Адзін хост Tailscale недасяжны: маршрутызатар падсеткі ці выхадны вузел?

Адзін хост Tailscale адказвае, а другі застаецца цёмным, альбо ўсё працуе, пакуль публічныя сайты не пачнуць паказваць чужую краіну. Абедзве скаргі прыходзяць як «Tailscale зламаны», і абедзве звычайна азначаюць не тую канструкцыю, уключаную не для той мэты. Маршрутызатар падсеткі адкрывае прыватную сетку для tailnet, а выхадны вузел змяняе месца, адкуль выходзіць інтэрнэт-трафік. Спачатку разабрася з мэтай, якая не працуе, потым выбірай ролю, якая яе пакрывае.

Пачні з мэты, якая не спрацавала

Запішы адрас або імя, якія не працавалі, і што гэта за штука. Прылада ў прыватнай LAN за іншым аб'ектам, служба на ўласным сегменце і публічны сайт — гэта тры праблемы маршрутызацыі, якія выпадкова дзеляць аднаго кліента. Розніца не касметычная, бо дзве канструкцыі пакрываюць розныя наборы мэтаў. Уключэнне адной нічога не робіць для другой, і гэта ўся крыніца блытаніны.

Звярні ўвагу і на сямейства адрасоў. Падсетка, абвешчаная толькі як IPv4, пакідае мэты IPv6 на лакальным шляху, што выглядае як частковая адмова, пакуль хтосьці не параўнае абедзве табліцы маршрутызацыі. Запішы, якім ты чакаў убачыць шлях, каб тэсту было што абвергнуць.

Дабярыся да прылады, якая ніколі не запускае Tailscale

Маршрутызатар аб'яўляе пэўныя дыяпазоны для tailnet, а затым перадае пакеты паміж tailnet і прыватным сегментам, таму прылады ў гэтым сегменце не патрабуюць уласнага кліента. Дасягненне NAS у офісе з ноўтбука дома — гэта менавіта такі выпадак. Маршрутызатар — адзіны член tailnet на тым баку.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Аб'ява — толькі першая з трох умоў. Маршрут павінен быць зацверджаны для tailnet, кліент павінен прыняць абвешчаныя маршруты, і правіла доступу павінна дазволіць злучэнне. Менавіта з-за гэтага ланцуга сімптом так часта выглядае як «маршрутызатар працуе, а NAS не». Дасяжны маршрутызатар даказвае, што тунель працуе; ён нічога не даказвае пра зацвярджэнне, прыняцце кліентам або палітыку.

Кожная з гэтых трох адмоваў выглядае ў адмін-кансолі па-рознаму. Правярай іх па чарзе, а не змяняй усе тры адразу, бо другое змяненне хавае, якое было важным.

Вывесці публічны трафік праз іншую машыну

Выхадны вузел праводзіць твой агульны інтэрнэт-трафік праз сябе, і гэта найбліжэйшы аналаг поўнатунэльнай схемы ў іншых VPN-прадуктах. Яму таксама патрэбныя тры асобныя згоды: прылада аб'яўляе ролю, адміністратар дазваляе яе, а кліент выбірае яе. Далучэнне да tailnet па змаўчанні нічога не адпраўляе праз іншага ўдзельніка.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

Выбар выхаднога вузла не дае аўтаматычнага доступу да яго ўласнай LAN. Опцыя доступу да LAN існуе менавіта таму, што гэта розныя дазволы, і пакідаць яе выключанай — бяспечнейшае значэнне па змаўчанні. Маршруты да іншых рэсурсаў Tailscale захоўваюць сваю апрацоўку нават пры актыўным выхадным вузле. Таму служба, размешчаная ў падсетцы, можа працягваць працаваць, пакуль публічны інтэрнэт-шлях змяніўся.

Выхадны вузел змяняе і тое, як цябе бачыць інтэрнэт, а не толькі тое, наколькі хутка ўсё адчуваецца. Чакай, што геалакацыя, каталогі стрымінгу і абмежаванні хуткасці будуць ісці за адрасам выхаду, а не тваім.

Чытай раздзяленне на тры, калі не працуе толькі адзін хост

Прынтар на тваім сегменце, NAS за аддаленым маршрутызатарам падсеткі і публічны сайт — гэта тры мэты з трыма рознымі шляхамі. Калі не працуе роўна адна з іх, дэфект належыць шляху гэтай мэты, а не кліенту ў цэлым. Для лакальнага прынтара пры актыўным выхадным вузле звычайны адказ — налада доступу да LAN. Для аддаленага NAS правер абвешчаны дыяпазон, стан яго зацвярджэння і правілы доступу менавіта ў такой чарзе. Для публічнага сайта правер, які выхадны вузел выбраны і ці сапраўды кліент яго прыняў.

Калі адрас працуе, а імя не, спыніся глядзець на маршруты. Прыватны DNS наладжваецца асобна, і імя, якое вырашаецца ў няправільны адрас, зрываецца гэтак жа, як заблакаваны маршрут. Спачатку правер адрас, потым імя, і два вынікі скажуць, які ўзровень адкрываць.

Пацвердзі шлях, які, як ты думаеш, ты пабудаваў

Праверка — гэта пошук маршруту плюс праверка адрасу, а не ping. Пошук кажа, які інтэрфейс выкарыстае мэта, а праверка адрасу — у якім дыяпазоне мэта насамрэч знаходзіцца. Паспяховы ping кажа, што хост недзе жывы, а гэта не пытанне. Выканай абодва да змены любой канфігурацыі.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Дадай да гэтага ўласны погляд tailnet, які паказвае, ці сусед злучаны напрамую ці праз рэлей. Шлях праз рэлей таксама працуе, і гэта тлумачыць скаргі на затрымкі, якія не маюць дачынення да маршруту, які ты адладжваў. А дакументацыя па маршрутызатары падсеткі апісвае крок зацвярджэння, калі ён незнаёмы. Потым запішы, якая канструкцыя пакрывае якую мэту ў тваёй сетцы, бо наступны чалавек, які дадасць аб'ект, задасць тое ж пытанне.