Unu Tailscale-gastiganto neatingebla: subreta enkursigilo aŭ elira nodo?

Unu Tailscale-gastiganto respondas dum alia restas malluma, aŭ ĉio funkcias ĝis publikaj retejoj komencas raporti la malĝustan landon. Ambaŭ plendoj alvenas kiel „Tailscale estas rompita“, kaj ambaŭ kutime estas la malĝusta konstruaĵo ŝaltita por la malĝusta celloko. Subreta enkursigilo elmetas privatan reton al la tailnet, dum elira nodo ŝanĝas, de kie eliras la interreta trafiko. Unue ordigu la cellokon, kiu malsukcesas, poste elektu la rolon, kiu ĝin kovras.

Komencu de la celloko, kiu malsukcesis

Notu la adreson aŭ nomon, kiu ne funkciis, kaj kian aĵon ĝi estas. Aparato en privata LAN malantaŭ alia ejo, servo en via propra segmento kaj publika retejo estas tri enkursigaj problemoj, kiuj hazarde dividas unu klienton. La distingo ne estas kosmetika, ĉar la du konstruaĵoj kovras malsamajn arojn de cellokoj. Ŝalti unu faras nenion por la alia, kaj tio estas la tuta fonto de la konfuzo.

Rimarku ankaŭ la adresan familion. Subreto anoncita nur kiel IPv4 lasas IPv6-cellokojn sur la loka vojo, kio aspektas kiel parta malsukceso ĝis iu komparas ambaŭ enkursigajn tabelojn. Notu, kian vojon vi atendis, por ke la testoj poste havu ion kontraŭdiri.

Atingu aparaton, kiu neniam rulas Tailscale

La enkursigilo anoncas certajn gamojn al la tailnet, poste plusendas pakaĵojn inter la tailnet kaj la privata segmento, do la aparatoj en tiu segmento ne bezonas propran klienton. Atingi NAS en la oficejo el tekkomputilo hejme estas ĝuste tiu kazo. La enkursigilo estas la sola membro de la tailnet sur tiu flanko.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Anonco estas nur la unua el tri kondiĉoj. La vojo devas esti aprobita por la tailnet, la kliento devas akcepti anoncitajn vojojn, kaj alira regulo devas permesi la konekton. Pro tiu ĉeno la simptomo tiel ofte estas, ke la enkursigilo funkcias kaj la NAS ne. Atingebla enkursigilo pruvas, ke la tunelo funkcias; ĝi pruvas nenion pri aprobo, klienta akcepto aŭ politiko.

Ĉiu el tiuj tri malsukcesoj aspektas malsame en la administra konzolo. Kontrolu ilin laŭvice anstataŭ ŝanĝi ĉiujn tri samtempe, ĉar dua ŝanĝo kaŝas, kiu gravis.

Sendu publikan trafikon eksteren tra alia maŝino

Elira nodo enkursigas vian ĝeneralan interretan trafikon tra si mem, kio estas la plej proksima analogo al la plentunela aranĝo en aliaj VPN-produktoj. Ĝi ankaŭ bezonas tri apartajn konsentojn: la aparato anoncas la rolon, administranto permesas ĝin, kaj la kliento elektas ĝin. Aliĝi al tailnet sendas nenion tra alia membro defaŭlte.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

Elekti eliran nodon ne aŭtomate donas aliron al la propra LAN de tiu nodo. La opcio pri LAN-aliro ekzistas ĝuste ĉar temas pri malsamaj permesoj, kaj lasi ĝin malŝaltita estas la pli sekura defaŭlto. Vojoj al aliaj Tailscale-rimedoj konservas sian propran traktadon eĉ dum elira nodo estas aktiva. Tial servo gastigita en subreto povas daŭre funkcii dum la publika interreta vojo ŝanĝiĝis.

Elira nodo ankaŭ ŝanĝas, kiel la interreto vidas vin, ne nur kiom rapide ĝi sentiĝas. Atendu, ke geolokigo, elsendaj katalogoj kaj rapidlimoj sekvu la adreson de la eliro, ne vian.

Legu la tridividon, kiam malsukcesas nur unu gastiganto

Presilo en via propra segmento, NAS malantaŭ fora subreta enkursigilo kaj publika retejo estas tri cellokoj kun tri malsamaj vojoj. Se ĝuste unu el ili malsukcesas, la difekto apartenas al la vojo de tiu celloko, ne al la kliento kiel tuto. Por la loka presilo dum elira nodo estas uzata, la LAN-alira agordo estas la kutima respondo. Por la fora NAS, kontrolu la anoncitan gamon, ĝian aproban staton kaj la alirajn regulojn laŭ tiu ordo. Por publika retejo, kontrolu, kiu elira nodo estas elektita kaj ĉu la kliento vere akceptis ĝin.

Se la adreso funkcias kaj la nomo ne, ĉesu rigardi vojojn. Privata DNS estas agordata aparte, kaj nomo, kiu solviĝas al malĝusta adreso, malsukcesas tiel, kiel aspektas blokita vojo. Testu unue la adreson, poste la nomon, kaj la du rezultoj diras al vi, kiun tavolon malfermi.

Konfirmu la vojon, kiun vi pensas, ke vi konstruis

Kontrolo estas vojserĉo plus adresa kontrolo, ne ping. La serĉo diras, kiun interfacon celloko uzus, kaj la adresa kontrolo diras, en kiu gamo la celloko efektive loĝas. Sukcesa ping diras, ke la gastiganto vivas ie, kio ne estas la demando. Rulu ambaŭ antaŭ ol ŝanĝi iun ajn agordon.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Kunigu tion kun la propra vido de la tailnet, kiu montras, ĉu la samtavolano estas rekte konektita aŭ plusendita. Plusendita vojo ankoraŭ funkcias, kaj tio klarigas plendojn pri latento, kiuj havas nenion komunan kun la vojo, kiun vi riparis. la dokumentaro pri subreta enkursigilo kovras la aproban paŝon, se ĝi ne estas konata. Poste notu, kiu konstruaĵo kovras kiun cellokon en via propra reto, ĉar la sekva persono, kiu aldonos ejon, demandos la saman demandon.