Le routeur de sous-réseau Tailscale s’est arrêté : vérifiez d’abord la clé de l’appareil

Le téléphone affiche toujours la route de sous-réseau, le tableau de bord liste toujours l’annonce, et rien derrière le routeur ne répond. Cela ressemble à une régression du routage ou du pare-feu, donc le geste naturel est de rajouter le sous-réseau sur le client. Cela ne change généralement rien, car le connecteur a perdu son identité et non sa configuration. Une clé d’appareil expirée laisse la route visible tandis que l’appareil cesse de transmettre.

La route reste et les paquets s’arrêtent

Tailscale traite l’annonce de route et l’autorisation de l’appareil comme des faits distincts. Un routeur de sous-réseau annonce un préfixe, les clients l’acceptent et l’utilisent, et le connecteur transporte le trafic. Quand la clé de l’appareil expire, le nœud ne peut plus s’authentifier auprès du service de coordination, il cesse donc de participer. Les clients peuvent conserver la route dans leur table, car la retirer pourrait envoyer le trafic sur un chemin non prévu. Ce choix de fermer en cas de panne explique le symptôme déroutant : une route qui existe et une destination qui n’existe pas.

L’annonce reste une affirmation vraie sur l’intention. Elle a cessé d’être une affirmation sur la capacité.

Lisez la clé et l’état du connecteur

Confirmez l’état du connecteur avant de modifier un client. Deux sorties séparent l’identité de l’accessibilité.

tailscale status
tailscale ping 100.101.102.103

La sortie d’état marque le routeur comme hors ligne ou expiré et indique quand la clé expire, tandis que le ping vise l’adresse tailnet du nœud lui-même et non un service derrière lui. Un ping qui ne quitte jamais le client et une ligne d’état indiquant expiré sont la même constatation vue de deux directions. Vérifiez si un second appareil utilisant ce routeur échoue au même moment, car une panne partagée désigne le connecteur et une panne isolée l’acceptation de la route par un client. Ne réutilisez pas une adresse tailnet issue de vieilles notes sans la confirmer contre l’état en direct.

Réauthentifiez-vous sans couper votre propre chemin

Le renouvellement rétablit l’identité, mais l’effectuer sur la seule session qui fonctionne peut vous isoler. Gardez d’abord un autre chemin administratif.

tailscale up --force-reauth
tailscale status --self

Sur un nœud avec accès à la console, --force-reauth redémarre le flux de connexion et imprime une URL qu’un compte autorisé doit compléter. Sur un routeur distant, confirmez avant de commencer qu’une console série, une console du fournisseur ou un chemin de gestion hors bande existe, car la session tailnet peut tomber pendant le renouvellement. Après le renouvellement, vérifiez que le nœud est en ligne et que ses routes annoncées sont toujours activées. Rajouter le préfixe sur le client n’est pas une étape de renouvellement et ne peut pas le remplacer.

Décidez de la politique d’expiration pour les appareils sans surveillance

L’expiration de clé existe pour qu’un portable perdu finisse par cesser de fonctionner, et une infrastructure sans surveillance échange cette protection contre la disponibilité. Les administrateurs peuvent désactiver l’expiration pour un appareil précis, ce qui convient à un routeur de confiance dans une armoire de câblage mais exige un inventaire et un plan de retrait. Les appareils étiquetés portent leur propre identité et leur propre comportement d’expiration, donc le réglage d’un portable ne les décrit pas. Examinez l’enregistrement réel de l’appareil au lieu de vous fier à un rappel créé il y a des mois.

Testez ensuite la ressource derrière le routeur, pas seulement le nœud. Une clé renouvelée corrige l’identité, tandis que l’approbation de la route, la politique et le transfert doivent encore fonctionner.