Autentikasi ulang perangkat Tailscale jarak jauh dengan aman

Jika Anda memaksakan login Tailscale baru di server jarak jauh, koneksi ke tailnet dapat terputus sebelum perangkat selesai masuk kembali. Ini bukan bug pada perintahnya; operasi berjalan persis seperti yang dirancang pada jalur yang Anda pakai. Aturannya sederhana: siapkan jalan kedua ke mesin itu sebelum memperbarui kuncinya. Semua hal lain adalah persiapan untuk momen itu.

Mengapa perintah itu bisa memutus Anda

Kunci perangkat adalah yang membuat node dapat bergabung ke tailnet. Memperbaruinya berarti kunci lama tidak lagi diterima, dan node harus menyelesaikan login baru sebelum bisa kembali. Jika satu-satunya sesi Anda berjalan lewat tailnet itu, kembalinya terjadi tanpa Anda. Router subnet memperburuk ini, karena klien mempertahankan rutenya dan kehilangan jalur di belakangnya.

Karena itu urutannya lebih penting daripada perintahnya sendiri. Akses dulu, pembaruan kemudian. Sesi konsol, konsol serial, atau kolega di lokasi semuanya dihitung.

Singkirkan dulu gangguan lain

Pastikan kuncinya benar-benar masalah sebelum memperbarui apa pun. Periksa masa berlaku di konsol admin, lalu status perangkat itu sendiri: apakah terhubung dan peer mana yang dilihatnya. Kunci valid dengan rute rusak, perubahan ACL, atau layanan yang berhenti terlihat serupa dari jauh. Pembaruan paksa tidak memperbaiki satu pun dari itu.

tailscale status

Jika node online dan kuncinya valid, teruslah mencari. Pembaruan adalah upaya terakhir, bukan perbaikan umum. Baca daftar peer sama seperti indikator online, karena node yang setengah terhubung tetap melaporkan dirinya aktif.

Perbarui dengan jalur akses kedua

Dengan akses konsol atau jalur manajemen kedua siap, jalankan pembaruan di perangkat. Tailscale mendokumentasikan bentuk force-reauth dari perintah up untuk tujuan ini, dan itu memerlukan hak istimewa yang ditinggikan di tempat platform memerlukannya. Jalankan sekali dan amati keluarannya alih-alih menutup sesi. Jika perintah memutus koneksi Anda, sambungkan lagi lewat jalur kedua dan baca log lokal.

sudo tailscale up --force-reauth

Jika kuncinya sudah kedaluwarsa, konsol admin dapat menawarkan perpanjangan sementara untuk perangkat yang memenuhi syarat. Perpanjangan itu adalah jendela untuk mendapatkan akses kembali dan menyelesaikan login, bukan pengganti permanennya. Catat tenggat yang ditampilkannya.

Uji apa yang sebenarnya dilayani perangkat

Setelah perangkat bergabung lagi, uji layanan yang menjadi alasan keberadaannya. Router harus diuji melalui sumber daya di belakangnya, node keluar melalui jalur internet yang dimaksudkan, dan server biasa melalui port yang benar-benar Anda pakai. Node yang tampil online tidak membuktikan satu pun dari itu dengan sendirinya. Ujilah dari mesin yang bukan node, karena pemeriksaan lokal sepenuhnya melewati jalur tailnet.

tailscale ping 100.101.102.103

Lalu catat kebijakan kedaluwarsa untuk mesin ini. Konektor tanpa pengawasan dan laptop pribadi memiliki toleransi berbeda, dan orang yang mewarisi server tidak seharusnya harus menemukan lagi yang mana di antara keduanya. Catatan itu adalah perbedaan antara kebijakan yang terdokumentasi dan kejutan tahun depan. Dokumentasi Tailscale tentang kedaluwarsa kunci mencakup opsi pembaruan dan batasannya.