Tailscale-Subnetzrouter gestoppt: Prüfe zuerst den Geräteschlüssel

Das Telefon zeigt die Subnetzroute weiterhin an, das Dashboard listet die Ankündigung weiterhin auf, und nichts hinter dem Router antwortet. Es sieht nach einer Regression im Routing oder in der Firewall aus, also ist der naheliegende Schritt, das Subnetz am Client erneut hinzuzufügen. Das ändert meist nichts, weil der Connector seine Identität verloren hat und nicht seine Konfiguration. Ein abgelaufener Geräteschlüssel lässt die Route sichtbar, während das Gerät aufhört weiterzuleiten.

Die Route bleibt, die Pakete stoppen

Tailscale behandelt Routenankündigung und Geräteautorisierung als getrennte Fakten. Ein Subnetzrouter kündigt ein Präfix an, Clients akzeptieren und nutzen es, und der Connector trägt den Verkehr. Wenn der Geräteschlüssel abläuft, kann sich der Knoten nicht mehr beim Koordinationsdienst authentifizieren, also nimmt er nicht mehr teil. Clients behalten die Route möglicherweise in ihrer Tabelle, weil ihr Entfernen den Verkehr auf einen unbeabsichtigten Weg schicken könnte. Diese Entscheidung zum Schließen bei Fehlern erklärt das verwirrende Symptom: eine Route, die existiert, und ein Ziel, das nicht existiert.

Die Ankündigung bleibt eine wahre Aussage über die Absicht. Sie ist keine Aussage über die Fähigkeit mehr.

Lies Schlüssel und Status des Connectors

Bestätige den Zustand des Connectors, bevor du einen Client änderst. Zwei Ausgaben trennen Identität von Erreichbarkeit.

tailscale status
tailscale ping 100.101.102.103

Die Statusausgabe markiert den Router als offline oder abgelaufen und meldet, wann der Schlüssel erlischt, während der Ping die eigene Tailnet-Adresse des Knotens anspricht und nicht einen Dienst dahinter. Ein Ping, der den Client nie verlässt, und eine Statuszeile mit der Angabe abgelaufen sind derselbe Befund aus zwei Richtungen. Prüfe, ob ein zweites Gerät, das diesen Router nutzt, im selben Moment ausfällt, denn ein gemeinsamer Ausfall deutet auf den Connector und ein einzelner auf die Routenakzeptanz eines Clients. Verwende eine Tailnet-Adresse aus alten Notizen nicht erneut, ohne sie gegen den Live-Status zu bestätigen.

Authentifiziere dich neu, ohne deinen eigenen Weg zu kappen

Die Erneuerung stellt die Identität wieder her, aber sie über die einzige funktionierende Sitzung auszuführen kann dich abhängen. Halte zuerst einen anderen administrativen Weg bereit.

tailscale up --force-reauth
tailscale status --self

Auf einem Knoten mit Konsolenzugriff startet --force-reauth den Anmeldevorgang neu und gibt eine URL aus, die ein autorisiertes Konto abschließen muss. Bestätige bei einem entfernten Router vor dem Start, dass eine serielle Konsole, eine Provider-Konsole oder ein Out-of-Band-Verwaltungsweg existiert, weil die Tailnet-Sitzung während der Erneuerung abbrechen kann. Prüfe nach der Erneuerung, ob der Knoten online ist und seine angekündigten Routen noch aktiviert sind. Das Präfix am Client erneut hinzuzufügen ist kein Erneuerungsschritt und kann keinen ersetzen.

Lege die Ablaufrichtlinie für unbeaufsichtigte Geräte fest

Der Schlüsselablauf existiert, damit ein verlorenes Laptop irgendwann aufhört zu funktionieren, und unbeaufsichtigte Infrastruktur tauscht diesen Schutz gegen Verfügbarkeit. Administratoren können den Ablauf für ein bestimmtes Gerät deaktivieren, was zu einem vertrauenswürdigen Router im Verteilerschrank passt, aber ein Inventar und einen Entfernungsplan verlangt. Getaggte Geräte tragen ihre eigene Identität und ihr eigenes Ablaufverhalten, daher beschreibt sie die Einstellung eines Laptops nicht. Prüfe den tatsächlichen Geräteeintrag, statt sich auf eine vor Monaten erstellte Erinnerung zu verlassen.

Teste danach die Ressource hinter dem Router, nicht nur den Knoten. Ein erneuerter Schlüssel behebt die Identität, während Routengenehmigung, Richtlinie und Weiterleitung trotzdem funktionieren müssen.