Firwat eng ugeholl Tailscale-Subnetzroute nach ëmmer an en Timeout leeft

D’Genehmegung an der Administratiounskonsole gesäit aus wéi de leschte Schrëtt, a si ass et net. Als éischt leeft d’Applikatioun an en Timeout, an eréischt duerno fannt Dir de Router online an d’Route ugeholl. D’Genehmegung ass e Verdeelungsschratt, keng Autorisatioun a keng Garantie fir d’Viruleedung. Véier Etappe mussen zesummepassen, ier e Paket en Host hannert engem Subnetzrouter erreecht, an all Etapp ka geléngen, während déi nächst feelt. Schafft se an der Rei of an hält bei der éischter Etapp un, déi net hält.

Véier Etappen, ee Feeler

De Router annoncéiert de Prefix, de Tailnet genehmegt déi Annonce, de Client akzeptéiert d’Route déi en kritt huet, an d’Zougangspolitik erlaabt déi konkreet Verbindung. Dat sinn véier getrennte Entscheedungen vun dräi verschiddenen Komponenten. Eng ugeholl Route seet dofir just, datt d’Netzwierk elo Deel vun der Routingstabelle vum Tailnet ass.

Déi véiert Etapp gëtt am meeschte vergiess, well déi éischt dräi en sichtbaren Zoustand produzéieren. Eng Autorisatioun déi déi eege Tailnet-Adress vum Router deckt, deckt net automatesch en privaten Subnetz hannendrun. Dat sinn verschidden Destinatiounen, an d’Politik gëtt pro Destinatioun bewäert.

Op Linux huet déi dräit Etapp och eng Standardastellung déi d’Leit iwwerrascht: d’Akzeptanz vu Subnetzrouteen ass optional. Verschidde GUI-Cliente akzeptéieren déi annoncéiert Routen als Standard, sou datt eng gemëschte Flott eng feelend Maschinn weise kann, während de Rescht funktionéiert.

Confirméiert d’Astellung op der Maschinn déi feelt, amplaz eng Plattform unzehuelen. D’Route war ni dat fehlend Stéck op de Maschinnen déi funktionéieren, also loosst se beweisen datt d’Tailnet-Säit gesond ass. D’Dokumentatioun vum Tailscale iwwer Subnetzrouteren deckt d’Genehmegung, d’Routeakzeptanz vum Client an d’Politiksetapp of.

Kontrolléiert d’Route do wou de Client leeft

Fänkt beim Client un dee feelt, net beim Router. Confirméiert datt d’Route do ass an datt d’Astellung vum Client d’Akzeptanz vu Routen iwwerhaapt erlaabt.

tailscale status
tailscale debug prefs | grep -i route
ip route get 10.20.0.42

Den éischte Befehl weist d’Peer-Lëscht an ob de Subnetzrouter erreechbar ass, den zweete dréckt d’Astellunge vum Client aus inklusiv dem Fändel fir d’Routeakzeptanz, an den drëtten freet de Kernel wéi eng Interface en fir en echten Host am Subnetz géif benotzen. Wann dee leschte Befehl d’physesch Interface nennt amplaz d’Tailscale-Interface, ass d’Route ni an d’Tabelle komm. Eng fehlend Route ass e Clientproblem, kee Genehmegungsproblem. Reparéiert se ier Dir d’Politik kuckt.

Fir Routen op Linux ze akzeptéieren, verbënnt Iech nei mam Fändel amplaz unzehuelen datt en gesat ass: tailscale up --accept-routes. E Client dee mat anere Fändel bäigetratt ass behält se bis se geännert ginn, also kontrolléiert déi aktuell Astellung ier Dir nach eng dobäisetzt. Deen éischte Befehl nach der Ännerung nach eng Kéier auszeféieren sollt d’Route an der Tabell weisen.

Beweist d’Viruleedung an de Retourwee

D’Genehmegung konfiguréiert de Router net fir Paketen ze viruleeden, an et organiséiert och net d’Äntwert. Béides sinn Ugeleeënheeten op Hostniveau op der LAN-Säit vum Router. Test se um Router, net um Client.

sysctl net.ipv4.ip_forward
iptables -t nat -L POSTROUTING -n -v
tcpdump -ni any host 10.20.0.42 and port 443

Den éischte Befehl muss 1 mellen, soss verwäert de Kernel dat virugeleet Paket. Den zweete weist ob d’Maskeréierung vun der Subnetzroute d’Quell ëmschreift, wat den Standardverhalen ass an normalerweis dat wat Dir wëllt. Den drëtten weist ob d’Ufro bei der Destinatioun ukënnt an ob eppes zréckkënnt; eng Ufro ouni Äntwert ass e Retourweeproblem, kee Genehmegungsproblem. Liest déi dräi Resultater zesummen ier Dir ee vun hinnen ännert.

Wann d’Maskeréierung deaktivéiert gouf, brauch d’Destinatiounsnetzwierk eng Route zréck op d’Tailnet-Adressen, an all Hop dertësche muss dat wëssen. D’Maskeréierung nees anzeschalten ass déi séierst Léisung fir een eenzegen Déngscht, awer op Käschte vun der Originalclientadress déi virun der Destinatioun verstoppt gëtt. Dee Kompromiss zielt wann d’Destinatioun Quelladressen fir en Audit protokolléiert, also entscheet bewosst amplaz de Fändel während engem Tëschefall ëmzedréien. Dokumentéiert wéi eng Wiel Dir gemaach hutt, well déi nächst Persoun nëmmen ee vun den zwee Verhalen gesäit.

Liest d’Zougangsregel fir d’Ressource

Mat der Route do an der Viruleedung bewisen, ass de Reschtverdächtegen d’Politik. Liest d’Autorisatioun déi d’Verbindung erlaabe soll an kontrolléiert hir Destinatioun, net just hir Quell. D’Identitéit vum Client selwer muss och zum Selektor vun der Politik passen, also hëlt se vun der selwechter Maschinn déi feelt.

tailscale status --json | head -40
tailscale ping <router-name-or-tailnet-ip>
ping -c 3 10.20.0.42

Den Ausgang vum Status identifizéiert déi eege Adresse vum Client an d’Peeren déi en gesäit, an domat muss de Quellselektor vun der Politik iwwerenee kommen. tailscale ping beweist den Tailnet-We bis zum Subnetzrouter selwer; et léist Peernimm an Tailnet-Adressen op, net Hosts bannenan engem annoncéierte Subnetz. Den drëtten Befehl schéckt en normale ICMP-Echo duerch d’Subnetzroute, also beschreift säi Resultat d’Destinatioun amplaz de Router. Eng Oflehnung op Tailnet-Niveau kënnt meeschtens als Oflehnung zréck, während e Paket dat fortgeet an ni zréckkënnt an en Timeout leeft.

En Numm dee feelt ass eng aner Fro wéi eng Adress déi feelt; léist den Host direkt op ier Dir d’Route beschëllegt. Schreift d’Autorisatioun no der tatsächlecher Ufuerderung vun der Ressource an net nom ganze Subnetz. E ganzt /24 opzemaachen sou datt eng Applikatioun funktionéiert ass de We op deem eng schmuel Ufro eng breet Autorisatioun gëtt déi duerno keen traut ewechzehuelen.

Wann d’Zil en Internetausgang war an net en private Subnetz, dann ass de richtegen Deel en Ausgangsknät, keen Subnetzrouter, an d’Politik an d’Routing ënnerscheede sech deemno. Kontrolléiert déi Entscheedung ier Dir eng Autorisatioun erweidert. En Ausgangsknät ännert d’Standardroute; en Subnetzrouter annoncéiert just e Prefix.