Tailscale の出口ノードを使っていますか？ローカル LAN へのアクセスを保ちましょう

出口ノードが経路を決めるのはインターネット通信であり、隣にある LAN ではありません。ローカルネットワークへのアクセスを意図的に有効にし、遠隔オフィスにはサブネットルーターを使ってください。

出口ノードを有効にする前はプリンターが使えていましたが、今はノート PC から見えません。出口ノードを選ぶとデフォルトルートが変わるため、クライアントは物理インターフェースからローカルサブネットの通信を送らなくなります。これは意図された動作であり、検出の失敗ではありません。文書化された設定がひとつ、近くのネットワークを復元し、作業の中心は、それがどのネットワークを復元するのかを正確に理解することです。

出口ノードを有効にするとプリンターが消える理由

出口ノードは自分をインターネット通信のルートとして広告します。クライアントはデフォルトルートをそのノードに向け、ノードはパケットを転送するので、以前カフェの Wi-Fi から出ていたものは今は遠い側から出ます。ローカルの宛先は既定では除外されません。そのため同じ Wi-Fi 上の機器には届かなくなり、ノート PC はそのネットワークに接続したままです。

パケットはトンネルに入り、その LAN が存在しない遠い側から出ます。検出プロトコルは、出口の経路を越えないブロードキャストやマルチキャストに依存しているため、最初に失敗します。保存された印刷キューは、壊れたドライバーのように見える形で失敗します。

この設定が復元するのはノート PC の隣の LAN です

ローカルネットワークの設定が扱うのはクライアントの隣のネットワークであり、出口ノードの背後にあるネットワークではありません。ノート PC がカフェの Wi-Fi にあり、出口ノードが自宅にある場合、この設定はカフェ側の機器へのアクセスを復元します。自宅の LAN を開くわけでも、オフィスへのルートを作るわけでもありません。 出口ノードのドキュメント は --exit-node-allow-lan-access をスイッチとして挙げており、tailscale set か tailscale up のどちらか、クライアントの設定が使う方を通してください。

近くのネットワークに本当に必要なリソースがあるときに有効にしてください。ゲストネットワークでは、ローカルの何かにそもそも届く価値があるかを問いましょう。

この設定は近くの機器を信頼できるものにせず、機器自身のアクセス制御を上書きもしません。カフェ全体からジョブを受け付けるプリンターは、やはりカフェ全体からジョブを受け付けるプリンターです。この設定はルーティングの便宜として扱い、セキュリティの境界とは考えないでください。

遠隔オフィスへの到達は別の仕組みです

Tailscale を動かしていない自宅の NAS に届くには、サブネットルーターが必要です。その機器はプライベートプレフィックスを tailnet に広告し、管理者がルートを承認してからでないとクライアントは使えません。その経路に出口ノードは関与しません。

Tailscale を自分で動かしている機器には、すでに tailnet のアドレスがあります。その機器に LAN の設定は不要で、設定を有効にしても現れません。

三つの仕組みは分けて考えてください。出口ノードはインターネット通信の行き先を変え、サブネットルーターはプライベートプレフィックスへの到達範囲を広げ、ローカルネットワークへのアクセスはノート PC が接続している物理 LAN を復元します。これらを混ぜると、正しく見えて何もルーティングしない構成になります。変更する前に、どれを変えるのかを書き留めてください。

検出リストより先にアドレスを試す

ローカルアクセスを有効にしたら、検出メニューではなくアドレスとポートで機器を試してください。プリンター一覧が空でも、検出はユニキャストの到達性とは無関係な理由でも失敗するため、完全なテストにはなりません。必要なアドレスとサービスから始めてください。

tailscale status
ping -c 2 192.168.1.50
nc -vz 192.168.1.50 9100

三つの出力を順に読んでください。tailscale status はクライアントがまだ出口ノードを選んでいるかを示し、ping はアドレスに届くことを、ポートの確認はサービスが待ち受けていることを証明します。アドレスは機能し、保存されたホスト名が機能しないなら、問題は名前解決です。どちらも機能しないなら、クライアントを再び変える前に、選択されたルート、宛先のサービス、そのファイアウォールを確認してください。

ネットワークごとに決め、変更のあとで再テストする

近隣を信頼でき、リソースが必要なネットワークではローカルアクセスを有効にしてください。唯一の目的が公開出口である信頼できないネットワークでは、切ったままにしてください。設定はネットワークに従うので、自宅の LAN とカフェを行き来するノート PC には、それぞれに対する意図的な答えが必要です。

ネットワークか選択した出口ノードが変わるたびに、リソースを再テストしてください。公開ブラウジングとローカル到達性は別々の確認であり、応答するプリンターはブラウザーが通った経路について何も教えてくれません。どの設定がどのネットワークで有効かを記録し、後からの変更がそれを黙って取り消さないようにしてください。プロファイルの一行が、同じチケットの再発を防ぎます。

関連記事