Sekure reaŭtentikigi malproksiman Tailscale-aparaton

Se vi devigas novan Tailscale-ensaluton sur malproksima servilo, la konekto al la tailnet povas rompiĝi antaŭ ol la aparato finas reensaluti. Tio ne estas cimo en la komando; la operacio funkcias ĝuste tiel, kiel planite, sur la vojo, kiun vi uzas. La regulo estas simpla: pretigu duan vojon al la maŝino antaŭ ol renovigi ĝian ŝlosilon. Ĉio alia estas preparo por tiu momento.

Kial la komando povas fortranĉi vin

La aparata ŝlosilo estas tio, kio permesas al la nodo aliĝi al la tailnet. Renovigi ĝin signifas, ke la malnova ŝlosilo ne plu akceptiĝas, kaj la nodo devas fini novan ensaluton antaŭ ol ĝi povas reveni. Se via sola seanco iras tra tiu tailnet, la reveno okazas sen vi. Subreta enkursigilo plimalbonigas tion, ĉar klientoj konservas siajn vojojn kaj perdas la vojon malantaŭ ili.

Tial la ordo gravas pli ol la komando mem. Unue aliro, poste renovigo. Konsola seanco, seria konzolo aŭ kolego surloke ĉiuj validas.

Unue forigu alian difekton

Konfirmu, ke la problemo estas vere la ŝlosilo, antaŭ ol renovigi ion ajn. Kontrolu en la administra konzolo la eksvalidiĝon, poste la staton de la aparato mem: ĉu ĝi estas konektita kaj kiujn samtavolanojn ĝi vidas. Valida ŝlosilo kun rompita vojo, ŝanĝo de ACL aŭ haltigita servo aspektas de malproksime simile. Devigita renovigo riparas neniun el tiuj.

tailscale status

Se la nodo estas enrete kaj la ŝlosilo valida, daŭrigu serĉi. Renovigo estas lasta rimedo, ne ĝenerala riparo. Legu la liston de samtavolanoj same kiel la enretan indikilon, ĉar duone konektita nodo ankoraŭ raportas sin kiel funkcianta.

Renovigu per dua aliro

Kiam konzola aliro aŭ dua administra vojo pretas, rulu la renovigon sur la aparato. Tailscale dokumentas por tiu celo la formon force-reauth de la komando up, kaj ĝi postulas altigitajn rajtojn tie, kie la platformo tion postulas. Rulu ĝin unufoje kaj observu la eligon anstataŭ fermi la seancon. Se la komando rompas vian konekton, rekonektiĝu tra la dua vojo kaj legu la lokan protokolon.

sudo tailscale up --force-reauth

Se la ŝlosilo jam eksvalidiĝis, la administra konzolo povas proponi portempan plilongigon por taŭgaj aparatoj. Tiu plilongigo estas fenestro por reakiri aliron kaj fini la ensaluton, ne permanenta anstataŭaĵo por ĝi. Notu la montratan limdaton.

Testu, kion la aparato vere servas

Post kiam la aparato reenaliĝis, testu la servon, por kiu ĝi ekzistas. Enkursigilo estu testata tra rimedo malantaŭ ĝi, elira nodo tra la celita interreta vojo, kaj ordinara servilo tra la pordo, kiun vi vere uzas. Nodo montrata kiel enreta mem pruvas nenion el tio. Testu de maŝino, kiu ne estas la nodo, ĉar lokaj kontroloj tute preterpasas la vojon de la tailnet.

tailscale ping 100.101.102.103

Poste notu la eksvalidiĝan politikon por ĉi tiu maŝino. Nesuperrigardata konektilo kaj persona tekkomputilo havas malsamajn tolerojn, kaj tiu, kiu heredas la servilon, ne devus denove malkovri, kiu el la du ĝi estas. Tiu noto estas la diferenco inter dokumentita politiko kaj surprizo venontjare. La dokumentaro de Tailscale pri ŝlosila eksvalidiĝo kovras la renovigajn eblojn kaj iliajn limojn.