Üks Tailscale'i host kättesaamatu: alamosavõrgu ruuter või väljumissõlm?

Üks Tailscale'i host vastab, samal ajal kui teine jääb pimedaks, või kõik töötab seni, kuni avalikud veebisaidid hakkavad teatama valest riigist. Mõlemad kaebused saabuvad kujul „Tailscale on katki“ ja mõlemad on tavaliselt vale konstruktsioon, mis on lubatud vale sihtkoha jaoks. Alamosavõrgu ruuter avab privaatvõrgu tailnetile, samas kui väljumissõlm muudab seda, kust internetiliiklus väljub. Sorteeri esmalt ebaõnnestunud sihtkoht ja vali siis roll, mis selle katab.

Alusta sihtkohast, mis ebaõnnestus

Kirjuta üles aadress või nimi, mis ei töötanud, ja mis tüüpi asi see on. Seade privaatses LAN-is teise asukoha taga, teenus sinu enda segmendis ja avalik veebisait on kolm marsruutimisprobleemi, mis juhtumisi jagavad üht klienti. Erinevus ei ole kosmeetiline, sest kaks konstruktsiooni katavad erinevaid sihtkohtade komplekte. Ühe lubamine ei tee teise jaoks midagi ja see ongi kogu segaduse allikas.

Pööra tähelepanu ka aadressiperekonnale. Ainult IPv4-na teatatud alamvõrk jätab IPv6 sihtkohad kohalikule teele, mis näib osalise rikkena, kuni keegi võrdleb mõlemat marsruutimistabelit. Pane kirja, millist teed sa ootasid, et testil oleks hiljem millelegi vastu vaielda.

Jõua seadmeni, mis ei käivita kunagi Tailscale'i

Ruuter teatab tailnetile konkreetsed vahemikud ja edastab seejärel pakette tailneti ja privaatse segmendi vahel, nii et selle segmendi seadmed ei vaja oma klienti. Kontoris asuva NAS-i kättesaamine kodusest sülearvutist on täpselt see juhtum. Ruuter on ainus tailneti liige sellel küljel.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Teatamine on ainult esimene kolmest tingimusest. Marsruut tuleb tailneti jaoks heaks kiita, klient peab teatatud marsruudid vastu võtma, ja juurdepääsureegel peab ühenduse lubama. Just selle ahela tõttu on sümptom nii sageli see, et ruuter töötab ja NAS mitte. Kättesaadav ruuter tõestab, et tunnel töötab; see ei tõesta midagi kinnitamise, kliendi nõustumise ega poliitika kohta.

Kõik need kolm riket näevad halduskonsoolis erinevad välja. Kontrolli neid järjest, selle asemel et kõiki kolme korraga muuta, sest teine muudatus varjab, milline neist oli oluline.

Saada avalik liiklus välja läbi teise masina

Väljumissõlm suunab sinu üldise internetiliikluse läbi iseenda, mis on teiste VPN-toodete täistunneli lahendusele kõige lähem analoog. See vajab samuti kolme eraldi nõusolekut: seade teatab rolli, administraator lubab selle ja klient valib selle. Tailnetiga liitumine ei saada vaikimisi midagi läbi teise liikme.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

Väljumissõlme valimine ei anna automaatselt juurdepääsu selle enda LAN-ile. LAN-juurdepääsu valik on olemas just seetõttu, et need on erinevad load, ja selle väljalülitatuks jätmine on turvalisem vaikeväärtus. Marsruudid teistele Tailscale'i ressurssidele säilitavad oma käsitluse ka siis, kui väljumissõlm on aktiivne. Seetõttu võib alamvõrgus majutatud teenus edasi töötada, samal ajal kui avalik internetitee on muutunud.

Väljumissõlm muudab ka seda, kuidas internet sind näeb, mitte ainult seda, kui kiire see tundub. Oota, et geolokatsioon, voogedastuskataloogid ja kiiruspiirangud järgivad väljumise aadressi, mitte sinu oma.

Loe kolmeks jagunemist, kui ebaõnnestub ainult üks host

Printer sinu enda segmendis, NAS kaugema alamosavõrgu ruuteri taga ja avalik sait on kolm sihtkohta kolme erineva teega. Kui ebaõnnestub täpselt üks neist, kuulub viga selle sihtkoha teele, mitte kliendile tervikuna. Kohaliku printeri jaoks väljumissõlme kasutamise ajal on tavaline vastus LAN-juurdepääsu seade. Kaugema NAS-i jaoks kontrolli teatatud vahemikku, selle kinnitamise olekut ja juurdepääsureegleid selles järjekorras. Avaliku saidi jaoks kontrolli, milline väljumissõlm on valitud ja kas klient on selle tegelikult vastu võtnud.

Kui aadress töötab ja nimi mitte, lõpeta marsruutide vaatamine. Privaatne DNS seadistatakse eraldi ja vale aadressi lahenduv nimi ebaõnnestub nii, nagu näeb välja blokeeritud marsruut. Testi esmalt aadressi, seejärel nime, ja kaks tulemust ütlevad, millist kihti avada.

Kinnita tee, mille sa arvad end ehitanud olevat

Kontrollimine on marsruudi otsing pluss aadressi kontroll, mitte ping. Otsing ütleb, millist liidest sihtkoht kasutaks, ja aadressi kontroll ütleb, millises vahemikus sihtkoht tegelikult asub. Õnnestunud ping ütleb, et host on kuskil elus, mis ei ole küsimus. Käivita mõlemad enne mis tahes konfiguratsiooni muutmist.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Ühenda see tailneti enda vaatega, mis näitab, kas peer on otse ühendatud või relee kaudu. Relee-tee töötab endiselt ja see selgitab latentsuse kaebusi, millel pole midagi pistmist marsruudiga, mida sa silusid. alamosavõrgu ruuteri dokumentatsioon katab kinnitamise sammu, kui see pole tuttav. Seejärel pane kirja, milline konstruktsioon katab millist sihtkohta sinu enda võrgus, sest järgmine inimene, kes asukoha lisab, küsib sama küsimust.