Viens Tailscale resursdators nav sasniedzams: apakštīkla maršrutētājs vai izejas mezgls?

Viens Tailscale resursdators atbild, bet otrs paliek tumšs, vai arī viss darbojas, līdz publiskās vietnes sāk ziņot par nepareizu valsti. Abas sūdzības nāk kā „Tailscale ir salūzis“, un abas parasti ir nepareizā konstrukcija, kas ieslēgta nepareizajam galamērķim. Apakštīkla maršrutētājs atklāj privātu tīklu tailnet tīklam, bet izejas mezgls maina to, no kurienes iznāk interneta trafiks. Vispirms sakārto neizdevušos galamērķi, pēc tam izvēlies lomu, kas to nosedz.

Sāc ar galamērķi, kurš neizdevās

Pieraksti adresi vai nosaukumu, kas nestrādāja, un kāda veida lieta tas ir. Ierīce privātā LAN aiz citas vietas, pakalpojums tavā segmentā un publiska vietne ir trīs maršrutēšanas problēmas, kas nejauši dala vienu klientu. Atšķirība nav kosmētiska, jo abas konstrukcijas nosedz dažādas galamērķu kopas. Vienas ieslēgšana neko nedara otrai, un tas ir viss apjukuma avots.

Pievērs uzmanību arī adrešu saimei. Apakštīkls, kas izziņots tikai kā IPv4, atstāj IPv6 galamērķus vietējā ceļā, un tas izskatās kā daļēja kļūme, līdz kāds salīdzina abas maršrutēšanas tabulas. Pieraksti, kādu ceļu tu gaidīji, lai testam vēlāk būtu ko apstrīdēt.

Nonāc līdz ierīcei, kas nekad nepalaiž Tailscale

Maršrutētājs izziņo noteiktus diapazonus tailnet tīklam, pēc tam pārsūta paketes starp tailnet un privāto segmentu, tāpēc šī segmenta ierīcēm nav vajadzīgs savs klients. Nokļūšana līdz biroja NAS no klēpjdatora mājās ir tieši šis gadījums. Maršrutētājs ir vienīgais tailnet dalībnieks tajā pusē.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Izziņošana ir tikai pirmais no trim nosacījumiem. Maršruts ir jāapstiprina tailnet tīklam, klientam jāpieņem izziņotie maršruti, un piekļuves noteikumam jāatļauj savienojums. Šī ķēde ir iemesls, kāpēc simptoms tik bieži ir tāds, ka maršrutētājs strādā, bet NAS ne. Sasniedzams maršrutētājs pierāda, ka tunelis strādā; tas neko nepierāda par apstiprinājumu, klienta pieņemšanu vai politiku.

Katra no šīm trim kļūmēm administrācijas konsolē izskatās citādi. Pārbaudi tās pēc kārtas, nevis maini visas trīs uzreiz, jo otra izmaiņa noslēpj, kura bija svarīga.

Izlaiž publisko trafiku caur citu mašīnu

Izejas mezgls maršrutē tavu vispārējo interneta trafiku caur sevi, un tas ir vistuvākais pilna tuneļa risinājuma analogs citos VPN produktos. Tam arī vajadzīgas trīs atsevišķas piekrišanas: ierīce izziņo lomu, administrators to atļauj, un klients to izvēlas. Pievienošanās tailnet pēc noklusējuma caur citu dalībnieku neko nesūta.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

Izejas mezgla izvēle automātiski nedod piekļuvi tā paša LAN. LAN piekļuves opcija pastāv tieši tāpēc, ka tās ir atšķirīgas atļaujas, un tās atstāšana izslēgtā ir drošāka noklusējuma vērtība. Maršruti uz citiem Tailscale resursiem saglabā savu apstrādi arī tad, kad izejas mezgls ir aktīvs. Tāpēc apakštīklā mitināts pakalpojums var turpināt strādāt, kamēr publiskais interneta ceļš ir mainījies.

Izejas mezgls maina arī to, kā internets tevi redz, ne tikai to, cik ātri tas šķiet. Sagaidi, ka ģeolokācija, straumēšanas katalogi un ātruma ierobežojumi sekos izejas adresei, nevis tavai.

Lasi trīsdaļīgo sadalījumu, kad neizdodas tikai viens resursdators

Printeris tavā segmentā, NAS aiz attāla apakštīkla maršrutētāja un publiska vietne ir trīs galamērķi ar trim dažādiem ceļiem. Ja neizdodas tieši viens no tiem, defekts pieder šī galamērķa ceļam, nevis visam klientam. Vietējam printerim, kamēr tiek izmantots izejas mezgls, parastā atbilde ir LAN piekļuves iestatījums. Attālajam NAS pārbaudi izziņoto diapazonu, tā apstiprinājuma stāvokli un piekļuves noteikumus šajā secībā. Publiskai vietnei pārbaudi, kurš izejas mezgls ir izvēlēts un vai klients to tiešām ir pieņēmis.

Ja adrese strādā, bet nosaukums ne, pārtrauc skatīties uz maršrutiem. Privātais DNS tiek konfigurēts atsevišķi, un nosaukums, kas atrisinās uz nepareizu adresi, neizdodas tāpat, kā izskatās bloķēts maršruts. Vispirms pārbaudi adresi, tad nosaukumu, un abi rezultāti pateiks, kuru slāni atvērt.

Apstiprini ceļu, kuru, tavuprāt, esi uzbūvējis

Pārbaude ir maršruta meklēšana un adreses pārbaude, nevis ping. Meklēšana pasaka, kuru saskarni galamērķis izmantotu, un adreses pārbaude pasaka, kurā diapazonā galamērķis patiešām atrodas. Veiksmīgs ping pasaka, ka resursdators kaut kur ir dzīvs, un tas nav jautājums. Palaid abus pirms jebkuras konfigurācijas maiņas.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Savieno to ar paša tailnet skatu, kas parāda, vai vienaudzis ir tieši savienots vai caur releju. Ceļš caur releju joprojām strādā, un tas izskaidro latentuma sūdzības, kurām nav nekāda sakara ar maršrutu, kuru tu atkļūdoji. apakštīkla maršrutētāja dokumentācija nosedz apstiprināšanas soli, ja tas nav pazīstams. Pēc tam pieraksti, kura konstrukcija nosedz kuru galamērķi tavā tīklā, jo nākamais cilvēks, kurš pievienos vietu, uzdos to pašu jautājumu.