppelvlak 'n bestemming sou gebruik, en die adreskontrole sê vir jou in watter reeks die bestemming werklik woon. 'n Ping wat slaag, sê die gasheer is êrens lewendig, wat nie die vraag is nie. Voer albei uit voordat jy enige konfigurasie verander.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Koppel dit aan die tailnet se eie siening, wat wys of die eweknie direk verbind of deurgestuur is. 'n Deurgestuurde pad werk steeds, en dit verduidelik klagtes oor vertraging wat niks met die roete te doen het wat jy ontfout het nie. Die subnetroeteerder-dokumentasie dek die goedkeuringsstap as dit onbekend is. Skryf dan neer watter konstruk watter bestemming vir jou eie netwerk dek, want die volgende persoon wat 'n perseel byvoeg, sal dieselfde vraag vra.