Vienas Tailscale mazgas nepasiekiamas: potinklio maršrutizatorius ar išėjimo mazgas?

Vienas Tailscale mazgas atsako, o kitas lieka tamsus, arba viskas veikia tol, kol viešosios svetainės pradeda pranešti apie neteisingą šalį. Abi skundas ateina kaip „Tailscale sugedo“, ir abu paprastai yra neteisinga konstrukcija, įjungta neteisingam tikslui. Potinklio maršrutizatorius atveria privatų tinklą tailnet tinklui, o išėjimo mazgas keičia, iš kur išteka interneto srautas. Pirmiausia sutvarkyk nepavykusį tikslą, tada pasirink vaidmenį, kuris jį apima.

Pradėk nuo tikslo, kuris nepavyko

Užsirašyk adresą ar vardą, kuris neveikė, ir koks tai daiktas. Įrenginys privačiame LAN už kitos vietos, paslauga savo segmente ir vieša svetainė yra trys maršruto problemos, kurios atsitiktinai dalijasi vienu klientu. Skirtumas nėra kosmetinis, nes dvi konstrukcijos apima skirtingus tikslų rinkinius. Įjungus vieną, kitam tai nieko nedaro, ir tai yra visa sumaišties priežastis.

Atkreipk dėmesį ir į adresų šeimą. Potinklis, skelbiamas tik kaip IPv4, palieka IPv6 tikslus vietiniame kelyje, o tai atrodo kaip dalinis gedimas, kol kas nors nesulygina abiejų maršruto lentelių. Užsirašyk, kokio kelio tikėjaisi, kad vėliau testas turėtų ką paneigti.

Pasiek įrenginį, kuris niekada nevykdo Tailscale

Maršrutizatorius skelbia tam tikrus diapazonus tailnet tinklui, tada persiunčia paketus tarp tailnet ir privataus segmento, todėl to segmento įrenginiams nereikia savo kliento. Pasiekti NAS biure iš nešiojamojo kompiuterio namuose yra būtent šis atvejis. Maršrutizatorius yra vienintelis tailnet narys toje pusėje.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Skelbimas yra tik pirmoji iš trijų sąlygų. Maršrutas turi būti patvirtintas tailnet tinklui, klientas turi priimti skelbiamus maršrutus, ir prieigos taisyklė turi leisti ryšį. Dėl šios grandinės simptomas taip dažnai yra tai, kad maršrutizatorius veikia, o NAS ne. Pasiekiamas maršrutizatorius įrodo, kad tunelis veikia; jis nieko neįrodo apie patvirtinimą, kliento priėmimą ar politiką.

Kiekvienas iš tų trijų gedimų administravimo konsolėje atrodo kitaip. Tikrink juos iš eilės, o ne keisk visus tris iš karto, nes antras pakeitimas paslepia, kuris buvo svarbus.

Išvesk viešąjį srautą per kitą mašiną

Išėjimo mazgas nukreipia tavo bendrą interneto srautą per save, o tai yra artimiausia viso tunelio sąrankos analogija kituose VPN produktuose. Jam taip pat reikia trijų atskirų sutikimų: įrenginys skelbia vaidmenį, administratorius jį leidžia, o klientas jį pasirenka. Prisijungus prie tailnet pagal numatytuosius nustatymus per kitą narį nieko nesiunčiama.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

Pasirinkus išėjimo mazgą, prieiga prie jo paties LAN automatiškai nesuteikiama. LAN prieigos parinktis egzistuoja būtent todėl, kad tai skirtingi leidimai, ir ją palikti išjungtą yra saugesnis numatytasis nustatymas. Maršrutai į kitus Tailscale išteklius išlaiko savo apdorojimą net tada, kai išėjimo mazgas aktyvus. Todėl potinklyje talpinama paslauga gali toliau veikti, nors viešasis interneto kelias pasikeitė.

Išėjimo mazgas taip pat keičia, kaip internetas tave mato, ne tik kaip greitai tai jaučiama. Tikėkis, kad geolokacija, srautinio perdavimo katalogai ir spartos limitai seks išėjimo adresą, o ne tavo.

Skaityk trišalį padalijimą, kai nepavyksta tik vienas mazgas

Spausdintuvas tavo segmente, NAS už nuotolinio potinklio maršrutizatoriaus ir vieša svetainė yra trys tikslai su trimis skirtingais keliais. Jei nepavyksta lygiai vienas iš jų, defektas priklauso to tikslo keliui, o ne visam klientui. Vietiniam spausdintuvui, kai naudojamas išėjimo mazgas, įprastas atsakymas yra LAN prieigos nustatymas. Nuotoliniam NAS patikrink skelbiamą diapazoną, jo patvirtinimo būseną ir prieigos taisykles ta tvarka. Viešai svetainei patikrink, kuris išėjimo mazgas pasirinktas ir ar klientas jį tikrai priėmė.

Jei adresas veikia, o vardas ne, nustok žiūrėti į maršrutus. Privatus DNS konfigūruojamas atskirai, o vardas, kuris sprendžiamas į neteisingą adresą, nepavyksta taip pat, kaip atrodo užblokuotas maršrutas. Pirmiausia patikrink adresą, tada vardą, ir du rezultatai pasakys, kurį sluoksnį atidaryti.

Patvirtink kelią, kurį, tavo manymu, pastatei

Tikrinimas yra maršruto paieška ir adreso patikra, o ne ping. Paieška pasako, kurią sąsają tikslas naudotų, o adreso patikra pasako, kuriame diapazone tikslas iš tikrųjų yra. Sėkmingas ping pasako, kad mazgas kažkur gyvas, o tai nėra klausimas. Paleisk abu prieš keisdamas bet kokią konfigūraciją.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Sujunk tai su paties tailnet vaizdu, kuris rodo, ar peer yra prijungtas tiesiogiai, ar per relę. Kelias per relę vis tiek veikia, ir tai paaiškina delsos skundus, neturinčius nieko bendra su maršrutu, kurį derinai. potinklio maršrutizatoriaus dokumentacija apima patvirtinimo žingsnį, jei jis nepažįstamas. Tada užsirašyk, kuri konstrukcija apima kurį tikslą tavo tinkle, nes kitas žmogus, pridėjęs vietą, užduos tą patį klausimą.