Reautenticar de forma segura un dispositivo Tailscale remoto

Forzar un nuevo inicio de sesión de Tailscale en un servidor remoto puede cortar la conexión al tailnet antes de que el dispositivo termine de volver a entrar. No es un fallo del comando; la operación hace exactamente lo que debe sobre la ruta que estás usando. La regla es sencilla: prepara una segunda forma de llegar a la máquina antes de renovar su clave. Todo lo demás es preparación para ese momento.

Por qué el comando puede dejarte sin conexión

La clave del dispositivo es lo que permite al nodo unirse al tailnet. Renovarla significa que la clave antigua deja de aceptarse, y el nodo debe completar un inicio de sesión nuevo antes de poder volver. Si tu única sesión va por ese tailnet, la vuelta ocurre sin ti. Un router de subred lo empeora, porque los clientes conservan sus rutas y pierden el camino que hay detrás.

Por eso el orden importa más que el comando en sí. Primero el acceso, después la renovación. Una sesión de consola, una consola serie o un colega en el sitio sirven igual.

Descarta primero otra falla

Confirma que la clave es realmente el problema antes de renovar nada. Revisa la caducidad en la consola de administración y luego el estado del propio dispositivo: si está conectado y qué pares ve. Una clave válida con una ruta rota, un cambio de ACL o un servicio detenido se ven parecidos desde lejos. Una renovación forzada no repara nada de eso.

tailscale status

Si el nodo está en línea y la clave es válida, sigue buscando. La renovación es el último recurso, no una reparación general. Lee la lista de pares además del indicador de en línea, porque un nodo medio conectado sigue informando que está activo.

Renueva con una segunda vía de acceso

Con acceso a la consola o una segunda ruta de administración lista, ejecuta la renovación en el dispositivo. Tailscale documenta para ello la forma force-reauth del comando up, y esta requiere privilegios elevados donde la plataforma los exija. Ejecútalo una vez y observa la salida en lugar de cerrar la sesión. Si el comando corta tu conexión, vuelve a conectar por la segunda ruta y lee el registro local.

sudo tailscale up --force-reauth

Si la clave ya caducó, la consola de administración puede ofrecer una prórroga temporal para dispositivos elegibles. Esa prórroga es una ventana para recuperar el acceso y terminar de iniciar sesión, no un sustituto permanente. Anota la fecha límite que muestra.

Prueba qué sirve realmente el dispositivo

Cuando el dispositivo vuelva a entrar, prueba el servicio para el que existe. Un router debe probarse a través de un recurso que esté detrás, un nodo de salida a través de la ruta de Internet prevista y un servidor normal a través del puerto que realmente usas. Un nodo que aparece en línea no demuestra nada de eso por sí solo. Prueba desde una máquina que no sea el nodo, porque las comprobaciones locales evitan por completo la ruta del tailnet.

tailscale ping 100.101.102.103

Luego anota la política de caducidad de esta máquina. Un conector desatendido y un portátil personal tienen tolerancias distintas, y quien herede el servidor no debería tener que redescubrir cuál de los dos es. Esa nota es la diferencia entre una política documentada y una sorpresa el año que viene. La documentación de Tailscale sobre la caducidad de claves cubre las opciones de renovación y sus límites.