משתמשים בצומת יציאה של Tailscale? שמרו על הגישה ל-LAN המקומי

המדפסת עבדה לפני שהפעילו את צומת היציאה, ועכשיו המחשב הנייד לא רואה אותה. בחירת צומת יציאה משנה את נתיב ברירת המחדל, ולכן הלקוח מפסיק לשלוח תעבורת תת-רשת מקומית דרך הממשק הפיזי. זו ההתנהגות המתוכננת, לא כשל בגילוי. הגדרה מתועדת אחת משחזרת את הרשת הסמוכה, והעבודה היא להבין בדיוק איזו רשת היא משחזרת.

למה המדפסת נעלמת כשצומת היציאה נדלק

צומת יציאה מכריז על עצמו כנתיב לתעבורת האינטרנט. הלקוח שלכם מפנה את נתיב ברירת המחדל שלו אל הצומת, והצומת מעביר את החבילות הלאה, כך שכל מה שיצא בעבר דרך ה-Wi-Fi של בית הקפה יוצא עכשיו דרך הקצה המרוחק. יעדים מקומיים אינם מוחרגים כברירת מחדל. לכן התקן באותה רשת Wi-Fi נעשה בלתי נגיש, אף שהמחשב הנייד עדיין משויך לאותה רשת.

החבילות מנותבות אל המנהרה ויוצאות בצד המרוחק, שבו ה-LAN הזה אינו קיים. פרוטוקולי הגילוי נכשלים ראשונים כי הם תלויים בשידור או בשידור מרובה שלא יחצה את נתיב היציאה. ואז תור הדפסה שמור נכשל באופן שנראה כמו מנהל התקן שבור.

ההגדרה משחזרת את ה-LAN שליד המחשב הנייד

הגדרת הרשת המקומית עוסקת ברשת שליד הלקוח, לא ברשת שמאחורי צומת היציאה. אם המחשב הנייד נמצא ב-Wi-Fi של בית הקפה וצומת היציאה נמצא בבית, ההגדרה משחזרת גישה להתקנים בצד של בית הקפה. היא אינה פותחת את ה-LAN הביתי ואינה יוצרת נתיב למשרד. התיעוד של צומת היציאה מכנה את --exit-node-allow-lan-access כמתג; העבירו אותו דרך tailscale set או tailscale up, לפי מה שהגדרת הלקוח שלכם משתמשת בו.

הפעילו אותה כשיש ברשת הסמוכה משאב שאתם באמת צריכים. ברשת אורחים, שאלו אם בכלל שווה להגיע למשהו מקומי.

ההגדרה לא הופכת התקנים סמוכים לאמינים, והיא לא עוקפת את בקרות הגישה שלהם. מדפסת שמקבלת עבודות מכל בית הקפה נשארת מדפסת שמקבלת עבודות מכל בית הקפה. התייחסו להגדרה כנוחות ניתוב, לא כגבול אבטחה.

הגעה למשרד מרוחק היא מנגנון אחר

כדי להגיע ל-NAS ביתי שלא מריץ Tailscale צריך נתב תת-רשת. ההתקן הזה מכריז על הקידומת הפרטית ב-tailnet, ולכן מנהל חייב לאשר את הנתיב לפני שלקוחות יכולים להשתמש בו. לצומת היציאה אין שום תפקיד בנתיב הזה.

להתקן שמריץ Tailscale בעצמו כבר יש כתובת tailnet. הוא לא צריך את הגדרת ה-LAN, והפעלת ההגדרה לא תגרום לו להופיע.

הפרידו בין שלושת המנגנונים. צומת יציאה משנה לאן הולכת תעבורת האינטרנט, נתב תת-רשת מרחיב את הנגישות לקידומת פרטית, וגישה לרשת המקומית משחזרת את ה-LAN הפיזי שהמחשב הנייד מחובר אליו. ערבוב שלהם יוצר תצורה שנראית נכונה ולא מנתבת דבר. רשמו איזה מהם אתם משנים לפני שאתם משנים.

בדקו את הכתובת לפני רשימת הגילוי

לאחר הפעלת הגישה המקומית, בדקו את ההתקן לפי כתובת ופורט ולא דרך תפריט גילוי. רשימת מדפסות ריקה אינה בדיקה מלאה, כי הגילוי עלול להיכשל מסיבות שאינן קשורות לנגישות unicast. התחילו בכתובת ובשירות שאתם צריכים.

tailscale status
ping -c 2 192.168.1.50
nc -vz 192.168.1.50 9100

קראו את שלושת הפלטים לפי הסדר. tailscale status מראה אם הלקוח עדיין בחר את צומת היציאה, ה-ping מוכיח שהכתובת נגישה, ובדיקת הפורט מוכיחה שהשירות מאזין. אם הכתובת עובדת ושם המארח השמור לא, הבעיה היא ברזולוציית שמות. אם אף אחד מהם לא עובד, בדקו את הנתיב הנבחר, את השירות של היעד ואת חומת האש שלו לפני שתשנו שוב את הלקוח.

החליטו לכל רשת, ואז בדקו שוב אחרי שינוי

הפעילו גישה מקומית ברשתות שבהן אתם סומכים על השכנים וצריכים את המשאב. השאירו אותה כבויה ברשתות לא מהימנות שבהן המטרה היחידה היא יציאה ציבורית. ההגדרה עוקבת אחרי הרשת, ולכן מחשב נייד שעובר בין LAN ביתי לבית קפה צריך תשובה מודעת לכל אחד.

בדקו שוב את המשאב בכל פעם שהרשת או צומת היציאה הנבחר משתנים. גלישה ציבורית ונגישות מקומית הן שתי בדיקות נפרדות, ומדפסת שמגיבה לא אומרת דבר על הנתיב שהדפדפן שלכם עבר בו. רשמו איזו הגדרה פעילה לאיזו רשת, כדי ששינוי מאוחר לא יבטל אותה בשקט. שורה בפרופיל מונעת חזרה על אותו כרטיס.