Pam mae llwybr is-rwydwaith Tailscale a gymeradwywyd yn dal i oramseru

Mae cymeradwyaeth yn y consol gweinyddol yn edrych fel y cam olaf, ac nid yw. Mae’r cais yn goramseru yn gyntaf, ac yn unig ar ôl hynny y byddwch yn darganfod bod y llwybrydd ar-lein a’r llwybr wedi’i gymeradwyo. Cam dosbarthu yw cymeradwyaeth, nid caniatâd ac nid gwarant o anfon ymlaen. Rhaid i bedwar cam alinio cyn i becyn gyrraedd gwesteiwr y tu ôl i lwybrydd is-rwydwaith, a gall pob un lwyddo tra bod y nesaf yn methu. Ewch drwyddynt yn eu trefn a stopiwch yn y cam cyntaf nad yw’n dal.

Pedwar cam, un methiant

Mae’r llwybrydd yn hysbysebu’r rhagddodiad, mae’r tailnet yn cymeradwyo’r hysbyseb honno, mae’r cleient yn derbyn y llwybr a gafodd, ac mae’r polisi mynediad yn caniatáu’r cysylltiad penodol. Pedwar penderfyniad ar wahân gan dri chydran gwahanol yw’r rhain. Felly dim ond dweud bod y rhwydwaith bellach yn rhan o dabl llwybro’r tailnet y mae llwybr cymeradwy.

Y pedwerydd cam yw’r un a gamanweithir amlaf, oherwydd bod y tri chyntaf yn cynhyrchu cyflwr gweladwy. Nid yw caniatâd sy’n cwmpasu cyfeiriad tailnet y llwybrydd ei hun yn cwmpasu is-rwydwaith preifat y tu ôl iddo yn awtomatig. Cyrchfannau gwahanol yw’r rhain, a gwerthusir polisi fesul cyrchfan.

Ar Linux mae gan y trydydd cam ragosodiad sy’n synnu pobl hefyd: mae derbyn llwybrau is-rwydwaith yn ddewisol. Mae sawl cleient GUI yn derbyn llwybrau a hysbysebwyd yn ddiofyn, felly gall fflyd gymysg ddangos un peiriant yn methu tra bo’r gweddill yn gweithio.

Cadarnhewch y ffafriaeth ar y peiriant sy’n methu yn hytrach na thybio platfform. Nid y llwybr oedd y darn coll ar y peiriannau sy’n gweithio erioed, felly gadewch iddyn nhw brofi bod ochr y tailnet yn iach. Mae dogfennaeth Tailscale ar lwybryddion is-rwydwaith yn cwmpasu cymeradwyaeth, derbyn llwybrau gan y cleient a cham y polisi.

Gwiriwch y llwybr lle mae’r cleient yn rhedeg

Dechreuwch ar y cleient sy’n methu, nid ar y llwybrydd. Cadarnhewch fod y llwybr yn bresennol a bod ffafriaeth y cleient yn caniatáu derbyn llwybrau o gwbl.

tailscale status
tailscale debug prefs | grep -i route
ip route get 10.20.0.42

Mae’r gorchymyn cyntaf yn dangos y rhestr gyfoedion ac a yw’r llwybrydd is-rwydwaith yn gyrraeddadwy, mae’r ail yn argraffu ffafriaethau’r cleient gan gynnwys y fflag derbyn llwybrau, ac mae’r trydydd yn gofyn i’r cnewyllyn pa ryngwyneb y byddai’n ei ddefnyddio ar gyfer gwesteiwr go iawn ar yr is-rwydwaith. Os yw’r gorchymyn olaf hwnnw’n enwi’r rhyngwyneb ffisegol yn lle rhyngwyneb Tailscale, ni chyrhaeddodd y llwybr y tabl erioed. Problem ar ochr y cleient yw llwybr coll, nid problem cymeradwyaeth. Trwsiwch hi cyn edrych ar y polisi.

I dderbyn llwybrau ar Linux, ailgysylltwch gyda’r fflag yn hytrach na thybio ei fod wedi’i osod: tailscale up --accept-routes. Mae cleient a ymunodd gyda fflagiau gwahanol yn eu cadw nes iddynt gael eu newid, felly gwiriwch y ffafriaeth bresennol cyn ychwanegu un arall. Dylai ailredeg y gorchymyn cyntaf ar ôl y newid ddangos y llwybr yn y tabl.

Profwch anfon ymlaen a’r llwybr dychwelyd

Nid yw cymeradwyaeth yn ffurfweddu’r llwybrydd i anfon pecynnau ymlaen, ac nid yw’n trefnu’r ateb. Mae’r ddau yn faterion ar lefel gwesteiwr ar ochr LAN y llwybrydd. Profwch nhw ar y llwybrydd, nid ar y cleient.

sysctl net.ipv4.ip_forward
iptables -t nat -L POSTROUTING -n -v
tcpdump -ni any host 10.20.0.42 and port 443

Rhaid i’r gorchymyn cyntaf adrodd 1, neu bydd y cnewyllyn yn gollwng y pecyn a anfonwyd ymlaen. Mae’r ail yn dangos a yw masgeradu llwybr yr is-rwydwaith yn ailysgrifennu’r ffynhonnell, sef yr ymddygiad diofyn a’r hyn yr ydych ei eisiau fel arfer. Mae’r trydydd yn dangos a yw’r cais yn cyrraedd y gyrchfan ac a oes unrhyw beth yn dychwelyd; mae cais heb ateb yn broblem llwybr dychwelyd, nid yn broblem cymeradwyaeth. Darllenwch y tri chanlyniad gyda’i gilydd cyn newid unrhyw un ohonynt.

Os yw masgeradu wedi’i analluogi, mae ar y rhwydwaith cyrchfan angen llwybr yn ôl i gyfeiriadau’r tailnet, ac mae angen i bob naid yn y canol wybod hynny. Troi masgeradu ymlaen eto yw’r ateb cyflymaf ar gyfer un gwasanaeth, ar gost cuddio cyfeiriad gwreiddiol y cleient rhag y gyrchfan. Mae’r cyfnewid hwnnw’n bwysig pan fo’r gyrchfan yn cofnodi cyfeiriadau ffynhonnell ar gyfer archwilio, felly penderfynwch yn fwriadol yn lle troi’r fflag yn ystod digwyddiad. Dogfennwch pa ddewis a wnaethoch, oherwydd dim ond un o’r ddau ymddygiad y bydd y person nesaf yn ei weld.

Darllenwch y rheol fynediad ar gyfer yr adnodd

Gyda’r llwybr yn bresennol a’r anfon ymlaen wedi’i brofi, y polisi yw’r unig amheuwr sy’n weddill. Darllenwch y caniatâd sy’n fod i ganiatáu’r cysylltiad a gwiriwch ei gyrchfan, nid ei ffynhonnell yn unig. Rhaid i hunaniaeth y cleient ei hun gyd-fynd â detholwr y polisi hefyd, felly cofnodwch hi o’r un peiriant sy’n methu.

tailscale status --json | head -40
tailscale ping <router-name-or-tailnet-ip>
ping -c 3 10.20.0.42

Mae allbwn statws yn nodi cyfeiriadau’r cleient ei hun a’r cyfoedion y mae’n eu gweld, sef yr hyn y mae’n rhaid i ddetholwr ffynhonnell y polisi gyd-fynd ag ef. Mae tailscale ping yn profi llwybr y tailnet i’r llwybrydd is-rwydwaith ei hun; mae’n datrys enwau cyfoedion a chyfeiriadau tailnet, nid gwesteiwyr y tu mewn i is-rwydwaith a hysbysebwyd. Mae’r trydydd gorchymyn yn anfon adlais ICMP arferol trwy lwybr yr is-rwydwaith, felly mae ei ganlyniad yn disgrifio’r gyrchfan yn hytrach na’r llwybrydd. Mae gwadiad ar lefel tailnet fel arfer yn dychwelyd fel gwrthodiad, tra bod pecyn sy’n gadael ac nad yw byth yn dychwelyd yn goramseru.

Mae enw sy’n methu yn gwestiwn gwahanol i gyfeiriad sy’n methu; datryswch y gwesteiwr yn uniongyrchol cyn beio’r llwybr. Ysgrifennwch y caniatâd yn erbyn gofyniad gwirioneddol yr adnodd yn hytrach na’r is-rwydwaith gyfan. Agor /24 cyfan fel bod un cymhwysiad yn gweithio yw’r ffordd y mae cais cul yn troi’n ganiatâd eang nad oes neb yn meiddio ei dynnu’n ôl wedyn.

Os mai allanfa i’r rhyngrwyd oedd y nod yn hytrach nag is-rwydwaith preifat, y gydran gywir yw nod allanfa, nid llwybrydd is-rwydwaith, ac mae’r polisi a’r llwybro yn gwahaniaethu yn unol â hynny. Gwiriwch y penderfyniad hwnnw cyn ehangu caniatâd. Mae nod allanfa yn newid y llwybr diofyn; dim ond rhagddodiad y mae llwybrydd is-rwydwaith yn ei hysbysebu.