Egy Tailscale-gazdagép elérhetetlen: alhálózati útválasztó vagy kimeneti csomópont?

Az egyik Tailscale-gazdagép válaszol, a másik sötétben marad, vagy minden működik addig, amíg a nyilvános webhelyek elkezdenek rossz országot jelenteni. Mindkét panasz így érkezik: „a Tailscale elromlott”, és mindkettő általában a rossz célhoz bekapcsolt rossz konstrukció. Az alhálózati útválasztó egy magánhálózatot tesz elérhetővé a tailnet számára, míg a kimeneti csomópont megváltoztatja, honnan lép ki az internetforgalom. Először rendezd a hibás célt, aztán válaszd ki azt a szerepet, amely lefedi.

A hibás célnál kezdd

Írd fel a címet vagy nevet, amely nem működött, és hogy miféle dologról van szó. Egy eszköz egy másik telephely mögötti magán LAN-on, egy szolgáltatás a saját szegmenseden és egy nyilvános webhely három útválasztási probléma, amelyek véletlenül egy ügyfelet osztanak meg. A különbség nem kozmetikai, mert a két konstrukció különböző célhalmazokat fed le. Az egyik bekapcsolása semmit nem tesz a másikért, és ez a zavarodás teljes forrása.

A címcsaládra is figyelj. Egy csak IPv4-ként hirdetett alhálózat a helyi útvonalon hagyja az IPv6-célokat, ami részleges hibának látszik, amíg valaki össze nem hasonlítja a két útválasztási táblát. Jegyezd fel, milyen útvonalat vártál, hogy a tesztnek később legyen mit cáfolnia.

Érj el egy eszközt, amely soha nem futtat Tailscale-t

Az útválasztó meghatározott tartományokat hirdet a tailnetnek, majd csomagokat továbbít a tailnet és a magán szegmens között, így azon a szegmensen lévő eszközöknek nem kell saját ügyfél. Az irodai NAS elérése otthoni laptopról pontosan ez az eset. Az útválasztó az egyetlen tailnet-tag azon az oldalon.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

A hirdetés csak az első a három feltételből. Az útvonalat jóvá kell hagyni a tailnet számára, az ügyfélnek el kell fogadnia a hirdetett útvonalakat, és egy hozzáférési szabálynak engedélyeznie kell a kapcsolatot. Ez a lánc az oka, hogy a tünet olyan gyakran az, hogy az útválasztó fut, a NAS pedig nem. Egy elérhető útválasztó bizonyítja, hogy az alagút működik; semmit nem bizonyít a jóváhagyásról, az ügyfél elfogadásáról vagy a szabályzatról.

A három hiba mindegyike máshogy néz ki az adminisztrációs konzolon. Sorrendben ellenőrizd őket, ne egyszerre változtasd mind a hármat, mert egy második változtatás elrejti, melyik számított.

Vidd ki a nyilvános forgalmat egy másik gépen keresztül

A kimeneti csomópont a saját magán keresztül irányítja az általános internetforgalmadat, ami a legközelebbi megfelelője a más VPN-termékek teljes alagútjának. Ennek is három külön hozzájárulás kell: az eszköz hirdeti a szerepet, egy adminisztrátor engedélyezi, és az ügyfél kiválasztja. A tailnethez csatlakozás alapértelmezés szerint semmit nem küld egy másik tagon keresztül.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

A kimeneti csomópont kiválasztása nem ad automatikusan hozzáférést a saját LAN-jához. A LAN-hozzáférés opció éppen azért létezik, mert ezek külön engedélyek, és kikapcsolva hagyni a biztonságosabb alapértelmezés. A más Tailscale-erőforrások felé vezető útvonalak megtartják saját kezelésüket akkor is, amikor a kimeneti csomópont aktív. Ezért az alhálózaton üzemeltetett szolgáltatás tovább működhet, miközben a nyilvános internetútvonal megváltozott.

A kimeneti csomópont azt is megváltoztatja, hogyan lát téged az internet, nem csak azt, hogy milyen gyorsnak tűnik. Számíts arra, hogy a geolokáció, a streamingkatalógusok és a sebességkorlátok a kimenet címét követik, nem a tiédet.

Olvasd el a hármas felosztást, amikor csak egy gazdagép hibázik

Egy nyomtató a saját szegmenseden, egy NAS egy távoli alhálózati útválasztó mögött és egy nyilvános oldal három cél három különböző útvonallal. Ha közülük pontosan egy hibázik, a hiba annak a célnak az útvonaláé, nem az ügyfélé egészében. A helyi nyomtatóhoz, miközben kimeneti csomópont van használatban, a LAN-hozzáférés beállítás a szokásos válasz. A távoli NAS-hoz ellenőrizd a hirdetett tartományt, annak jóváhagyási állapotát és a hozzáférési szabályokat ebben a sorrendben. Egy nyilvános oldalhoz ellenőrizd, melyik kimeneti csomópont van kiválasztva, és hogy az ügyfél valóban elfogadta-e.

Ha a cím működik és a név nem, hagyd abba az útvonalak nézegetését. A privát DNS külön van beállítva, és a rossz címre feloldódó név ugyanúgy hibázik, ahogy egy blokkolt útvonal látszik. Először a címet teszteld, aztán a nevet, és a két eredmény megmondja, melyik réteget nyisd ki.

Erősítsd meg az útvonalat, amelyet építettél

Az ellenőrzés útvonal-keresés plusz címellenőrzés, nem ping. A keresés megmondja, melyik interfészt használná egy cél, a címellenőrzés pedig megmondja, melyik tartományban él valójában a cél. Egy sikeres ping azt mondja, hogy a gazdagép valahol él, ami nem a kérdés. Mindkettőt futtasd, mielőtt bármilyen konfigurációt módosítasz.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Egészítsd ki a tailnet saját nézetével, amely megmutatja, hogy a peer közvetlenül kapcsolódik vagy relén keresztül. A relén át vezető útvonal is működik, és ez magyarázza azokat a késleltetési panaszokat, amelyeknek semmi közük ahhoz az útvonalhoz, amelyet hibakeresél. Az alhálózati útválasztó dokumentációja lefedi a jóváhagyási lépést, ha nem ismerős. Utána írd fel, melyik konstrukció melyik célt fedi le a saját hálózatodban, mert a következő ember, aki telephelyet ad hozzá, ugyanezt a kérdést fogja feltenni.