Tailscale-Exit-Node im Einsatz? Den Zugang zum lokalen LAN behalten

Der Drucker funktionierte, bevor der Exit-Node aktiviert wurde, und jetzt sieht der Laptop ihn nicht mehr. Die Auswahl eines Exit-Nodes ändert die Standardroute, sodass der Client keinen Verkehr des lokalen Subnetzes mehr über die physische Schnittstelle sendet. Das ist das beabsichtigte Verhalten, kein Fehler der Erkennung. Eine dokumentierte Einstellung stellt das nahe Netz wieder her, und die Aufgabe besteht darin, genau zu verstehen, welches Netz sie wiederherstellt.

Warum der Drucker verschwindet, wenn der Exit-Node aktiv wird

Ein Exit-Node kündigt sich als Route für den Internetverkehr an. Der Client richtet seine Standardroute auf den Knoten, und der Knoten leitet die Pakete weiter, sodass alles, was früher über das WLAN des Cafés ging, nun über das ferne Ende geht. Lokale Ziele sind standardmäßig nicht ausgenommen. Ein Gerät im selben WLAN wird dadurch unerreichbar, obwohl der Laptop weiterhin mit diesem Netz verbunden ist.

Die Pakete werden in den Tunnel geleitet und kommen auf der fernen Seite heraus, wo dieses LAN nicht existiert. Erkennungsprotokolle scheitern zuerst, weil sie auf Broadcast oder Multicast angewiesen sind, das den Ausgangspfad nicht überquert. Eine gespeicherte Druckerwarteschlange scheitert dann so, dass es wie ein defekter Treiber aussieht.

Die Einstellung stellt das LAN neben dem Laptop wieder her

Die Einstellung für das lokale Netz betrifft das Netz neben dem Client, nicht das Netz hinter dem Exit-Node. Wenn der Laptop im WLAN des Cafés ist und der Exit-Node zu Hause, stellt die Einstellung den Zugang zu Geräten auf der Café-Seite wieder her. Sie öffnet das Heim-LAN nicht und legt keine Route ins Büro an. Die Dokumentation zum Exit-Node nennt --exit-node-allow-lan-access als Schalter; geben Sie ihn über tailscale set oder tailscale up weiter, je nachdem, was Ihre Client-Einrichtung verwendet.

Aktivieren Sie sie, wenn das nahe Netz eine Ressource enthält, die Sie wirklich brauchen. Fragen Sie in einem Gästenetz, ob lokale Ziele überhaupt erreichbar sein müssen.

Die Einstellung macht nahe Geräte nicht vertrauenswürdig und hebt deren eigene Zugriffskontrollen nicht auf. Ein Drucker, der Aufträge aus dem ganzen Café annimmt, bleibt ein Drucker, der Aufträge aus dem ganzen Café annimmt. Behandeln Sie die Einstellung als Routing-Komfort, nicht als Sicherheitsgrenze.

Ein entferntes Büro zu erreichen ist ein anderer Mechanismus

Ein NAS zu Hause zu erreichen, das kein Tailscale ausführt, erfordert einen Subnet-Router. Dieses Gerät kündigt das private Präfix im Tailnet an, und ein Administrator muss die Route genehmigen, bevor Clients sie nutzen können. Der Exit-Node spielt auf diesem Pfad keine Rolle.

Ein Gerät, das selbst Tailscale ausführt, hat bereits eine Tailnet-Adresse. Es braucht die LAN-Einstellung nicht, und das Aktivieren der Einstellung lässt es nicht erscheinen.

Halten Sie die drei Mechanismen getrennt. Ein Exit-Node ändert, wohin der Internetverkehr geht, ein Subnet-Router erweitert die Erreichbarkeit auf ein privates Präfix, und der Zugang zum lokalen Netz stellt das physische LAN wieder her, mit dem der Laptop verbunden ist. Ihre Vermischung ergibt eine Konfiguration, die richtig aussieht und nichts routet. Schreiben Sie auf, welchen Sie ändern, bevor Sie ihn ändern.

Testen Sie die Adresse vor der Erkennungsliste

Testen Sie das Gerät nach dem Aktivieren des lokalen Zugangs über Adresse und Port statt über ein Erkennungsmenü. Eine leere Druckerliste ist kein vollständiger Test, weil die Erkennung aus Gründen scheitern kann, die nichts mit Unicast-Erreichbarkeit zu tun haben. Beginnen Sie mit der Adresse und dem Dienst, den Sie brauchen.

tailscale status
ping -c 2 192.168.1.50
nc -vz 192.168.1.50 9100

Lesen Sie die drei Ausgaben der Reihe nach. tailscale status zeigt, ob der Client den Exit-Node noch ausgewählt hat, der Ping beweist, dass die Adresse erreichbar ist, und die Portprüfung beweist, dass der Dienst lauscht. Wenn die Adresse funktioniert und der gespeicherte Hostname nicht, liegt das Problem in der Namensauflösung. Wenn keines von beiden funktioniert, prüfen Sie die gewählte Route, den Dienst des Ziels und dessen Firewall, bevor Sie den Client erneut ändern.

Pro Netz entscheiden und nach einer Änderung erneut testen

Aktivieren Sie den lokalen Zugang in Netzen, in denen Sie den Nachbarn vertrauen und die Ressource brauchen. Lassen Sie ihn in nicht vertrauenswürdigen Netzen aus, in denen das einzige Ziel ein öffentlicher Ausgang ist. Die Einstellung folgt dem Netz, also braucht ein Laptop, der zwischen einem Heim-LAN und einem Café wechselt, für jedes eine bewusste Antwort.

Testen Sie die Ressource erneut, wann immer sich das Netz oder der gewählte Exit-Node ändert. Öffentliches Surfen und lokale Erreichbarkeit sind zwei getrennte Prüfungen, und ein Drucker, der antwortet, sagt nichts über den Pfad, den Ihr Browser genommen hat. Notieren Sie, welche Einstellung für welches Netz an ist, damit eine spätere Änderung sie nicht stillschweigend rückgängig macht. Eine Zeile im Profil verhindert die Wiederholung desselben Tickets.