Godkend en fjern Tailscale-enhed sikkert igen

Tvinger du et nyt Tailscale-login igennem på en fjernserver, kan tailnet-forbindelsen falde, før enheden er færdig med at logge ind igen. Det er ikke en fejl i kommandoen; handlingen gør præcis det, den skal, på den vej du bruger. Reglen er enkel: sørg for en anden vej til maskinen, før du fornyer dens nøgle. Alt andet er forberedelse til det øjeblik.

Hvorfor kommandoen kan afbryde dig

Enhedsnøglen er det, der lader noden deltage i tailnettet. Fornyer du den, accepteres den gamle nøgle ikke længere, og noden skal gennemføre et nyt login, før den kan komme med igen. Kører din eneste session hen over det tailnet, sker genindtrædelsen uden dig. En subnet-router gør det værre, fordi klienter beholder deres ruter og mister vejen bag dem.

Derfor betyder rækkefølgen mere end selve kommandoen. Adgang først, fornyelse bagefter. En konsolsession, en seriel konsol eller en kollega på stedet kan alle bruges.

Udeluk først en anden fejl

Bekræft, at nøglen faktisk er problemet, før du fornyer noget. Tjek adminkonsollen for udløb, og tjek derefter enhedens egen status for, om den er tilsluttet, og hvilke peers den kan se. En gyldig nøgle med en brudt rute, en ACL-ændring eller en stoppet tjeneste ser ens ud på afstand. En tvungen fornyelse reparerer ingen af delene.

tailscale status

Er noden online og nøglen gyldig, så bliv ved med at lede. Fornyelse er den sidste udvej, ikke en generel reparation. Læs peer-listen såvel som online-flaget, fordi en halvtilsluttet node stadig rapporterer, at den er oppe.

Forny med en anden vej ind

Med konsoladgang eller en anden administrationsvej klar kører du fornyelsen på enheden. Tailscale dokumenterer force-reauth-formen af up-kommandoen til dette formål, og den kræver forhøjede rettigheder, hvor platformen kræver det. Kør den én gang, og følg outputtet i stedet for at lukke sessionen. Smider kommandoen din forbindelse, så genopret den via den anden vej og læs den lokale log.

sudo tailscale up --force-reauth

Er nøglen allerede udløbet, kan adminkonsollen tilbyde en midlertidig forlængelse til egnede enheder. Den forlængelse er et vindue til at genvinde adgangen og gøre login færdigt, ikke en varig erstatning for den. Noter den frist, den viser.

Test, hvad enheden faktisk leverer

Test den tjeneste, enheden findes for, efter at den er kommet med igen. En router bør testes gennem en ressource bag den, en exit node gennem den tilsigtede internetvej og en almindelig server gennem den port, du faktisk bruger. En node, der vises som online, beviser intet af det i sig selv. Test fra en maskine, der ikke er noden, fordi lokale tjek helt omgår tailnet-vejen.

tailscale ping 100.101.102.103

Skriv derefter udløbspolitikken for denne maskine ned. En uovervåget connector og en personlig bærbar computer har forskellige tolerancer, og den person, der overtager serveren, bør ikke skulle finde ud af igen, hvilken af dem det er. Den note er forskellen mellem en dokumenteret politik og en overraskelse næste år. Tailscales dokumentation om nøgleudløb dækker fornyelsesmulighederne og deres grænser.