Zergatik iristen den oraindik denbora-mugara onartutako Tailscale azpisare-bide bat

Administrazio-kontsolako onespena azken urratsa dirudi, eta ez da. Lehenengo aplikazioak denbora-muga gainditzen du, eta horren ondoren baino ez duzu aurkitzen bideratzailea linean eta bidea onartuta. Onespena banatzeko urratsa da, ez baimena eta ez birbidaltzearen bermea. Lau fase lerrokatu behar dira pakete bat azpisare-bideratzaile baten atzeko ostalari batera iritsi aurretik, eta bakoitzak arrakasta izan dezake hurrengoak huts egiten duen bitartean. Jarraitu horiek ordenan eta gelditu eusten ez duen lehen fasean.

Lau fase, hutsegite bat

Bideratzaileak aurrizkia iragartzen du, tailnet-ek iragarpen hori onartzen du, bezeroak jasotako bidea onartzen du, eta sarbide-politikak konexio zehatza baimentzen du. Hiru osagai ezberdinek hartutako lau erabaki bereizi dira. Beraz, onartutako bide batek sareak orain tailnet-eko bideratze-taularen parte direla besterik ez du esaten.

Laugarren fasea da gehien saltatzen dena, lehenengo hiruek egoera ikusgai sortzen dutelako. Bideratzailearen tailnet helbide propioa estaltzen duen baimenak ez du automatikoki haren atzeko azpisare pribatu bat estaltzen. Helmuga ezberdinak dira, eta politika helmuga bakoitzeko ebaluatzen da.

Linux-en hirugarren faseak jendea harritzen duen balio lehenetsi bat ere badu: azpisare-bideak onartzea hautazkoa da. GUI bezero batzuek iragarritako bideak lehenespenez onartzen dituzte, beraz flota misto batek makina bat huts egiten erakus dezake gainerakoek funtzionatzen duten bitartean.

Egiaztatu ezarpena huts egiten duen makinan, plataforma suposatu beharrean. Bidea ez zen inoiz funtzionatzen duten makinetan falta zen pieza, beraz utzi haiei tailnet aldea osasuntsu dagoela frogatzen. Tailscale-ren azpisare-bideratzaileen dokumentazioak onespena, bezeroaren bide-onarpena eta politika-fasea hartzen ditu.

Egiaztatu bidea bezeroa exekutatzen den tokian

Hasi huts egiten duen bezeroan, ez bideratzailean. Berretsi bidea badagoela eta bezeroaren ezarpenak bideak onartzea baimentzen duela.

tailscale status
tailscale debug prefs | grep -i route
ip route get 10.20.0.42

Lehenengo komandoak pareen zerrenda eta azpisare-bideratzailea irisgarria den erakusten ditu, bigarrenak bezeroaren ezarpenak inprimatzen ditu bide-onarpenaren bandera barne, eta hirugarrenak nukleoari galdetzen dio zein interfaze erabiliko lukeen azpisareko benetako ostalari batentzat. Azken komando horrek interfaze fisikoa aipatzen badu Tailscale-ren interfazearen ordez, bidea ez zen inoiz taulara iritsi. Falta den bidea bezeroaren aldeko arazoa da, ez onespenarena. Konpondu politika begiratu aurretik.

Linux-en bideak onartzeko, berriz konektatu banderarekin ezarrita dagoela suposatu beharrean: tailscale up --accept-routes. Banderara ezberdinekin elkartu zen bezeroak horiek gordetzen ditu aldatu arte, beraz egiaztatu uneko ezarpena beste bat gehitu aurretik. Aldaketaren ondoren lehen komandoa berriro exekutatzen baduzu, bidea taulan agertu beharko litzateke.

Frogatu birbidalketa eta itzulera-bidea

Onespenak ez du bideratzailea paketeak birbidaltzeko konfiguratzen, eta ez du erantzuna antolatzen. Biak bideratzailearen LAN aldeko ostalari mailako kontuak dira. Probatu horiek bideratzailean, ez bezeroan.

sysctl net.ipv4.ip_forward
iptables -t nat -L POSTROUTING -n -v
tcpdump -ni any host 10.20.0.42 and port 443

Lehen komandoak 1 jakinarazi behar du, bestela nukleoak birbidalitako paketea baztertuko du. Bigarrenak azpisare-bidearen maskaratzeak iturburua berridazten duen erakusten du, hau da, portaera lehenetsia eta normalean nahi duzuna. Hirugarrenak eskaerak helmugara iristen den eta zerbait itzultzen den erakusten du; erantzunik gabeko eskaera itzulera-bideko arazoa da, ez onespenarena. Irakurri hiru emaitzak elkarrekin horietako edozein aldatu aurretik.

Maskaratzea desgaitu bada, helmugako sareak tailnet helbideetarako itzulera-bide bat behar du, eta tartean dagoen jauzi bakoitzak hori jakin behar du. Maskaratzea berriro piztea zerbitzu bakar baterako konponbide azkarrena da, bezeroaren jatorrizko helbidea helmugatik ezkutatzearen truke. Truke horrek garrantzia du helmugak iturburu-helbideak auditoriarako erregistratzen dituenean, beraz erabaki kontzienteki bandera gertakari batean zehar aldatzearen ordez. Dokumentatu zein aukera egin zenuen, hurrengo pertsonak bi portaeretatik bakarra ikusiko baitu.

Irakurri baliabidearen sarbide-araua

Bidea present eta birbidalketa frogatuta, gainerako susmagarria politika da. Irakurri konexioa baimentzeko uste den baimena eta egiaztatu haren helmuga, ez soilik iturburua. Bezeroaren identitatea ere politikako hautatzailearekin bat etorri behar da, beraz jaso ezazu huts egiten duen makinatik bertatik.

tailscale status --json | head -40
tailscale ping <router-name-or-tailnet-ip>
ping -c 3 10.20.0.42

Egoeraren irteerak bezeroaren helbide propioak eta ikusten dituen pareak identifikatzen ditu, eta horiekin bat etorri behar du politikako iturburu-hautatzaileak. tailscale ping tailnet-eko bidea frogatzen du azpisare-bideratzaileareneraino; pare-izenak eta tailnet helbideak ebazten ditu, ez iragarritako azpisare baten barneko ostalariak. Hirugarren komandoak ICMP oihartzun arrunta bidaltzen du azpisare-bidetik, beraz haren emaitzak helmuga deskribatzen du, ez bideratzailea. Tailnet mailako ukapen bat ukatze gisa itzultzen da normalean, eta irten eta inoiz itzultzen ez den paketea denbora-mugara iristen da.

Huts egiten duen izen bat huts egiten duen helbide batetik ezberdina den galdera da; ebatzi ostalaria zuzenean bideari errua bota aurretik. Idatzi baimena baliabidearen benetako beharraren arabera, ez azpisare osoaren arabera. Aplikazio bat funtziona dezan /24 oso bat irekitzea da eskaera estua inork gero kentzera ausartzen ez duen baimen zabal bihurtzen den modua.

Helburua interneteko irteera bazen eta ez azpisare pribatu bat, osagai zuzena irteera-nodo bat da, ez azpisare-bideratzaile bat, eta politika eta bideratzea horren arabera ezberdintzen dira. Egiazta ezazu erabaki hori baimen bat zabaldu aurretik. Irteera-nodo batek bide lehenetsia aldatzen du; azpisare-bideratzaile batek aurrizki bat besterik ez du iragartzen.