El router de subxarxa de Tailscale s’ha aturat: reviseu primer la clau del dispositiu

El telèfon encara mostra la ruta de subxarxa, el tauler encara llista l’anunci, i res del que hi ha darrere del router respon. Sembla una regressió d’encaminament o de tallafocs, així que el moviment natural és tornar a afegir la subxarxa al client. Normalment això no canvia res, perquè el connector ha perdut la identitat, no la configuració. Una clau de dispositiu caducada deixa la ruta visible mentre el dispositiu deixa de reenviar.

La ruta es queda i els paquets s’aturen

Tailscale tracta l’anunci de rutes i l’autorització del dispositiu com a fets separats. Un router de subxarxa anuncia un prefix, els clients l’accepten i l’utilitzen, i el connector transporta el trànsit. Quan la clau del dispositiu caduca, el node ja no pot autenticar-se al servei de coordinació, així que deixa de participar. Els clients poden mantenir la ruta a la seva taula perquè treure-la podria enviar el trànsit per un camí no previst. Aquesta tria de tancar en cas de fallada explica el símptoma confús: una ruta que existeix i una destinació que no.

L’anunci continua sent una afirmació certa sobre la intenció. Ha deixat de ser una afirmació sobre la capacitat.

Llegiu la clau i l’estat del connector

Confirmeu l’estat del connector abans de canviar cap client. Dues sortides separen la identitat de l’abastabilitat.

tailscale status
tailscale ping 100.101.102.103

La sortida d’estat marca el router com a fora de línia o caducat i informa quan venç la clau, mentre que el ping apunta a l’adreça tailnet del propi node i no a un servei que hi hagi darrere. Un ping que no surt mai del client i una línia d’estat que diu caducat són la mateixa troballa des de dues direccions. Comproveu si un segon dispositiu que utilitza aquell router falla en el mateix moment, ja que una fallada compartida assenyala el connector i una fallada única assenyala l’acceptació de la ruta per part d’un client. No reutilitzeu cap adreça tailnet de notes antigues sense confirmar-la amb l’estat en directe.

Torneu a autenticar-vos sense tallar el vostre propi camí

La renovació restaura la identitat, però fer-la sobre l’única sessió que funciona us pot deixar aïllats. Manteniu primer un altre camí administratiu.

tailscale up --force-reauth
tailscale status --self

En un node amb accés a consola, --force-reauth reinicia el flux d’inici de sessió i imprimeix un URL que un compte autoritzat ha de completar. En un router remot, confirmeu que existeix una consola sèrie, una consola del proveïdor o un camí de gestió fora de banda abans de començar, perquè la sessió tailnet pot caure durant la renovació. Després de la renovació, verifiqueu que el node està en línia i que les seves rutes anunciades encara estan activades. Tornar a afegir el prefix al client no és cap pas de renovació i no la pot substituir.

Decidiu la política de caducitat per als dispositius sense supervisió

La caducitat de la clau existeix perquè un portàtil perdut deixi de funcionar algun dia, i la infraestructura sense supervisió intercanvia aquesta protecció per disponibilitat. Els administradors poden desactivar la caducitat d’un dispositiu concret, cosa que encaixa amb un router de confiança en un armari de cablejat però exigeix un inventari i un pla de retirada. Els dispositius etiquetats porten la seva pròpia identitat i el seu comportament de caducitat, així que la configuració del portàtil no els descriu. Reviseu el registre real del dispositiu en lloc de confiar en un recordatori creat fa mesos.

Després proveu el recurs que hi ha darrere del router, no només el node. Una clau renovada arregla la identitat, mentre que l’aprovació de la ruta, la política i el reenviament encara han de funcionar.