Tailscale Serve neu Funnel: pwy all agor y ddolen mewn gwirionedd?

Mae’r ddau orchymyn yn cyhoeddi gwasanaeth lleol drwy enw HTTPS Tailscale, ac o’r peiriant sy’n eu rhedeg maent yn edrych bron yn unfath. Y gwahaniaeth yw pwy all gyrraedd yr URL wedyn, a’r gwahaniaeth hwnnw sy’n penderfynu pa reolaethau sydd eu hangen ar eich cymhwysiad o hyd. Mae Serve yn cadw’r gynulleidfa o fewn y tailnet; mae Funnel yn ei symud i’r rhyngrwyd agored. Dewiswch y gynulleidfa yn gyntaf, yna dewiswch y gorchymyn sy’n cyd-fynd â hi.

Mae Serve yn ateb cwestiwn o fewn eich tailnet

Mae Serve yn dirprwyo porthladd lleol neu’n gwasanaethu cynnwys lleol i ddyfeisiau ar eich tailnet, ac mae rheolau mynediad y tailnet yn dal i fod yn berthnasol i bob cais. Daw dangosfwrdd ar borthladd 3000 yn gyraeddadwy ar enw HTTPS na all ond eich dyfeisiau ei ddatrys a chysylltu ag ef. Dyma’r rhagosodiad cywir ar gyfer offer mewnol, oherwydd bod y gynulleidfa eisoes wedi’i dilysu gan y tailnet ac nad ydych yn ychwanegu arwyneb cyhoeddus. Mae’r URL yn edrych fel gwefan arferol, a dyna’n union pam mae pobl yn ei gamgymryd am un.

Gall Serve hefyd atodi penawdau hunaniaeth sy’n disgrifio defnyddiwr y tailnet i geisiadau y mae’n eu hanfon ymlaen. Os yw eich cymhwysiad yn ymddiried yn y penawdau hynny fel dilysiad, clymwch y backend i localhost fel na all unrhyw beth arall ei gyrraedd yn uniongyrchol; gall backend sy’n gwrando ar gyfeiriad llwyadwy dderbyn ceisiadau na aethant byth drwy’r dirprwy.

Mae Funnel yn newid y gynulleidfa i’r rhyngrwyd agored

Mae Funnel yn cyhoeddi gwasanaeth dethol i unrhyw un sydd â’r URL, ac nid oes angen y cleient, cyfrif na bod yn aelod o’ch tailnet ar ymwelwyr. Felly mae angen y dilysu, y cyfyngu cyfradd a’r clytiau y byddech yn eu rhoi ar unrhyw wasanaeth cyhoeddus ar yr adnodd. Nid yw ceisiadau cyhoeddus yn cario penawdau hunaniaeth tailnet Serve, felly nid oes gan gymhwysiad a oedd yn dibynnu arnynt unrhyw hunaniaeth defnyddiwr o gwbl o dan Funnel. Nid yw dewis gorchymyn cyhoeddi gwahanol yn ateb y cwestiwn dilysu drosoch.

Mae gan Funnel gyfyngiadau hefyd na fydd tiwtorial o ryddhad hŷn efallai’n sôn amdanynt. Mae’n terfynu TLS â thystysgrif y mae Tailscale yn ei chael ar gyfer yr enw, ac mae’n cefnogi porthladdoedd gwrando penodol yn unig, fel y mae dogfennaeth Funnel yn ei ddisgrifio. Os yw eich gwasanaeth yn disgwyl protocol heblaw HTTPS ar un o’r porthladdoedd hynny, Funnel yw’r offeryn anghywir yn hytrach na phos ffurfweddu.

Darllenwch y modd o’r cleient, nid o’r porthladd

Gwiriwch y cyflwr presennol cyn rhannu unrhyw beth, oherwydd gellir ffurfweddu’r ddau fodd ar gyfer yr un porthladd lleol ar wahanol adegau. Mae’r gorchmynion statws yn adrodd beth sydd wedi’i gyhoeddi mewn gwirionedd ac i bwy. Peidiwch â chasglu’r gynulleidfa o’r ffaith bod URL yn ymateb.

tailscale serve status
tailscale funnel status
tailscale status --json | head -40

Mae cystrawen y gorchmynion wedi newid ar draws fersiynau’r cleient, felly gall galwad a gopïwyd ddewis modd gwahanol i’r un a fwriadwyd gennych. Mae’n well defnyddio’r ffurf ddogfennedig ar gyfer y fersiwn rydych yn ei rhedeg, a darllen y cadarnhad y mae’r cleient yn ei argraffu yn lle ei dybio. Os oes ffurfweddiad Serve a Funnel ill dau, y cyhoeddus yw’r un sy’n bwysig ar gyfer amlygiad. Ailosodwch y ffurfweddiad na fwriadwyd gennych yn lle gosod un arall ar ei ben.

Stopiwch ac ail-ddarllenwch y statws os nad yw’r allbwn yn enwi’r gynulleidfa. Mae URL a gyhoeddwyd heb gynulleidfa ddatganedig yn ddyfaliad, a dyna sut mae dangosfyrddau mewnol yn cyrraedd y rhyngrwyd agored.

Profwch gyda’r gynulleidfa y gwnaethoch ei bwriadu mewn gwirionedd

Profwch o’r tu allan i’r tailnet, nid o’r peiriant a gyhoeddodd y gwasanaeth. Mae cais o ddyfais tailnet yn profi bod y dirprwy yn gweithio; nid yw’n profi bod dieithryn wedi’i eithrio. Defnyddiwch rwydwaith nad oes ganddi gleient Tailscale na llwybr i’r tailnet.

curl -sI https://host.tailnet-name.ts.net
curl -sI https://host.tailnet-name.ts.net --resolve host.tailnet-name.ts.net:443:203.0.113.10

Ar gyfer dangosfwrdd mewnol, dylai’r cais allanol fethu â chysylltu neu fethu ag awdurdodi, a dylai’r cais mewnol lwyddo gyda’r hunaniaeth rydych yn ei disgwyl. Ar gyfer gwasanaeth cyhoeddus, dylai’r cais allanol lwyddo a dylai’r cymhwysiad ofyn am ei gymwysterau ei hun. Cofnodwch pa un o’r ddau ganlyniad a welsoch, oherwydd nid yw’r URL ar ei ben ei hun yn dweud wrthych. Os yw’r canlyniad yn groes i’r bwriad, tynnwch y ffurfweddiad cyhoeddus yn gyntaf ac ymchwiliwch wedyn.

Nid yw cyhoeddi gwasanaeth yr un penderfyniad â dewis nod ymadael, sy’n rheoli o ble mae eich traffig allan yn gadael. Mae Serve a Funnel yn ateb pwy all gyrraedd rhywbeth rydych yn ei redeg; mae nod ymadael yn ateb o ble mae eich cysylltiadau eich hun yn ymddangos yn dod. Cadwch y ddau gwestiwn ar wahân ac mae’r gymhariaeth yn parhau’n syml.