Satu host Tailscale tidak terjangkau: router subnet atau exit node?

Satu host Tailscale menjawab sementara yang lain tetap gelap, atau semuanya berjalan sampai situs web publik mulai melaporkan negara yang salah. Kedua keluhan datang sebagai „Tailscale rusak“, dan keduanya biasanya konstruksi yang salah diaktifkan untuk tujuan yang salah. Router subnet mengekspos jaringan privat ke tailnet, sedangkan exit node mengubah dari mana lalu lintas internet keluar. Urutkan dulu tujuan yang gagal, lalu pilih peran yang mencakupnya.

Mulai dari tujuan yang gagal

Catat alamat atau nama yang tidak berfungsi, dan jenis benda apa itu. Perangkat di LAN privat di belakang situs lain, layanan di segmen Anda sendiri, dan situs web publik adalah tiga masalah routing yang kebetulan berbagi satu klien. Perbedaannya bukan kosmetik, karena kedua konstruksi mencakup kumpulan tujuan yang berbeda. Mengaktifkan yang satu tidak melakukan apa pun untuk yang lain, dan itulah seluruh sumber kebingungan.

Perhatikan juga keluarga alamat. Subnet yang diumumkan hanya sebagai IPv4 membiarkan tujuan IPv6 di jalur lokal, yang terbaca sebagai kegagalan sebagian sampai seseorang membandingkan kedua tabel routing. Catat jalur seperti apa yang Anda harapkan, agar pengujian nanti punya sesuatu untuk dibantah.

Jangkau perangkat yang tidak pernah menjalankan Tailscale

Router mengumumkan rentang tertentu ke tailnet, lalu meneruskan paket antara tailnet dan segmen privat, sehingga perangkat di segmen itu tidak perlu klien sendiri. Menjangkau NAS di kantor dari laptop di rumah persis kasus ini. Router adalah satu-satunya anggota tailnet di sisi itu.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Pengumuman hanyalah syarat pertama dari tiga. Rute harus disetujui untuk tailnet, klien harus menerima rute yang diumumkan, dan aturan akses harus mengizinkan koneksi. Rantai itulah sebabnya gejalanya begitu sering berupa router hidup dan NAS tidak. Router yang bisa dijangkau membuktikan terowongan berfungsi; itu tidak membuktikan apa pun tentang persetujuan, penerimaan klien, atau kebijakan.

Ketiga kegagalan itu terlihat berbeda di konsol admin. Periksa berurutan alih-alih mengubah ketiganya sekaligus, karena perubahan kedua menyembunyikan mana yang penting.

Keluarkan lalu lintas publik melalui mesin lain

Exit node merutekan lalu lintas internet umum Anda melalui dirinya sendiri, yang merupakan analog terdekat dengan pengaturan terowongan penuh di produk VPN lain. Ia juga memerlukan tiga persetujuan terpisah: perangkat mengumumkan peran, administrator mengizinkannya, dan klien memilihnya. Bergabung dengan tailnet tidak mengirim apa pun melalui anggota lain secara default.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

Memilih exit node tidak otomatis memberi akses ke LAN-nya sendiri. Opsi akses LAN ada justru karena itu izin yang berbeda, dan membiarkannya mati adalah default yang lebih aman. Rute ke sumber daya Tailscale lain tetap ditangani sendiri bahkan saat exit node aktif. Karena itulah layanan yang dihosting di subnet bisa tetap berjalan sementara jalur internet publik telah berubah.

Exit node juga mengubah bagaimana internet melihat Anda, bukan hanya seberapa cepat rasanya. Perkirakan geolokasi, katalog streaming, dan batas laju mengikuti alamat exit, bukan alamat Anda.

Baca pembagian tiga arah saat hanya satu host gagal

Printer di segmen Anda, NAS di belakang router subnet jarak jauh, dan situs publik adalah tiga tujuan dengan tiga jalur berbeda. Jika tepat satu di antaranya gagal, cacatnya milik jalur tujuan itu, bukan milik klien secara keseluruhan. Untuk printer lokal saat exit node digunakan, setelan akses LAN adalah jawaban yang biasa. Untuk NAS jarak jauh, periksa rentang yang diumumkan, status persetujuannya, dan aturan akses dalam urutan itu. Untuk situs publik, periksa exit node mana yang dipilih dan apakah klien benar-benar menerimanya.

Jika alamat berfungsi dan nama tidak, berhenti melihat rute. DNS privat dikonfigurasi terpisah, dan nama yang mengarah ke alamat salah gagal dengan cara yang tampak identik dengan rute yang diblokir. Uji alamat dulu, lalu nama, dan kedua hasilnya memberi tahu lapisan mana yang harus dibuka.

Pastikan jalur yang Anda kira telah dibangun

Verifikasi adalah pencarian rute plus pemeriksaan alamat, bukan ping. Pencarian memberi tahu antarmuka mana yang akan digunakan suatu tujuan, dan pemeriksaan alamat memberi tahu di rentang mana tujuan itu sebenarnya berada. Ping yang berhasil mengatakan host hidup di suatu tempat, yang bukan pertanyaannya. Jalankan keduanya sebelum mengubah konfigurasi apa pun.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Pasangkan dengan tampilan tailnet sendiri, yang menunjukkan apakah peer terhubung langsung atau melalui relay. Jalur relay tetap berfungsi, dan itu menjelaskan keluhan latensi yang tidak ada hubungannya dengan rute yang Anda debug. dokumentasi router subnet mencakup langkah persetujuan jika belum familier. Lalu catat konstruksi mana mencakup tujuan mana untuk jaringan Anda sendiri, karena orang berikutnya yang menambahkan situs akan menanyakan hal yang sama.