Tailscale Serve of Funnel: wa kin de keppeling echt iepenje?

Beide opdrachten publisearje in lokale tsjinst fia in Tailscale HTTPS-namme, en fan 'e masine dy't se útfiert lykje se hast identyk. It ferskil is wa't de URL dêrnei berikke kin, en dat ferskil bepaalt hokker kontrôles jo applikaasje noch nedich hat. Serve hâldt it publyk binnen it tailnet, Funnel ferpleatst it nei it iepen ynternet. Kies earst it publyk en kies dan it kommando dat dêrby past.

Serve beantwurdet in fraach binnen jo tailnet

Serve proxyet in lokale poarte of tsjinnet lokale ynhâld oan apparaten op jo tailnet, en de tagongsregels fan it tailnet jilde noch foar elk fersyk. In dashboard op poarte 3000 wurdt berikber op in HTTPS-namme dy't allinnich jo apparaten oplosse en mei ferbine kinne. Dat is de juste standert foar ynterne helpmiddelen, om't it publyk al troch it tailnet autentisearre is en jo gjin iepen oerflak tafoegje. De URL liket op in gewoane webside, en dêrom krekt nimme minsken him foar ien.

Serve kin ek identiteitskoppen dy't de tailnet-brûker beskriuwe taheakje oan 'e fersiken dy't er trochstjoert. As jo applikaasje dy koppen as autentikaasje fertrout, byn dan de backend oan localhost, sadat neat oars him direkt berikke kin; in backend dy't op in rûteber adres harket, kin fersiken ûntfange dy't nea troch de proxy gien binne.

Funnel feroaret it publyk nei it iepen ynternet

Funnel publisearret in keazen tsjinst foar elkenien dy't de URL hat, en besikers hawwe de klant, in akkount of lidmaatskip fan jo tailnet net nedich. De boarne hat dêrom de autentikaasje, taryflimitaasje en pleisters nedich dy't jo op elke iepen tsjinst tapasse soene. Iepen fersiken drage net Serve syn tailnet-identiteitskoppen, dus in applikaasje dy't dêrop fertroude hat ûnder Funnel hielendal gjin brûkersidentiteit. In oar publikaasjekommando kieze beantwurdet de autentikaasjefraach net foar jo.

Funnel hat ek beheiningen dy't in hantlieding út in âlder ferzje miskien net neamt. It beëiniget TLS mei in sertifikaat dat Tailscale foar de namme kriget, en it stipet allinnich beskate harkpoarten, sa't de Funnel-dokumintaasje beskriuwt. As jo tsjinst in oar protokol as HTTPS op ien fan dy poarten ferwachtet, is Funnel it ferkearde helpmiddel en gjin konfiguraasjepuzel.

Lês de modus by de klant, net by de poarte

Kontrolearje de hjoeddeistige steat foardat jo wat diele, om't de beide modi op ferskate tiden foar deselde lokale poarte konfigurearre wurde kinne. De statusopdrachten melde wat echt publisearre is en foar wa. Lied it publyk net ôf út it feit dat in URL antwurdet.

tailscale serve status
tailscale funnel status
tailscale status --json | head -40

Opdrachtsyntaksis is oer klantferzjes feroare, dus in kopiearre oprop kin in oare modus kieze as dy't jo bedoelden. Ferken de dokumintearre foarm foar de ferzje dy't jo brûke, en lês de befêstiging dy't de klant printsje ynstee fan dy oan te nimmen. As der sawol in Serve- as in Funnel-konfiguraasje bestiet, is de iepen ien dy't foar bleatstelling fan belang is. Set de konfiguraasje werom dy't jo net bedoelden ynstee fan noch ien derop te lizzen.

Stop en lês de status opnij as de útfier it publyk net neamt. In publisearre URL sûnder neamd publyk is in gissing, en gissings binne hoe't ynterne dashboards op it iepen ynternet belanje.

Test mei it publyk dat jo echt bedoelden

Test fan bûten it tailnet, net fan 'e masine dy't de tsjinst publisearre hat. In fersyk fan in tailnet-apparaat bewissiget dat de proxy wurket; it bewissiget net dat in frjemdling útsletten is. Brûk in netwurk sûnder Tailscale-klant en sûnder rûte yn it tailnet.

curl -sI https://host.tailnet-name.ts.net
curl -sI https://host.tailnet-name.ts.net --resolve host.tailnet-name.ts.net:443:203.0.113.10

Foar in yntern dashboard moat it bûtenfersyk mislearje om te ferbinen of mislearje om te autorisearjen, en it binnenfersyk moat slagje mei de identiteit dy't jo ferwachtsje. Foar in iepen tsjinst moat it bûtenfersyk slagje en moat de applikaasje syn eigen bewizen freegje. Skriuw op hokker fan dy beide útkomsten jo seagen, om't de URL allinnich dat net seit. As it resultaat tsjinoer de bedoeling is, ferwiderje earst de iepen konfiguraasje en ûndersykje dêrnei.

In tsjinst publisearje is ek net deselde beslissing as it kiezen fan in exit node, dy't kontrolearret wêr't jo útgongferkear it netwurk ferlit. Serve en Funnel beantwurdzje wa't eat berikke kin dat jo draaie; in exit node beantwurdet wêr't jo eigen ferbiningen wei lykje te kommen. Hâld de beide fragen apart en de ferliking bliuwt ienfâldich.