مضيف Tailscale واحد غير قابل للوصول: موجّه شبكة فرعية أم عقدة خروج؟

أحد مضيفي Tailscale يستجيب بينما يبقى الآخر معتمًا، أو يعمل كل شيء إلى أن تبدأ المواقع العامة في الإبلاغ عن بلد خاطئ. تصل الشكويان معًا بصيغة «Tailscale معطّل»، وكلتاهما في العادة بنية خاطئة مفعّلة لوجهة خاطئة. موجّه الشبكة الفرعية يعرّض شبكة خاصة لشبكة tailnet، أما عقدة الخروج فتغيّر المكان الذي يخرج منه مرور الإنترنت. رتّب أولًا الوجهة الفاشلة، ثم اختر الدور الذي يغطيها.

ابدأ من الوجهة التي فشلت

اكتب العنوان أو الاسم الذي لم يعمل، ونوع الشيء الذي هو عليه. جهاز على LAN خاصة خلف موقع آخر، وخدمة على مقطعك أنت، وموقع عام: ثلاث مشكلات توجيه تشترك في عميل واحد بالمصادفة. التمييز ليس شكليًا، لأن البنيتين تغطيان مجموعتين مختلفتين من الوجهات. تفعيل إحداهما لا يفعل شيئًا للأخرى، وهذا هو مصدر الالتباس كله.

سجّل أيضًا عائلة العنوان. شبكة فرعية معلنة بصيغة IPv4 فقط تترك وجهات IPv6 على المسار المحلي، وهو ما يُقرأ كفشل جزئي إلى أن يقارن أحدهم جدولي التوجيه. دوّن ما توقعت أن يكون عليه المسار، ليكون للاختبار لاحقًا ما يناقضه.

الوصول إلى جهاز لا يشغّل Tailscale أبدًا

يعلن الموجّه نطاقات محددة لشبكة tailnet، ثم يمرّر الحزم بين الشبكة والمقطع الخاص، لذا لا تحتاج الأجهزة في ذلك المقطع إلى عميل خاص بها. الوصول إلى NAS في المكتب من حاسوب محمول في المنزل هو هذه الحالة بالضبط. الموجّه هو العضو الوحيد في شبكة tailnet على ذلك الجانب.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

الإعلان هو الشرط الأول فقط من ثلاثة شروط. يجب اعتماد المسار لشبكة tailnet، ويجب أن يقبل العميل المسارات المعلنة، وأن تسمح قاعدة وصول بالاتصال. هذه السلسلة هي سبب أن العرَض كثيرًا ما يكون أن الموجّه يعمل وNAS لا. الموجّه القابل للوصول يثبت أن النفق يعمل؛ ولا يثبت شيئًا عن الاعتماد أو قبول العميل أو السياسة.

كل فشل من تلك الثلاثة يبدو مختلفًا في وحدة التحكم الإدارية. افحصها بالترتيب بدلًا من تغيير الثلاثة دفعة واحدة، لأن تغييرًا ثانيًا يخفي أيها كان المهم.

أرسل مرور الإنترنت العام عبر جهاز آخر

عقدة الخروج تمرّر مرور إنترنتك العام عبر نفسها، وهي أقرب نظير لترتيب النفق الكامل في منتجات VPN الأخرى. وتحتاج أيضًا إلى ثلاث موافقات منفصلة: الجهاز يعلن الدور، والمسؤول يسمح به، والعميل يختاره. الانضمام إلى شبكة tailnet لا يرسل شيئًا عبر عضو آخر افتراضيًا.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

اختيار عقدة خروج لا يمنح تلقائيًا الوصول إلى LAN الخاصة بتلك العقدة. خيار الوصول إلى LAN موجود تحديدًا لأن هذين إذنان مختلفان، وتركه مغلقًا هو الافتراضي الأكثر أمانًا. المسارات إلى موارد Tailscale الأخرى تحتفظ بمعالجتها الخاصة حتى مع عقدة خروج نشطة. لهذا يمكن لخدمة مستضافة على شبكة فرعية أن تظل تعمل بينما تغيّر مسار الإنترنت العام.

عقدة الخروج تغيّر أيضًا كيف يراك الإنترنت، لا فقط مدى سرعته. توقّع أن تتبع تحديد الموقع الإلكتروني وقوائم البث وحدود المعدل عنوان عقدة الخروج لا عنوانك.

اقرأ التقسيم الثلاثي عندما يفشل مضيف واحد فقط

طابعة على مقطعك، وNAS خلف موجّه شبكة فرعية بعيد، وموقع عام: ثلاث وجهات بثلاثة مسارات مختلفة. إذا فشل واحد منها فقط، فالعيب ينتمي إلى مسار تلك الوجهة لا إلى العميل ككل. بالنسبة إلى الطابعة المحلية أثناء استخدام عقدة خروج، فإن إعداد الوصول إلى LAN هو الجواب المعتاد. أما NAS البعيد، فافحص النطاق المعلن وحالة اعتماده وقواعد الوصول بهذا الترتيب. وأما الموقع العام، فافحص عقدة الخروج المختارة وهل قبِلها العميل فعلًا.

إذا كان العنوان يعمل والاسم لا، فتوقف عن النظر في المسارات. تُضبط DNS الخاصة بشكل منفصل، والاسم الذي يُحلّ إلى عنوان خاطئ يفشل بطريقة تبدو مطابقة لمسار محظور. اختبر العنوان أولًا ثم الاسم، ونتيجتان تخبرانك أي طبقة تفتح.

أكّد المسار الذي تظن أنك بنيته

التحقق هو بحث في جدول المسارات مع فحص للعنوان، وليس ping. البحث يخبرك أي واجهة ستستخدمها الوجهة، وفحص العنوان يخبرك في أي نطاق تقع الوجهة فعليًا. أما ping الناجح فيقول إن المضيف حي في مكان ما، وهذا ليس السؤال. نفّذ الاثنين قبل تغيير أي إعداد.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

اقرن ذلك برؤية شبكة tailnet نفسها، التي تُظهر هل النظير متصل مباشرة أم عبر تمرير. المسار الممرَّر يظل يعمل، وهو يفسّر شكاوى التأخير التي لا علاقة لها بالمسار الذي كنت تصححه. أما وثائق موجّه الشبكة الفرعية فتغطي خطوة الاعتماد إن لم تكن مألوفة. ثم دوّن أي بنية تغطي أي وجهة في شبكتك، لأن الشخص التالي الذي يضيف موقعًا سيسأل السؤال نفسه.