Ien Tailscale-host ûnberikber: subnetrûter of útgongsknooppunt?

Ien Tailscale-host antwurdet wylst in oare tsjuster bliuwt, of alles wurket oant iepenbiere websiden it ferkearde lân begjinne te melden. Beide klachten komme as „Tailscale is stikken“, en beide binne meastentiids de ferkearde konstruksje oan set foar de ferkearde bestimming. In subnetrûter stelt in partikulier netwurk bleat oan it tailnet, wylst in útgongsknooppunt feroaret wêr't it ynternetferkear fuortgiet. Sortearje earst de bestimming dy't mislearret, kies dan de rol dy't dy dekt.

Begjin by de bestimming dy't mislearre

Skriuw it adres of de namme op dy't net wurke, en hokker soart ding it is. In apparaat op in partikulier LAN efter in oare lokaasje, in tsjinst op dyn eigen segmint en in iepenbiere webside binne trije routingproblemen dy't tafallich ien klant diele. It ûnderskied is net kosmetysk, om't de twa konstruksjes ferskate sets bestimmingen dekke. Ien ynskeakelje docht neat foar de oare, en dat is de hiele boarne fan 'e betizing.

Merk ek de adresfamylje op. In subnet dat allinich as IPv4 oankundige wurdt, lit IPv6-bestimmingen op it lokale paad, wat as in partiaal mislearjen liedt oant immen beide routingtabellen ferliket. Skriuw op hokker paad do tochtst dat it wêze soe, sadat de test letter wat hat om tsjin te sprekken.

Berik in apparaat dat nea Tailscale draait

De rûter kundiget spesifike berikken oan it tailnet oan en stjoert dan pakketten troch tusken it tailnet en it partikuliere segmint, sadat de apparaten op dat segmint gjin eigen klant nedich hawwe. In NAS op kantoar berikke fan in laptop thús is krekt dit gefal. De rûter is it iennige lid fan it tailnet oan dy kant.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Oankundigjen is mar de earste fan trije betingsten. De rûte moat foar it tailnet goedkard wurde, de klant moat oankundige rûtes akseptearje, en in tagongsregel moat de ferbining tastean. Dy ketting is de reden dat it symptoom sa faak is dat de rûter oan is en de NAS net. In berikbere rûter bewissiget dat de tunnel wurket; it bewissiget neat oer goedkarring, klantakseptaasje of belied.

Elk fan dy trije mislearrings sjocht der oars út yn 'e behearkonsole. Kontrolearje se yn folchoarder ynstee fan alle trije tagelyk te feroarjen, om't in twadde feroaring ferberget hokker fan belang wie.

Stjoer iepenbier ferkear troch in oare masine nei bûten

In útgongsknooppunt rûtearret dyn algemiene ynternetferkear troch himsels, wat de tichtste analoog is fan 'e foltunnel-opset yn oare VPN-produkten. It hat ek trije aparte tastimmings nedich: it apparaat kundiget de rol oan, in behearder lit it ta, en de klant selektearret it. Lid wurde fan in tailnet stjoert standert neat troch in oar lid.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

It selektearjen fan in útgongsknooppunt jout net automatysk tagong ta syn eigen LAN. De LAN-tagongsopsje bestiet krekt om't dat ferskate tastimmingen binne, en it út litten is de feiliger standert. Rûtes nei oare Tailscale-boarnen hâlde har eigen behanneling sels wylst in útgongsknooppunt aktyf is. Dêrom kin in tsjinst dy't op in subnet host wurdt, trochwurkje wylst it iepenbiere ynternetpaad feroare is.

In útgongsknooppunt feroaret ek hoe't it ynternet dy sjocht, net allinnich hoe fluch it fielt. Ferwachtsje dat geolokaasje, streamingkatalogussen en snelheidslimiten it adres fan 'e útgong folgje ynstee fan dat fan dy.

Lês de trijedieling as mar ien host mislearret

In printer op dyn eigen segmint, in NAS efter in ôfstân-subnetrûter en in iepenbiere side binne trije bestimmingen mei trije ferskate paden. As krekt ien fan harren mislearret, heart it defekt by it paad fan dy bestimming en net by de klant as gehiel. Foar de lokale printer wylst in útgongsknooppunt brûkt wurdt, is de LAN-tagongsynstelling it gewoane antwurd. Foar de ôfstân-NAS kontrolearje it oankundige berik, syn goedkarringsstatus en de tagongsregels yn dy folchoarder. Foar in iepenbiere side kontrolearje hokker útgongsknooppunt selektearre is en oft de klant it echt akseptearre hat.

As it adres wurket en de namme net, stopje dan mei nei rûtes te sjen. Partikulier DNS wurdt apart konfigurearre, en in namme dy't nei it ferkearde adres oplost, mislearret op in manier dy't identyk liket op in blokkearre rûte. Test earst it adres, dan de namme, en de twa resultaten fertelle dy hokker laach te iepenjen.

Befêstigje it paad datst tochtst datst boud hast

Ferifikaasje is in rûtesykjen plus in adreskontrôle, gjin ping. It sykjen fertelt hokker interface in bestimming brûke soe, en de adreskontrôle fertelt yn hokker berik de bestimming eins wennet. In ping dy't slagget, seit dat de host earne libbet, wat net de fraach is. Ried beide foardatst in konfiguraasje feroarest.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Kombinearje dat mei de eigen werjefte fan it tailnet, dy't lit sjen oft de peer direkt ferbûn of trochstjoerd is. In trochstjoerd paad wurket noch, en dat ferklearret klachten oer fertraging dy't neat te meitsjen hawwe mei de rûte dy'tst oan it debuggen wiest. De dokumintaasje fan de subnetrûter dekt de goedkarringsstap as dy net fertroud is. Skriuw dan op hokker konstruksje hokker bestimming foar dyn eigen netwurk dekt, want de folgjende persoan dy't in lokaasje tafoeget, sil deselde fraach stelle.