Il router di sottorete Tailscale si è fermato: controlla prima la chiave del dispositivo

Il telefono mostra ancora la rotta di sottorete, il pannello elenca ancora l’annuncio e nulla dietro il router risponde. Sembra una regressione dell’instradamento o del firewall, quindi la mossa naturale è aggiungere di nuovo la sottorete sul client. Di solito non cambia nulla, perché il connettore ha perso l’identità, non la configurazione. Una chiave del dispositivo scaduta lascia la rotta visibile mentre il dispositivo smette di inoltrare.

La rotta resta e i pacchetti si fermano

Tailscale tratta l’annuncio delle rotte e l’autorizzazione del dispositivo come fatti separati. Un router di sottorete annuncia un prefisso, i client lo accettano e lo usano, e il connettore trasporta il traffico. Quando la chiave del dispositivo scade, il nodo non può più autenticarsi con il servizio di coordinamento, quindi smette di partecipare. I client possono mantenere la rotta nella loro tabella perché rimuoverla potrebbe inviare il traffico su un percorso non previsto. Questa scelta di chiudere in caso di guasto spiega il sintomo confuso: una rotta che esiste e una destinazione che non esiste.

L’annuncio resta un’affermazione vera sull’intenzione. Ha smesso di essere un’affermazione sulla capacità.

Leggi la chiave e lo stato del connettore

Conferma lo stato del connettore prima di modificare qualsiasi client. Due output separano l’identità dalla raggiungibilità.

tailscale status
tailscale ping 100.101.102.103

L’output di stato contrassegna il router come offline o scaduto e riporta quando la chiave scade, mentre il ping punta all’indirizzo tailnet del nodo stesso e non a un servizio dietro di esso. Un ping che non lascia mai il client e una riga di stato che dice scaduto sono la stessa constatazione da due direzioni. Verifica se un secondo dispositivo che usa quel router fallisce nello stesso momento, perché un guasto condiviso indica il connettore e un guasto isolato l’accettazione della rotta da parte di un client. Non riutilizzare un indirizzo tailnet da vecchie note senza confermarlo rispetto allo stato in tempo reale.

Autenticati di nuovo senza tagliare il tuo percorso

Il rinnovo ripristina l’identità, ma eseguirlo sull’unica sessione funzionante può isolarti. Mantieni prima un altro percorso amministrativo.

tailscale up --force-reauth
tailscale status --self

Su un nodo con accesso alla console, --force-reauth riavvia il flusso di accesso e stampa un URL che un account autorizzato deve completare. Su un router remoto, conferma prima di iniziare che esista una console seriale, una console del provider o un percorso di gestione fuori banda, perché la sessione tailnet può cadere durante il rinnovo. Dopo il rinnovo, verifica che il nodo sia online e che le sue rotte annunciate siano ancora abilitate. Aggiungere di nuovo il prefisso sul client non è un passo del rinnovo e non può sostituirlo.

Decidi la politica di scadenza per i dispositivi senza sorveglianza

La scadenza della chiave esiste perché un portatile smarrito prima o poi smetta di funzionare, e l’infrastruttura senza sorveglianza scambia quella protezione con la disponibilità. Gli amministratori possono disattivare la scadenza per un dispositivo specifico, cosa che si adatta a un router fidato in un armadio di cablaggio ma richiede un inventario e un piano di rimozione. I dispositivi taggati portano la propria identità e il proprio comportamento di scadenza, quindi l’impostazione di un portatile non li descrive. Esamina il record reale del dispositivo invece di affidarti a un promemoria creato mesi fa.

Poi prova la risorsa dietro il router, non solo il nodo. Una chiave rinnovata corregge l’identità, mentre l’approvazione della rotta, la politica e l’inoltro devono ancora funzionare.