Bezpečně znovu ověřte vzdálené zařízení Tailscale

Vynutíte-li na vzdáleném serveru nové přihlášení Tailscale, může spojení s tailnetem spadnout dřív, než se zařízení stihne znovu přihlásit. Není to chyba příkazu; operace dělá přesně to, co má, na cestě, kterou používáte. Pravidlo je jednoduché: připravte si druhou cestu ke stroji, než obnovíte jeho klíč. Všechno ostatní je příprava na ten okamžik.

Proč vás příkaz může odříznout

Klíč zařízení je to, co uzlu umožňuje připojit se k tailnetu. Jeho obnovení znamená, že starý klíč přestane být přijímán, a uzel musí dokončit nové přihlášení, než se může vrátit. Pokud vaše jediná relace běží přes tento tailnet, návrat proběhne bez vás. Router podsítě to zhoršuje, protože klienti si drží své trasy a ztrácejí cestu za nimi.

Proto je pořadí důležitější než samotný příkaz. Nejprve přístup, potom obnova. Relace v konzoli, sériová konzole nebo kolega na místě — všechny se počítají.

Nejprve vylučte jinou závadu

Potvrďte, že problémem je skutečně klíč, než cokoli obnovíte. Zkontrolujte v administrační konzoli expiraci a potom stav samotného zařízení: zda je připojené a jaké peery vidí. Platný klíč s nefunkční trasou, změna ACL nebo zastavená služba vypadají z dálky podobně. Vynucená obnova nic z toho neopraví.

tailscale status

Pokud je uzel online a klíč platný, hledejte dál. Obnova je poslední možnost, ne obecná oprava. Čtěte seznam peerů stejně jako indikátor online, protože napůl připojený uzel se stále hlásí jako dostupný.

Obnovte s druhou cestou dovnitř

S přístupem ke konzoli nebo druhou cestou správy spusťte obnovu na zařízení. Tailscale pro tento účel dokumentuje podobu force-reauth příkazu up a ta vyžaduje zvýšená oprávnění tam, kde je platforma vyžaduje. Spusťte ji jednou a sledujte výstup, místo abyste zavřeli relaci. Pokud příkaz přeruší vaše spojení, připojte se znovu přes druhou cestu a přečtěte místní log.

sudo tailscale up --force-reauth

Pokud klíč už vypršel, může administrační konzole nabídnout dočasné prodloužení pro způsobilá zařízení. To prodloužení je okno k opětovnému získání přístupu a dokončení přihlášení, ne trvalá náhrada. Poznamenejte si zobrazený termín.

Otestujte, co zařízení skutečně poskytuje

Po opětovném připojení zařízení otestujte službu, pro kterou existuje. Router se má testovat přes prostředek za ním, výstupní uzel přes zamýšlenou internetovou cestu a obyčejný server přes port, který skutečně používáte. Uzel zobrazený jako online sám o sobě nic z toho neprokazuje. Testujte ze stroje, který není uzlem, protože místní kontroly cestu přes tailnet úplně obcházejí.

tailscale ping 100.101.102.103

Potom si zapište politiku expirace pro tento stroj. Neobsluhovaný konektor a osobní notebook mají různé tolerance a ten, kdo server zdědí, by neměl znovu zjišťovat, který z nich to je. Ta poznámka je rozdíl mezi zdokumentovanou politikou a překvapením příští rok. Dokumentace Tailscale k expiraci klíčů pokrývá možnosti obnovy a jejich omezení.