Satu hos Tailscale tidak dapat dicapai: penghala subnet atau nod keluar?

Satu hos Tailscale menjawab sementara yang lain kekal gelap, atau semuanya berfungsi sehingga laman web awam mula melaporkan negara yang salah. Kedua-dua aduan datang sebagai „Tailscale rosak“, dan kedua-duanya biasanya pembinaan yang salah diaktifkan untuk destinasi yang salah. Penghala subnet mendedahkan rangkaian peribadi kepada tailnet, manakala nod keluar mengubah dari mana trafik internet keluar. Susun dahulu destinasi yang gagal, kemudian pilih peranan yang meliputinya.

Mulakan dari destinasi yang gagal

Catat alamat atau nama yang tidak berfungsi, dan jenis benda itu. Peranti pada LAN peribadi di belakang tapak lain, perkhidmatan pada segmen anda sendiri, dan laman web awam ialah tiga masalah penghalaan yang kebetulan berkongsi satu klien. Bezanya bukan kosmetik, kerana kedua-dua pembinaan meliputi set destinasi yang berbeza. Mengaktifkan satu tidak melakukan apa-apa untuk yang lain, dan itulah keseluruhan punca kekeliruan.

Perhatikan juga keluarga alamat. Subnet yang diumumkan hanya sebagai IPv4 membiarkan destinasi IPv6 pada laluan tempatan, yang terbaca sebagai kegagalan separa sehingga seseorang membandingkan kedua-dua jadual penghalaan. Catat laluan yang anda jangkakan, supaya ujian kemudian mempunyai sesuatu untuk dinafikan.

Capai peranti yang tidak pernah menjalankan Tailscale

Penghala mengumumkan julat tertentu kepada tailnet, kemudian menyampaikan paket antara tailnet dan segmen peribadi, jadi peranti pada segmen itu tidak memerlukan klien sendiri. Mencapai NAS di pejabat dari komputer riba di rumah ialah tepat kes ini. Penghala ialah satu-satunya ahli tailnet di sebelah itu.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Pengumuman hanyalah syarat pertama daripada tiga. Laluan mesti diluluskan untuk tailnet, klien mesti menerima laluan yang diumumkan, dan peraturan akses mesti membenarkan sambungan. Rantaian inilah sebabnya gejala begitu kerap ialah penghala hidup dan NAS tidak. Penghala yang boleh dicapai membuktikan terowong berfungsi; ia tidak membuktikan apa-apa tentang kelulusan, penerimaan klien atau dasar.

Ketiga-tiga kegagalan itu kelihatan berbeza dalam konsol pentadbir. Semak mengikut urutan daripada menukar ketiga-tiganya serentak, kerana perubahan kedua menyembunyikan yang mana penting.

Keluarkan trafik awam melalui mesin lain

Nod keluar menghalakan trafik internet umum anda melalui dirinya sendiri, yang merupakan analog terdekat dengan susunan terowong penuh dalam produk VPN lain. Ia juga memerlukan tiga persetujuan berasingan: peranti mengumumkan peranan, pentadbir membenarkannya, dan klien memilihnya. Menyertai tailnet tidak menghantar apa-apa melalui ahli lain secara lalai.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

Memilih nod keluar tidak memberikan akses secara automatik ke LAN nod itu sendiri. Pilihan akses LAN wujud justru kerana ini kebenaran yang berbeza, dan membiarkannya dimatikan ialah lalai yang lebih selamat. Laluan ke sumber Tailscale lain mengekalkan pengendaliannya sendiri walaupun nod keluar aktif. Itulah sebabnya perkhidmatan yang dihoskan pada subnet boleh terus berfungsi walaupun laluan internet awam telah berubah.

Nod keluar juga mengubah cara internet melihat anda, bukan hanya betapa cepat ia terasa. Jangkakan geolokasi, katalog penstriman dan had kadar mengikut alamat keluar dan bukan alamat anda.

Baca pembahagian tiga hala apabila hanya satu hos gagal

Pencetak pada segmen anda, NAS di belakang penghala subnet jauh, dan tapak awam ialah tiga destinasi dengan tiga laluan berbeza. Jika tepat satu daripadanya gagal, kecacatan itu milik laluan destinasi itu, bukan milik klien secara keseluruhan. Untuk pencetak tempatan semasa nod keluar digunakan, tetapan akses LAN ialah jawapan biasa. Untuk NAS jauh, semak julat yang diumumkan, status kelulusannya dan peraturan akses dalam urutan itu. Untuk tapak awam, semak nod keluar mana yang dipilih dan sama ada klien benar-benar menerimanya.

Jika alamat berfungsi dan nama tidak, berhenti melihat laluan. DNS peribadi dikonfigurasikan secara berasingan, dan nama yang menyelesaikan ke alamat salah gagal dengan cara yang kelihatan sama seperti laluan yang disekat. Uji alamat dahulu, kemudian nama, dan kedua-dua hasil memberitahu lapisan mana yang perlu dibuka.

Sahkan laluan yang anda fikir telah anda bina

Pengesahan ialah carian laluan tambah pemeriksaan alamat, bukan ping. Carian memberitahu antara muka mana yang akan digunakan oleh destinasi, dan pemeriksaan alamat memberitahu dalam julat mana destinasi itu sebenarnya berada. Ping yang berjaya mengatakan hos itu hidup di suatu tempat, yang bukan persoalannya. Jalankan kedua-duanya sebelum menukar sebarang konfigurasi.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Padankan dengan pandangan tailnet sendiri, yang menunjukkan sama ada rakan setara bersambung terus atau melalui geganti. Laluan melalui geganti masih berfungsi, dan itu menjelaskan aduan kependaman yang tiada kaitan dengan laluan yang anda nyahpepijat. dokumentasi penghala subnet meliputi langkah kelulusan jika ia tidak biasa. Kemudian catat pembinaan mana meliputi destinasi mana untuk rangkaian anda sendiri, kerana orang seterusnya yang menambah tapak akan bertanya soalan yang sama.