დისტანციური Tailscale მოწყობილობის უსაფრთხოდ ხელახალი ავთენტიფიკაცია

თუ დისტანციურ სერვერზე აიძულებთ Tailscale-ში ახალ შესვლას, კავშირი tailnet-თან შეიძლება გაწყდეს მანამ, სანამ მოწყობილობა ხელახლა შესვლას დაასრულებს. ეს არ არის ბრძანების ხარვეზი — ოპერაცია ზუსტად ისე მუშაობს, როგორც გათვალისწინებულია, იმ გზაზე, რომელსაც იყენებთ. წესი მარტივია: მოამზადეთ მეორე გზა მანქანამდე, სანამ მის გასაღებს განაახლებთ. ყველა დანარჩენი ამ მომენტისთვის მზადებაა.

რატომ შეიძლება ბრძანებამ შეგწყვიტოთ კავშირი

მოწყობილობის გასაღები არის ის, რაც კვანძს tailnet-ში გაწევრიანების საშუალებას აძლევს. მისი განახლება ნიშნავს, რომ ძველი გასაღები აღარ მიიღება, და კვანძმა უნდა დაასრულოს ახალი შესვლა, სანამ დაბრუნდება. თუ თქვენი ერთადერთი სესია ამ tailnet-ზე გადის, დაბრუნება თქვენს გარეშე მოხდება. ქვექსელის მარშრუტიზატორი ამას აუარესებს, რადგან კლიენტები თავიანთ მარშრუტებს ინარჩუნებენ და მათ უკან არსებულ გზას კარგავენ.

ამიტომ თანმიმდევრობა უფრო მნიშვნელოვანია, ვიდრე თავად ბრძანება. ჯერ წვდომა, შემდეგ განახლება. კონსოლის სესია, სერიული კონსოლი ან ადგილზე მყოფი კოლეგა — ყველა ითვლება.

ჯერ სხვა ხარვეზი გამორიცხეთ

სანამ რაიმეს განაახლებთ, დაადასტურეთ, რომ პრობლემა ნამდვილად გასაღებშია. ადმინისტრირების კონსოლში შეამოწმეთ ვადის გასვლა, შემდეგ თავად მოწყობილობის მდგომარეობა: დაკავშირებულია თუ არა და რომელ peer-ებს ხედავს. მოქმედი გასაღები გატეხილი მარშრუტით, ACL-ის ცვლილება ან შეჩერებული სერვისი შორიდან მსგავსად გამოიყურება. იძულებითი განახლება არცერთ მათგანს არ ასწორებს.

tailscale status

თუ კვანძი ონლაინშია და გასაღები მოქმედია, გააგრძელეთ ძებნა. განახლება ბოლო ზომაა და არა ზოგადი შეკეთება. წაიკითხეთ peer-ების სია ისევე, როგორც ონლაინის მაჩვენებელი, რადგან ნახევრად დაკავშირებული კვანძი მაინც იტყობინება, რომ მუშაობს.

განაახლეთ მეორე წვდომის გზით

როცა კონსოლზე წვდომა ან მეორე მართვის გზა მზადაა, გაუშვით განახლება მოწყობილობაზე. Tailscale ამ მიზნით აღწერს up ბრძანების force-reauth ფორმას და ის მოითხოვს გაზრდილ უფლებებს იქ, სადაც პლატფორმა მათ მოითხოვს. გაუშვით ის ერთხელ და დააკვირდით გამოსავალს, ნაცვლად იმისა, რომ სესია დახუროთ. თუ ბრძანებამ კავშირი გაგიწყვიტათ, ხელახლა დაუკავშირდით მეორე გზით და წაიკითხეთ ლოკალური ჟურნალი.

sudo tailscale up --force-reauth

თუ გასაღების ვადა უკვე გავიდა, ადმინისტრირების კონსოლმა შეიძლება შესთავაზოს დროებითი გახანგრძლივება შესაბამისი მოწყობილობებისთვის. ეს გახანგრძლივება არის ფანჯარა წვდომის დასაბრუნებლად და შესვლის დასასრულებლად და არა მისი მუდმივი შემცვლელი. ჩაიწერეთ ნაჩვენები ვადა.

შეამოწმეთ, რას ემსახურება მოწყობილობა სინამდვილეში

მას შემდეგ, რაც მოწყობილობა ხელახლა შეუერთდება, შეამოწმეთ სერვისი, რომლისთვისაც ის არსებობს. მარშრუტიზატორი უნდა შემოწმდეს მის უკან არსებული რესურსის გავლით, გამომავალი კვანძი — განზრახული ინტერნეტ გზის გავლით, ხოლო ჩვეულებრივი სერვერი — პორტის გავლით, რომელსაც ნამდვილად იყენებთ. ონლაინად ნაჩვენები კვანძი თავისთავად ვერაფერს ამტკიცებს ამათგან. შეამოწმეთ მანქანიდან, რომელიც არ არის კვანძი, რადგან ლოკალური შემოწმებები მთლიანად გვერდს უვლიან tailnet-ის გზას.

tailscale ping 100.101.102.103

შემდეგ ჩაიწერეთ ამ მანქანის ვადის გასვლის პოლიტიკა. უყურადღებო კონექტორსა და პირად ლეპტოპს განსხვავებული ტოლერანტობა აქვთ და ის, ვინც სერვერს მემკვიდრეობით მიიღებს, თავიდან არ უნდა არკვევდეს, რომელია ეს ორიდან. ეს ჩანაწერი არის განსხვავება დოკუმენტირებულ პოლიტიკასა და მომავალი წლის სიურპრიზს შორის. Tailscale-ის დოკუმენტაცია გასაღებების ვადის გასვლაზე მოიცავს განახლების ვარიანტებსა და მათ საზღვრებს.