Yksi Tailscale-isäntä tavoittamattomissa: aliverkon reititin vai poistumissolmu?

Yksi Tailscale-isäntä vastaa, kun toinen jää pimeäksi, tai kaikki toimii siihen asti, kunnes julkiset verkkosivut alkavat ilmoittaa väärän maan. Molemmat valitukset tulevat muodossa „Tailscale on rikki“, ja molemmat ovat yleensä väärä rakenne, joka on otettu käyttöön väärälle kohteelle. Aliverkon reititin paljastaa yksityisen verkon tailnetille, kun taas poistumissolmu muuttaa sitä, mistä internetyhteysliikenne lähtee. Lajittele ensin epäonnistunut kohde ja valitse sitten rooli, joka kattaa sen.

Aloita kohteesta, joka epäonnistui

Kirjoita ylös osoite tai nimi, joka ei toiminut, ja millaisesta asiasta on kyse. Laite yksityisessä LAN-verkossa toisen toimipisteen takana, palvelu omassa segmentissäsi ja julkinen verkkosivusto ovat kolme reititysongelmaa, jotka sattuvat jakamaan yhden asiakkaan. Ero ei ole kosmeettinen, koska kaksi rakennetta kattavat eri kohdejoukot. Toisen ottaminen käyttöön ei tee mitään toiselle, ja siinä on koko sekavuuden lähde.

Huomioi myös osoiteperhe. Vain IPv4:nä ilmoitettu aliverkko jättää IPv6-kohteet paikalliselle polulle, mikä näyttää osittaiselta vialta, kunnes joku vertaa molempia reititystaulukoita. Kirjaa, millaisen polun odotit, jotta testillä on myöhemmin jotain kiistettävää.

Tavoita laite, joka ei koskaan aja Tailscalea

Reititin ilmoittaa tietyt alueet tailnetille ja välittää sitten paketteja tailnetin ja yksityisen segmentin välillä, joten kyseisen segmentin laitteet eivät tarvitse omaa asiakasta. Toimiston NASin tavoittaminen kotoa kannettavalta on täsmälleen tämä tapaus. Reititin on ainoa tailnetin jäsen sillä puolella.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Ilmoitus on vain ensimmäinen kolmesta ehdosta. Reitti on hyväksyttävä tailnetille, asiakkaan on hyväksyttävä ilmoitetut reitit, ja käyttösäännön on sallittava yhteys. Juuri tämä ketju on syy siihen, että oire on niin usein se, että reititin on käynnissä eikä NAS. Tavoittava reititin todistaa, että tunneli toimii; se ei todista mitään hyväksynnästä, asiakkaan suostumuksesta tai käytännöstä.

Kukin noista kolmesta viasta näyttää hallintakonsolissa erilaiselta. Tarkista ne järjestyksessä sen sijaan, että muutat kaikkia kolmea kerralla, koska toinen muutos kätkee, millä oli merkitystä.

Lähetä julkinen liikenne ulos toisen koneen kautta

Poistumissolmu reitittää yleisen internetyhteysliikenteesi itsensä kautta, mikä on lähin vastine muiden VPN-tuotteiden täystunnelijärjestelylle. Sekin tarvitsee kolme erillistä suostumusta: laite ilmoittaa roolin, ylläpitäjä sallii sen ja asiakas valitsee sen. Tailnetiin liittyminen ei lähetä mitään toisen jäsenen kautta oletuksena.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

Poistumissolmun valitseminen ei anna automaattisesti pääsyä sen omaan LAN-verkkoon. LAN-käyttöasetus on olemassa juuri siksi, että kyse on eri käyttöoikeuksista, ja sen pois jättäminen on turvallisempi oletus. Reitit muihin Tailscale-resursseihin säilyttävät oman käsittelynsä, vaikka poistumissolmu olisi aktiivinen. Siksi aliverkossa isännöity palvelu voi jatkaa toimintaa, vaikka julkinen internetpolku on muuttunut.

Poistumissolmu muuttaa myös sitä, miten internet näkee sinut, ei vain sitä, miltä nopeus tuntuu. Odota, että geopaikannus, suoratoistoluettelot ja nopeusrajoitukset seuraavat poistumisen osoitetta eivätkä sinun.

Lue kolmijako, kun vain yksi isäntä epäonnistuu

Tulostin omassa segmentissäsi, NAS etäisen aliverkon reitittimen takana ja julkinen sivusto ovat kolme kohdetta, joilla on kolme eri polkua. Jos täsmälleen yksi niistä epäonnistuu, vika kuuluu kyseisen kohteen polulle eikä asiakkaalle kokonaisuutena. Paikalliselle tulostimelle poistumissolmua käytettäessä tavallinen vastaus on LAN-käyttöasetus. Etäiselle NASille tarkista ilmoitettu alue, sen hyväksyntätila ja käyttösäännöt siinä järjestyksessä. Julkiselle sivustolle tarkista, mikä poistumissolmu on valittu ja onko asiakas todella hyväksynyt sen.

Jos osoite toimii eikä nimi, lopeta reittien katselu. Yksityinen DNS määritetään erikseen, ja väärään osoitteeseen ratkeava nimi epäonnistuu tavalla, joka näyttää identtiseltä estetyltä reitiltä. Testaa ensin osoite ja sitten nimi, ja kaksi tulosta kertovat, mikä kerros avata.

Vahvista polku, jonka luulet rakentaneesi

Varmennus on reittihaku plus osoitetarkistus, ei ping. Haku kertoo, mitä liitäntää kohde käyttäisi, ja osoitetarkistus kertoo, missä alueessa kohde todella sijaitsee. Onnistunut ping kertoo, että isäntä on elossa jossain, mikä ei ole kysymys. Aja molemmat ennen kuin muutat mitään asetuksia.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Yhdistä se tailnetin omaan näkymään, joka näyttää, onko vertaisesa suoraan yhteydessä vai välityksen kautta. Välityspolku toimii edelleen, ja se selittää viivevalitukset, joilla ei ole mitään tekemistä sen reitin kanssa, jota olit selvittämässä. aliverkon reitittimen dokumentaatio kattaa hyväksyntävaiheen, jos se ei ole tuttu. Kirjaa sitten, mikä rakenne kattaa minkä kohteen omassa verkossasi, koska seuraava henkilö, joka lisää toimipisteen, kysyy saman kysymyksen.