Бяспечна паўторна аўтэнтыфікуйце аддаленую прыладу Tailscale

Калі прымусова запусціць новы ўваход у Tailscale на аддаленым серверы, злучэнне з tailnet можа абарвацца раней, чым прылада завершыць паўторны ўваход. Гэта не памылка каманды; аперацыя працуе менавіта так, як задумана, на тым шляху, які вы выкарыстоўваеце. Правіла простае: падрыхтуйце другі спосаб дабрацца да машыны, перш чым абнаўляць яе ключ. Усё астатняе — падрыхтоўка да гэтага моманту.

Чаму каманда можа вас адрэзаць

Ключ прылады — гэта тое, што дазваляе вузлу далучыцца да tailnet. Абнаўленне ключа азначае, што стары ключ перастае прымацца, і вузел павінен завяршыць новы ўваход, перш чым вярнуцца. Калі ваш адзіны сеанс ідзе праз гэты tailnet, вяртанне адбудзецца без вас. Маршрутызатар падсеткі пагаршае гэта, бо кліенты захоўваюць свае маршруты і губляюць шлях за імі.

Таму парадак важнейшы за саму каманду. Спачатку доступ, потым абнаўленне. Сеанс у кансолі, паслядоўная кансоль або калега на месцы — усё гэта лічыцца.

Спачатку выключыце іншую няспраўнасць

Пераканайцеся, што праблема сапраўды ў ключы, перш чым што-небудзь абнаўляць. Праверце ў кансолі адміністратара тэрмін дзеяння, а потым стан самой прылады: ці падключана яна і якіх піраў бачыць. Сапраўдны ключ са зламаным маршрутам, змена ACL або спыненая служба выглядаюць здалёку падобна. Прымусовае абнаўленне нічога з гэтага не выпраўляе.

tailscale status

Калі вузел у сетцы і ключ сапраўдны, працягвайце шукаць. Абнаўленне — крайняя мера, а не агульны рамонт. Чытайце спіс піраў не менш за індыкатар сеткі, бо напалову падключаны вузел усё роўна паведамляе, што працуе.

Абнавіце ключ з другім шляхам уваходу

Калі доступ да кансолі або другі шлях кіравання гатовы, запусціце абнаўленне на прыладзе. Tailscale дакументуе для гэтага форму force-reauth каманды up, і яна патрабуе падвышаных правоў там, дзе платформа іх патрабуе. Запусціце яе адзін раз і сачыце за вывадам, а не зачыняйце сеанс. Калі каманда абарве злучэнне, перападключыцеся праз другі шлях і прачытайце лакальны журнал.

sudo tailscale up --force-reauth

Калі ключ ужо скончыўся, кансоль адміністратара можа прапанаваць часовае падаўжэнне для адпаведных прылад. Гэта падаўжэнне — акно, каб вярнуць доступ і завяршыць уваход, а не пастаянная замена яму. Запішыце паказаны тэрмін.

Праверце, што прылада сапраўды абслугоўвае

Пасля вяртання прылады праверце службу, для якой яна існуе. Маршрутызатар трэба правяраць праз рэсурс за ім, выхадны вузел — праз прызначаны інтэрнэт-шлях, а звычайны сервер — праз порт, які вы сапраўды выкарыстоўваеце. Вузел, паказаны ў сетцы, сам па сабе нічога з гэтага не даказвае. Правярайце з машыны, якая не з'яўляецца вузлом, бо лакальныя праверкі цалкам абыходзяць шлях tailnet.

tailscale ping 100.101.102.103

Потым запішыце палітыку заканчэння тэрміну для гэтай машыны. Канэктар без нагляду і асабісты ноўтбук маюць розныя допускі, і той, хто атрымае сервер у спадчыну, не павінен зноў высвятляць, які з іх гэта. Гэтая нататка — розніца паміж задокументаванай палітыкай і сюрпрызам наступнага года. Дакументацыя Tailscale пра заканчэнне тэрміну ключоў апісвае варыянты падаўжэння і іхнія абмежаванні.