Usi un nodo di uscita Tailscale? Mantieni l’accesso alla LAN locale

La stampante funzionava prima che si attivasse il nodo di uscita, e ora il portatile non la vede. Scegliere un nodo di uscita cambia la rotta predefinita, quindi il client smette di inviare il traffico della sottorete locale attraverso l’interfaccia fisica. È il comportamento previsto, non un guasto della scoperta. Un’impostazione documentata ripristina la rete vicina, e il lavoro è capire esattamente quale rete ripristina.

Perché la stampante scompare quando si attiva il nodo di uscita

Un nodo di uscita si annuncia come la rotta del traffico internet. Il client punta la sua rotta predefinita verso il nodo, e il nodo inoltra i pacchetti, quindi tutto ciò che prima usciva dal Wi-Fi del bar ora esce dall’estremità remota. Le destinazioni locali non sono escluse per impostazione predefinita. Un dispositivo sulla stessa Wi-Fi diventa quindi irraggiungibile, anche se il portatile resta associato a quella rete.

I pacchetti vengono instradati nel tunnel ed escono dal lato remoto, dove quella LAN non esiste. I protocolli di scoperta falliscono per primi perché dipendono da broadcast o multicast che non attraverserà il percorso di uscita. Una coda di stampa salvata fallisce poi in un modo che sembra un driver rotto.

L’impostazione ripristina la LAN accanto al portatile

L’impostazione della rete locale riguarda la rete accanto al client, non la rete dietro il nodo di uscita. Se il portatile è sulla Wi-Fi del bar e il nodo di uscita è a casa, l’impostazione ripristina l’accesso ai dispositivi dal lato del bar. Non apre la LAN di casa e non crea una rotta verso l’ufficio. La documentazione del nodo di uscita chiama --exit-node-allow-lan-access l’interruttore; passalo tramite tailscale set o tailscale up, secondo ciò che usa la tua configurazione client.

Attivala quando la rete vicina contiene una risorsa di cui hai davvero bisogno. Su una rete per ospiti, chiediti se valga la pena raggiungere qualcosa di locale.

L’impostazione non rende affidabili i dispositivi vicini e non aggira i loro controlli di accesso. Una stampante che accetta lavori da tutto il bar resta una stampante che accetta lavori da tutto il bar. Tratta l’impostazione come una comodità di instradamento, non come un confine di sicurezza.

Raggiungere un ufficio remoto è un altro meccanismo

Raggiungere un NAS di casa che non esegue Tailscale richiede un router di sottorete. Quel dispositivo annuncia il prefisso privato nella tailnet, e un amministratore deve approvare la rotta prima che i client possano usarla. Il nodo di uscita non ha alcun ruolo su quel percorso.

Un dispositivo che esegue Tailscale da solo ha già un indirizzo tailnet. Non ha bisogno dell’impostazione LAN, e attivarla non lo farà apparire.

Tieni separati i tre meccanismi. Un nodo di uscita cambia dove va il traffico internet, un router di sottorete estende la raggiungibilità a un prefisso privato, e l’accesso alla rete locale ripristina la LAN fisica a cui è connesso il portatile. Mescolarli produce una configurazione che sembra corretta e non instrada nulla. Annota quale stai cambiando prima di cambiarlo.

Prova l’indirizzo prima dell’elenco di scoperta

Dopo aver attivato l’accesso locale, prova il dispositivo per indirizzo e porta invece che tramite un menu di scoperta. Un elenco di stampanti vuoto non è una prova completa, perché la scoperta può fallire per motivi non legati alla raggiungibilità unicast. Inizia dall’indirizzo e dal servizio che ti servono.

tailscale status
ping -c 2 192.168.1.50
nc -vz 192.168.1.50 9100

Leggi i tre output in ordine. tailscale status mostra se il client ha ancora selezionato il nodo di uscita, il ping dimostra che l’indirizzo è raggiungibile, e il controllo della porta dimostra che il servizio è in ascolto. Se l’indirizzo funziona e il nome host salvato no, il problema è la risoluzione dei nomi. Se nessuno dei due funziona, controlla la rotta selezionata, il servizio della destinazione e il suo firewall prima di cambiare di nuovo il client.

Decidi per rete, poi riprova dopo un cambiamento

Attiva l’accesso locale sulle reti in cui ti fidi dei vicini e ti serve la risorsa. Lascialo disattivato sulle reti non affidabili dove l’unico obiettivo è un’uscita pubblica. L’impostazione segue la rete, quindi un portatile che si sposta tra una LAN di casa e un bar ha bisogno di una risposta deliberata per ciascuna.

Riprova la risorsa ogni volta che cambiano la rete o il nodo di uscita scelto. La navigazione pubblica e la raggiungibilità locale sono due controlli separati, e una stampante che risponde non dice nulla sul percorso seguito dal tuo browser. Annota quale impostazione è attiva per quale rete, così un cambiamento successivo non la annulli in silenzio. Una riga nel profilo evita la ripetizione dello stesso ticket.