Ein Tailscale-Host nicht erreichbar: Subnetz-Router oder Exit-Node?

Ein Tailscale-Host antwortet, während ein anderer dunkel bleibt, oder alles funktioniert, bis öffentliche Websites das falsche Land melden. Beide Beschwerden kommen als „Tailscale ist kaputt“, und beide sind meist der falsche Baustein, für das falsche Ziel aktiviert. Ein Subnetz-Router stellt ein privates Netzwerk im Tailnet bereit, während ein Exit-Node ändert, wo der Internetverkehr das Netz verlässt. Sortiere zuerst das fehlgeschlagene Ziel, dann wähle die Rolle, die es abdeckt.

Beginne beim Ziel, das fehlgeschlagen ist

Notiere die Adresse oder den Namen, der nicht funktioniert hat, und um welche Art von Sache es sich handelt. Ein Gerät in einem privaten LAN hinter einem anderen Standort, ein Dienst im eigenen Segment und eine öffentliche Website sind drei Routingprobleme, die zufällig einen Client teilen. Der Unterschied ist nicht kosmetisch, denn die beiden Bausteine decken unterschiedliche Mengen von Zielen ab. Den einen zu aktivieren bewirkt nichts für den anderen, und das ist die ganze Quelle der Verwirrung.

Beachte auch die Adressfamilie. Ein Subnetz, das nur als IPv4 angekündigt wird, lässt IPv6-Ziele auf dem lokalen Pfad, was als Teilausfall erscheint, bis jemand beide Routingtabellen vergleicht. Halte fest, welchen Pfad du erwartet hast, damit der Test später etwas zum Widersprechen hat.

Erreiche ein Gerät, das nie Tailscale ausführt

Der Router kündigt bestimmte Bereiche im Tailnet an und leitet dann Pakete zwischen Tailnet und privatem Segment weiter, sodass die Geräte in diesem Segment keinen eigenen Client brauchen. Ein NAS im Büro von einem Laptop zu Hause zu erreichen ist genau dieser Fall. Der Router ist das einzige Mitglied des Tailnets auf dieser Seite.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Die Ankündigung ist nur die erste von drei Bedingungen. Die Route muss für das Tailnet genehmigt werden, der Client muss angekündigte Routen akzeptieren, und eine Zugriffsregel muss die Verbindung erlauben. Diese Kette ist der Grund, warum das Symptom so oft lautet, der Router laufe und das NAS nicht. Ein erreichbarer Router beweist, dass der Tunnel funktioniert; er beweist nichts über Genehmigung, Client-Akzeptanz oder Richtlinie.

Jeder dieser drei Fehler sieht in der Administrationskonsole anders aus. Prüfe sie der Reihe nach, statt alle drei gleichzeitig zu ändern, denn eine zweite Änderung verdeckt, welche wichtig war.

Schicke öffentlichen Verkehr über eine andere Maschine hinaus

Ein Exit-Node leitet deinen allgemeinen Internetverkehr durch sich selbst, was dem Volltunnel-Aufbau anderer VPN-Produkte am nächsten kommt. Auch er braucht drei getrennte Zustimmungen: Das Gerät kündigt die Rolle an, ein Administrator erlaubt sie, und der Client wählt sie aus. Der Beitritt zu einem Tailnet schickt standardmäßig nichts über ein anderes Mitglied.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

Die Auswahl eines Exit-Nodes gewährt nicht automatisch Zugriff auf dessen eigenes LAN. Die LAN-Zugriffsoption existiert gerade deshalb, weil das unterschiedliche Berechtigungen sind, und sie ausgeschaltet zu lassen ist der sicherere Standard. Routen zu anderen Tailscale-Ressourcen behalten ihre eigene Behandlung, auch während ein Exit-Node aktiv ist. Deshalb kann ein im Subnetz gehosteter Dienst weiterlaufen, während sich der öffentliche Internetpfad geändert hat.

Ein Exit-Node ändert auch, wie das Internet dich sieht, nicht nur wie schnell es sich anfühlt. Erwarte, dass Geolokalisierung, Streaming-Kataloge und Ratenlimits der Adresse des Exit-Nodes folgen und nicht deiner.

Lies die Dreiteilung, wenn nur ein Host ausfällt

Ein Drucker im eigenen Segment, ein NAS hinter einem entfernten Subnetz-Router und eine öffentliche Website sind drei Ziele mit drei verschiedenen Pfaden. Wenn genau eines davon ausfällt, gehört der Defekt zum Pfad dieses Ziels und nicht zum Client als Ganzem. Für den lokalen Drucker bei aktivem Exit-Node ist die LAN-Zugriffseinstellung die übliche Antwort. Für das entfernte NAS prüfe den angekündigten Bereich, seinen Genehmigungsstatus und die Zugriffsregeln in dieser Reihenfolge. Für eine öffentliche Website prüfe, welcher Exit-Node ausgewählt ist und ob der Client ihn tatsächlich akzeptiert hat.

Wenn die Adresse funktioniert und der Name nicht, höre auf, Routen anzusehen. Privates DNS wird getrennt konfiguriert, und ein Name, der zur falschen Adresse auflöst, scheitert so, wie eine blockierte Route aussieht. Teste zuerst die Adresse, dann den Namen, und die beiden Ergebnisse sagen dir, welche Schicht zu öffnen ist.

Bestätige den Pfad, den du gebaut zu haben glaubst

Verifikation ist eine Routensuche plus eine Adressprüfung, kein Ping. Die Suche sagt, welche Schnittstelle ein Ziel verwenden würde, und die Adressprüfung sagt, in welchem Bereich das Ziel tatsächlich liegt. Ein erfolgreicher Ping sagt, dass der Host irgendwo lebt, was nicht die Frage ist. Führe beides aus, bevor du irgendeine Konfiguration änderst.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Kombiniere das mit der eigenen Sicht des Tailnets, die zeigt, ob der Peer direkt verbunden oder über einen Relay läuft. Ein Relay-Pfad funktioniert weiterhin, und das erklärt Latenzbeschwerden, die nichts mit der Route zu tun haben, die du gerade untersuchst. Dokumentation zum Subnetz-Router deckt den Genehmigungsschritt ab, falls er ungewohnt ist. Notiere dann, welcher Baustein welches Ziel in deinem eigenen Netzwerk abdeckt, denn die nächste Person, die einen Standort hinzufügt, wird dieselbe Frage stellen.