Jeden host Tailscale nedostupný: router podsítě, nebo výstupní uzel?

Jeden host Tailscale odpovídá, zatímco jiný zůstává tmavý, nebo všechno funguje, dokud veřejné weby nezačnou hlásit špatnou zemi. Obě stížnosti přicházejí jako „Tailscale je rozbitý“ a obě jsou obvykle špatná konstrukce zapnutá pro špatné cílové místo. Router podsítě zpřístupňuje privátní síť tailnetu, zatímco výstupní uzel mění, odkud internetový provoz vychází. Nejprve si srovnej cílové místo, které selhává, a pak vyber roli, která ho pokrývá.

Začni u cíle, který selhal

Zapiš adresu nebo jméno, které nefungovalo, a o jaký druh věci jde. Zařízení v privátní LAN za jiným areálem, služba na vlastním segmentu a veřejný web jsou tři problémy směrování, které náhodou sdílejí jednoho klienta. Rozdíl není kosmetický, protože obě konstrukce pokrývají jiné sady cílů. Zapnutí jedné nedělá pro druhou nic, a to je celý zdroj zmatku.

Všimni si také rodiny adres. Podsíť inzerovaná jen jako IPv4 nechává cíle IPv6 na lokální cestě, což vypadá jako částečné selhání, dokud někdo neporovná obě směrovací tabulky. Zapiš si, jakou cestu jsi očekával, aby měl test později co vyvrátit.

Dostaň se na zařízení, které nikdy nespouští Tailscale

Router ohlašuje tailnetu konkrétní rozsahy a pak přeposílá pakety mezi tailnetem a privátním segmentem, takže zařízení v tomto segmentu nepotřebují vlastního klienta. Dostupnost NASu v kanceláři z notebooku doma je přesně tento případ. Router je jediný člen tailnetu na této straně.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Inzerce je jen první ze tří podmínek. Trasa musí být pro tailnet schválená, klient musí inzerované trasy přijmout, a přístupové pravidlo musí spojení povolit. Kvůli tomuto řetězci je symptom tak často ten, že router běží a NAS ne. Dostupný router dokazuje, že tunel funguje; nic nedokazuje o schválení, přijetí klientem ani politice.

Každé z těchto tří selhání vypadá v administrační konzoli jinak. Kontroluj je popořadě, místo abys měnil všechny tři najednou, protože druhá změna skryje, která z nich byla důležitá.

Pošli veřejný provoz přes jiný stroj

Výstupní uzel směruje tvůj obecný internetový provoz skrz sebe, což je nejbližší obdoba plného tunelu u jiných VPN produktů. Také potřebuje tři samostatné souhlasy: zařízení roli inzeruje, správce ji povolí a klient ji vybere. Připojení k tailnetu ve výchozím stavu neposílá nic přes jiného člena.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

Výběr výstupního uzlu automaticky neuděluje přístup k jeho vlastní LAN. Volba přístupu k LAN existuje právě proto, že jde o různá oprávnění, a nechat ji vypnutou je bezpečnější výchozí stav. Trasy k jiným prostředkům Tailscale si zachovávají vlastní zpracování, i když je výstupní uzel aktivní. Proto může služba hostovaná v podsíti dál fungovat, zatímco se veřejná internetová cesta změnila.

Výstupní uzel mění i to, jak tě internet vidí, ne jen jak rychle to působí. Očekávej, že geolokace, katalogy streamování a limity rychlosti budou následovat adresu výstupu, ne tvou.

Přečti si rozdělení na tři, když selhává jen jeden host

Tiskárna na tvém segmentu, NAS za vzdáleným routerem podsítě a veřejný web jsou tři cíle se třemi různými cestami. Pokud selže právě jeden z nich, závada patří cestě toho cíle, ne klientovi jako celku. Pro místní tiskárnu při aktivním výstupním uzlu je obvyklou odpovědí nastavení přístupu k LAN. U vzdáleného NASu zkontroluj inzerovaný rozsah, stav jeho schválení a přístupová pravidla v tomto pořadí. U veřejného webu zkontroluj, který výstupní uzel je vybraný a zda ho klient skutečně přijal.

Pokud adresa funguje a jméno ne, přestaň se dívat na trasy. Privátní DNS se nastavuje zvlášť a jméno, které se přeloží na špatnou adresu, selhává stejně jako zablokovaná trasa. Otestuj nejprve adresu, pak jméno, a dva výsledky ti řeknou, kterou vrstvu otevřít.

Potvrď cestu, kterou si myslíš, že jsi postavil

Ověření je vyhledání trasy plus kontrola adresy, ne ping. Vyhledání říká, které rozhraní by cíl použil, a kontrola adresy říká, v jakém rozsahu cíl skutečně žije. Úspěšný ping říká, že host je někde naživu, což není otázka. Spusť obojí, než změníš jakoukoli konfiguraci.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Spoj to s vlastním pohledem tailnetu, který ukazuje, zda je peer připojen přímo, nebo přes relay. Cesta přes relay také funguje, a to vysvětluje stížnosti na latenci, které nemají nic společného s trasou, kterou jsi ladil. dokumentace routeru podsítě pokrývá krok schválení, pokud ti není známý. Pak si zapiš, která konstrukce pokrývá který cíl ve tvé síti, protože další člověk, který přidá areál, položí stejnou otázku.