Een Tailscale-Host net erreechbar: Subnet-Router oder Exit-Node?

Een Tailscale-Host äntwert, während een aneren däischter bleift, oder alles funktionéiert, bis ëffentlech Websäiten dat falscht Land ufänken ze mellen. Béid Beschwäre komme wéi „Tailscale ass futti“, a béid sinn normalerweis de falsche Konstrukt, dee fir dat falscht Zil ageschalt gouf. E Subnet-Router setzt en private Netzwierk dem Tailnet aus, während en Exit-Node ännert, wou den Internetverkéier erausgeet. Sortéier als éischt dat Zil, dat feelt, a wielt dunn d'Roll, déi et deckt.

Fänk beim Zil un, dat feelgeschloen huet

Schreif d'Adress oder den Numm op, déi net funktionéiert huet, a wat fir eng Saach et ass. En Apparat op engem private LAN hannert enger anerer Plaz, e Service op däi eegene Segment an eng ëffentlech Websäit sinn dräi Routingproblemer, déi zoufälleg een eenzegen Client deelen. Den Ënnerscheed ass net kosmetesch, well déi zwou Konstrukter verschidden Ensembelen vun Ziler decken. Eng anschalten mécht näischt fir déi aner, an dat ass d'ganz Quell vun der Verwiirung.

Bezuch och d'Adressfamill. En Subnet, deen nëmmen als IPv4 ugekënnegt gëtt, léisst IPv6-Ziler op de lokale Wee, wat als deelweise Feeler erschéngt, bis een déi zwou Routingtabellen vergläicht. Schreif op, wéi ee Wee dir erwaart hues, sou datt den Test duerno eppes huet, deem hien widdersprécht.

Erreech en Apparat, deen ni Tailscale lafe léisst

De Router kënnegt bestëmmte Beräicher dem Tailnet un a leet dann Paketen tëscht dem Tailnet an dem private Segment weider, sou datt d'Apparater op deem Segment keen eegene Client brauchen. En NAS am Büro vun engem Laptop doheem z'erreechen ass genee dëse Fall. De Router ass dat eenzegt Member vum Tailnet op där Säit.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

D'Annonce ass nëmmen déi éischt vun dräi Konditiounen. D'Route muss fir den Tailnet genehmegt ginn, de Client muss déi ugekënnegt Routen akzeptéieren, an eng Access-Reeg muss d'Verbindung erlaben. Genee dës Kette ass de Grond, firwat de Symptom sou dacks ass, datt de Router leeft an den NAS net. En erreechbare Router beweist, datt den Tunnel funktionéiert; hien beweist näischt iwwer Genehmegung, Client-Akzeptanz oder Politik.

Jiddwereen vun dësen dräi Feelere gesäit an der Verwaltungskonsole anescht aus. Iwwerpréif se an der Rei, amplaz alleguer dräi gläichzäiteg ze änneren, well eng zweet Ännerung verstoppt, wéi eng wichteg war.

Schéck den ëffentleche Verkéier duerch eng aner Maschinn eraus

En Exit-Node leet däin allgemengen Internetverkéier duerch sech selwer, wat de noosten Analog zum Volltunnel-Aufbau an aneren VPN-Produkter ass. Och hien brauch dräi getrennt Zustëmmungen: den Apparat kënnegt d'Roll un, en Administrateur erlaabt se, an de Client wielt se. Engem Tailnet bäitrieden schéckt standardméisseg näischt duerch en anert Member.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

En Exit-Node auswielen gëtt net automatesch Zougang zu sengem eigenen LAN. D'LAN-Access-Optioun gëtt et genee well dat ënnerschiddlech Permissiounen sinn, an se ausgeschalt ze loossen ass dee sécheren Standard. Routen zu aneren Tailscale-Ressourcen behalen hir eege Behandlung och während en Exit-Node aktiv ass. Dofir kann e Service, deen op engem Subnet gehost ass, weiderlafen, während den ëffentlechen Internetwee geännert huet.

En Exit-Node ännert och wéi den Internet dech gesäit, net nëmmen wéi séier et sech ufillt. Erwaart, datt Geolokatioun, Streaming-Katalogen a Geschwindegkeetslimitten der Adress vum Exit follegen an net denger.

Lies d'Dräifachdeelung, wann nëmmen een Host feelt

En Drécker op däi eegene Segment, en NAS hannert engem wäitem Subnet-Router an eng ëffentlech Säit sinn dräi Ziler mat dräi verschiddenen Weeër. Wann genee een dovun feelt, gehéiert den Defekt zum Wee vun deem Zil an net zum Client als Ganzt. Fir den lokalen Drécker während en Exit-Node benotzt gëtt, ass d'LAN-Access-Astellung déi üblech Äntwert. Fir den wäiten NAS, iwwerpréif deen ugekënnegte Beräich, säi Genehmegungsstatus an d'Access-Reegelen an där Rei. Fir eng ëffentlech Säit, iwwerpréif wéi en Exit-Node ausgewielt ass an ob de Client en tatsächlech akzeptéiert huet.

Wann d'Adress funktionéiert an den Numm net, hale fäin no Routen ze kucken. Private DNS gëtt getrennt konfiguréiert, an en Numm, deen op déi falsch Adress opléist, feelt esou wéi eng blockéiert Route ausgesäit. Test d'Adress als éischt, dunn den Numm, an déi zwou Resultater soen dir, wéi eng Schicht opzemaachen.

Bestäteg de Wee, vun deem s du mengs, datt s en gebaut hues

Verifikatioun ass eng Routensich plus eng Adresskontroll, keen Ping. D'Sich seet, wéi eng Interface en Zil benotze géif, an d'Adresskontroll seet, a wéi engem Beräich d'Zil tatsächlech läit. En erfollegräiche Ping seet, datt den Host iergendwou lieft, wat net d'Fro ass. Féier béides aus, ier s eng Konfiguratioun änderst.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Kombinéier dat mat der eege Siicht vum Tailnet, déi weist, ob de Peer direkt verbonnen oder iwwer e Relay ass. E Relay-Wee funktionéiert och, an dat erkläert Beschwäre iwwer Latenz, déi näischt mat der Route ze dinn huet, déi s debuggt hues. d'Dokumentatioun vum Subnet-Router deckt de Genehmegungsschrëtt of, wann en net vertraut ass. Schreif dunn op, wéi ee Konstrukt wéi ee Zil an dengem eigenen Netzwierk deckt, well déi nächst Persoun, déi eng Plaz bäisetzt, déi selwecht Fro wäert stellen.