Einátta umferð eftir að slökkt er á SNAT undirnets Tailscale

Slökktu á upprunanetfangi á Tailscale-undirnetsbeini og göngin halda áfram að virka á meðan tengingarnar í gegnum þau stöðvast. Beiðnir berast á áfangastað með eigin yfirlagningaraðsetri fjartengda biðlarans, sem er einmitt tilgangur breytingarinnar, og svörin þurfa nú slóð sem LAN þurfti aldrei að þekkja. Án þeirrar slóðar lenda pakkarnir, svörin fara út um venjulegu gáttina og bilunin birtist sem eldveggsvandamál sem engin eldveggsregla útskýrir. Göngin eru heilbrigð; afturfóturinn vantar.

Hvað SNAT faldi

Með SNAT virkt endurskrifar beinirinn upprunaaðsetrið í eigið LAN-aðsetur áður en honum er framsent í undirnetið, svo áfangastaðurinn svarar vél sem hann veit þegar hvernig á að ná og ekkert annað þarf að stilla. Að slökkva á því varðveitir upprunalega upprunann og áfangastaðurinn sér þá aðsetur innan yfirlagningarssviðsins í stað nágranna á eigin vír. Þetta aðsetur er raunverulegt og beinleiðanlegt um tailnetið, en það er óaðgengilegt frá LAN í gegnum sjálfgefnu gáttina. Skráði rofinn er --snat-subnet-routes=false, notaður á sjálfan Linux-undirnetsbeininn.

Þetta er fast stilling en ekki rofi fyrir hvern pakka, svo afturleiðin verður að vera til staðar fyrir hvert áfangastaðarnet sem beinirinn þjónar. Það er það sem gerir breytinguna að dreifingarákvörðun en ekki haka í reit. Allt sem beinirinn þjónar erfir kröfuna á sama augnabliki.

Hvar afturleiðin getur verið

Þrjár staðsetningar eru algengar og þær eru ólíkar að umfangi en ekki réttmæti. Kyrrstæð slóð á áfangastaðarvélinni er beinust og síst skalanleg, þar sem hvert tæki þarf eigin eintak. Slóðatöfluna í VPC eða beini staðarins nær yfir heilt net í einu, og DHCP-valkostur sem flytur flokklausar kyrrstæðar slóðir nær sjálfkrafa til biðlara en bregst hljóðlega á tækjum sem hunsa hann.

ip route add 100.64.0.0/10 via 192.168.1.10
ip route get 100.64.0.5

Hvaða staðsetningu sem þú velur er næsta stökk LAN-aðsetur beinisins og aldrei tailnet-aðsetur hans. LAN-vél kemst ekki að yfirlagningunni fyrr en hún hefur þessa slóð, svo næsta stökk inni í yfirlagningunni er hringlaga og sendir pakkann hvergi. Þessi eina mistök útskýra flestar stillingar sem líta rétt út og mistakast samt, og þau lifa af hverja athugun sem les aðeins eigin töflu beinisins. Skrifaðu niður hvaða staðsetningu þú notaðir, annars prófar næsta manneskja röngu.

Að lesa bilunina sem einátta umferð

Einkennin eru auðveldari að þekkja en orsökin: þjónustan svarar á beininum sjálfum og þegir frá fjartengdum biðlara. Upptaka á áfangastað sýnir beiðnir berast og svör fara, sem lítur út eins og árangur þar til þú tekur eftir hvert svörin fara. Þau fara til sjálfgefnu gáttarinnar, sem þýðir að innfóturinn virkaði og afturfóturinn ekki.

Taktu upp á beininum í staðinn, því hann sér báðar áttir einnar skiptingar og sýnir hvort svar barst nokkurn tíma. Ef svarið birtist á áfangastað en aldrei á beininum vantar slóðina eða hún er röng á áfangastaðnum. Ef það birtist á beininum og stöðvast þar er vandamálið lengra og tilheyrir annarri rannsókn.

sudo tcpdump -ni any host 100.64.0.5
ip route get 100.64.0.5

Er raunverulega aðsetrið slóðar virði

Að halda SNAT er áfram einfaldara svar hvenær sem ekki er hægt að stilla áfangastaðarnetið á ný, og kostnaðurinn er að hver biðlari lítur út eins og beinirinn í annálum og stefnu áfangastaðarins. Að slökkva á því er réttlætanlegt þegar forrit þarf raunverulega upprunaaðsetrið eða þegar netstefna verður að greina biðlara sem deila beini. Báðar ástæður eru lögmætar og hvorug er ókeypis. Ávinningurinn verður að vera virði viðhaldar slóðar á hverju áfangastaðarneti, auk eldveggsskoðunarinnar sem lýst er hér að neðan.

Fyrir eitt lítið LAN borgar skiptingin sig yfirleitt, en fyrir fjölda tækja sem geta ekki tekið kyrrstæða slóð borgar hún sig yfirleitt ekki. Skráðu ákvörðunina og ástæðuna við hlið beinistillingarinnar, svo næsti stjórnandi viti hvaða hegðun er viljandi. Sjálfgefið gildi sem enginn skrifaði er ógreinanlegt frá yfirsjón.

Eldveggur, annálun og tvöfalt hlutverk

Hver regla sem passaði við LAN-aðsetur beinisins passar nú við annan uppruna, og það felur í sér leyfisreglur og hvert annálssvið sem skráði beininn sem biðlara. Lestu þessar reglur fyrir fyrstu prófun í stað þess eftir fyrstu bilun, því regla sem leyfir aðeins aðsetur beinisins lokar algjörlega fyrir nýja upprunann. Þrengdu staðgengilinn að biðlurunum og gáttunum sem þurfa hann og staðfestu síðan að hann hleypi ekki hljóðlega öllu tailnetinu inn.

sudo nft list ruleset | grep -n '100\.64'
sudo iptables-save | grep -n '100\.64'

Einn hnútur sem þjónar bæði sem útgangshnútur og undirnetsbeinir er skráð samsetning sem getur sleppt uppstreymisumferð þegar slökkt er á SNAT undirnetsins. Að skilja þessi hlutverk á ólíka hnúta fjarlægir fyrirvarann og gefur hverri slóð og eldveggsstefnu einn eiganda. Ef hlutverkin verða að vera saman skaltu búast við þessari hegðun og prófa hana áður en þú kennir biðlara um. Haltu slóðinni, rofastillingunni og hlutverkaskiptingunni í einni athugasemd, því þær eru lesnar saman þegar næsta tenging mistekst.