Еден Tailscale домаќин е недостапен: рутер за подмрежа или излезен јазол?

Еден Tailscale домаќин одговара, а другиот останува темен, или сѐ работи додека јавните страници не почнат да јавуваат погрешна земја. Двете жалби доаѓаат како „Tailscale е расипан“, и двете обично се погрешната конструкција вклучена за погрешната цел. Рутерот за подмрежа изложува приватна мрежа на tailnet, додека излезниот јазол го менува местото од каде што излегува интернет сообраќајот. Прво среди ја целта што не успева, потоа изберете ја улогата што ја покрива.

Започни од целта што не успеа

Запиши ја адресата или името што не работеше и каков вид работа е тоа. Уред на приватна LAN зад друга локација, услуга на твојот сегмент и јавна страница се три проблеми со рутирање што случајно делат еден клиент. Разликата не е козметичка, бидејќи двете конструкции покриваат различни множества цели. Вклучувањето на едната не прави ништо за другата, и тоа е целиот извор на забуната.

Обрни внимание и на фамилијата адреси. Подмрежа објавена само како IPv4 ги остава целите IPv6 на локалната патека, што изгледа како делумен пад додека некој не ги спореди двете табели за рутирање. Запиши каква патека очекуваше, за да има тестот подоцна што да противречи.

Стигни до уред што никогаш не извршува Tailscale

Рутерот објавува одредени опсези на tailnet, потоа пренесува пакети меѓу tailnet и приватниот сегмент, па уредите на тој сегмент не им треба сопствен клиент. Стигнувањето до NAS во канцеларија од преносен компјутер дома е точно овој случај. Рутерот е единствениот член на tailnet на таа страна.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Објавувањето е само првиот од три услови. Патеката мора да биде одобрена за tailnet, клиентот мора да ги прифати објавените патеки, и правилото за пристап мора да ја дозволи врската. Токму овој ланец е причината зошто симптомот толку често е дека рутерот работи, а NAS не. Достапен рутер докажува дека тунелот работи; тој не докажува ништо за одобрување, прифаќање од клиентот или политика.

Секој од тие три падови изгледа поинаку во административната конзола. Проверувајте ги по ред наместо да ги менувате сите три одеднаш, бидејќи втората промена го крие тоа која била важна.

Извади го јавниот сообраќај низ друга машина

Излезниот јазол го насочува твојот општ интернет сообраќај низ себе, што е најблискиот аналог на целосниот тунел кај други VPN производи. И тој бара три одделни согласности: уредот ја објавува улогата, администраторот ја дозволува, а клиентот ја избира. Приклучувањето на tailnet стандардно не праќа ништо низ друг член.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

Изборот на излезен јазол не дава автоматски пристап до неговата сопствена LAN. Опцијата за пристап до LAN постои токму затоа што тоа се различни дозволи, и оставањето исклучена е побезбедно стандардно. Патеките до други Tailscale ресурси го задржуваат сопственото ракување дури и додека излезниот јазол е активен. Затоа услугата хостирана на подмрежа може да продолжи да работи додека јавната интернет патека е променета.

Излезниот јазол го менува и тоа како интернетот те гледа, не само колку брзо се чувствува. Очекувај геолокацијата, каталозите за стриминг и ограничувањата на брзина да ја следат адресата на излезот, а не твојата.

Прочитај ја триделната поделба кога паѓа само еден домаќин

Печатач на твојот сегмент, NAS зад далечен рутер за подмрежа и јавна страница се три цели со три различни патеки. Ако падне точно една од нив, дефектот и припаѓа на патеката на таа цел, а не на клиентот во целина. За локалниот печатач додека се користи излезен јазол, вообичаениот одговор е поставката за пристап до LAN. За далечниот NAS провери го објавениот опсег, неговата состојба на одобрување и правилата за пристап во тој ред. За јавна страница провери кој излезен јазол е избран и дали клиентот навистина го прифатил.

Ако адресата работи, а името не, престани да гледаш во патеки. Приватниот DNS се конфигурира одделно, и име што се решава на погрешна адреса паѓа на начин што изгледа идентично на блокирана патека. Прво тестирај ја адресата, потоа името, и двата резултати ќе ти кажат кој слој да го отвориш.

Потврди ја патеката што мислиш дека си ја изградил

Проверката е пребарување на патека плус проверка на адреса, не ping. Пребарувањето кажува кој интерфејс би го користела целта, а проверката на адреса кажува во кој опсег целта навистина живее. Успешниот ping кажува дека домаќинот е жив некаде, што не е прашањето. Изврши ги двете пред да смениш било каква конфигурација.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Поврзи го тоа со сопствениот поглед на tailnet, кој покажува дали партнерот е директно поврзан или преку реле. Патеката преку реле сѐ уште работи, и тоа ги објаснува жалбите за доцнење што немаат никаква врска со патеката што ја отстрануваше. документацијата за рутерот за подмрежа го покрива чекорот на одобрување ако не ти е познат. Потоа запиши која конструкција која цел ја покрива во твојата мрежа, бидејќи следниот човек што ќе додаде локација ќе го постави истото прашање.