Én Tailscale-vært utilgængelig: subnet-router eller exit-node?

Én Tailscale-vært svarer, mens en anden forbliver mørk, eller også virker alt, indtil offentlige websteder begynder at rapportere det forkerte land. Begge klager kommer som „Tailscale er i stykker“, og begge er som regel den forkerte konstruktion slået til for det forkerte mål. En subnet-router eksponerer et privat netværk til tailnettet, mens en exit-node ændrer, hvor internettrafikken forlader netværket. Sorter først det mål, der fejler, og vælg så den rolle, der dækker det.

Start med det mål, der fejlede

Skriv adressen eller navnet ned, som ikke virkede, og hvilken slags ting det er. En enhed på et privat LAN bag en anden lokalitet, en tjeneste på dit eget segment og et offentligt websted er tre routingproblemer, der tilfældigvis deler én klient. Forskellen er ikke kosmetisk, fordi de to konstruktioner dækker forskellige sæt af mål. At slå den ene til gør intet for den anden, og det er hele kilden til forvirringen.

Læg også mærke til adressefamilien. Et subnet, der kun annonceres som IPv4, efterlader IPv6-mål på den lokale vej, hvilket ser ud som en delvis fejl, indtil nogen sammenligner begge routingtabeller. Notér, hvad du forventede, vejen skulle være, så testen senere har noget at modsige.

Nå en enhed, der aldrig kører Tailscale

Routeren annoncerer bestemte områder til tailnettet og videresender derefter pakker mellem tailnettet og det private segment, så enhederne på det segment ikke har brug for deres egen klient. At nå en NAS på kontoret fra en bærbar derhjemme er præcis dette tilfælde. Routeren er det eneste medlem af tailnettet på den side.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Annoncering er kun den første af tre betingelser. Ruten skal godkendes for tailnettet, klienten skal acceptere annoncerede ruter, og en adgangsregel skal tillade forbindelsen. Den kæde er grunden til, at symptomet så ofte er, at routeren kører, og NAS'en ikke gør. En tilgængelig router beviser, at tunnelen virker; den beviser intet om godkendelse, klientaccept eller politik.

Hver af de tre fejl ser forskellig ud i administrationskonsollen. Tjek dem i rækkefølge i stedet for at ændre alle tre på én gang, fordi en anden ændring skjuler, hvilken der betød noget.

Send offentlig trafik ud gennem en anden maskine

En exit-node ruter din almindelige internettrafik gennem sig selv, hvilket er den nærmeste pendant til fuldtunnel-arrangementet i andre VPN-produkter. Den kræver også tre særskilte samtykker: enheden annoncerer rollen, en administrator tillader den, og klienten vælger den. At tilslutte sig et tailnet sender intet gennem et andet medlem som standard.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

Valg af en exit-node giver ikke automatisk adgang til dens eget LAN. LAN-adgangsmuligheden findes netop, fordi det er forskellige tilladelser, og at lade den være slået fra er den sikrere standard. Ruter til andre Tailscale-ressourcer beholder deres egen håndtering, selv mens en exit-node er aktiv. Derfor kan en tjeneste, der hostes på et subnet, fortsætte med at virke, mens den offentlige internetvej er ændret.

En exit-node ændrer også, hvordan internettet ser dig, ikke kun hvor hurtigt det føles. Forvent, at geolokation, streamingkataloger og hastighedsgrænser følger exit-nodens adresse i stedet for din.

Læs tredelingen, når kun én vært fejler

En printer på dit eget segment, en NAS bag en fjern subnet-router og et offentligt websted er tre mål med tre forskellige veje. Hvis præcis ét af dem fejler, hører fejlen til det måls vej og ikke til klienten som helhed. For den lokale printer, mens en exit-node er i brug, er LAN-adgangsindstillingen det sædvanlige svar. For den fjerne NAS skal du tjekke det annoncerede område, dets godkendelsestilstand og adgangsreglerne i den rækkefølge. For et offentligt websted skal du tjekke, hvilken exit-node der er valgt, og om klienten faktisk har accepteret den.

Hvis adressen virker og navnet ikke, så hold op med at kigge på ruter. Privat DNS opsættes separat, og et navn, der opløses til den forkerte adresse, fejler på en måde, der ligner en blokeret rute. Test adressen først og derefter navnet, og de to resultater fortæller dig, hvilket lag du skal åbne.

Bekræft den vej, du tror, du har bygget

Verifikation er et ruteopslag plus en adressekontrol, ikke en ping. Opslaget fortæller, hvilken grænseflade et mål ville bruge, og adressekontrollen fortæller, i hvilket område målet faktisk ligger. En ping, der lykkes, siger, at værten er i live et sted, hvilket ikke er spørgsmålet. Kør begge, før du ændrer nogen konfiguration.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Par det med tailnettets eget billede, som viser, om peer'en er direkte forbundet eller videresendt. En videresendt vej virker stadig, og det forklarer klager over latenstid, der intet har at gøre med den rute, du fejlsøgte. dokumentationen for subnet-routeren dækker godkendelsestrinet, hvis det er ukendt. Skriv derefter ned, hvilken konstruktion der dækker hvilket mål i dit eget netværk, fordi den næste person, der tilføjer en lokalitet, vil stille det samme spørgsmål.