Għaliex rotta tas-subnet ta’ Tailscale approvata xorta taqa’ fil-timeout

L-approvazzjoni fil-console tal-amministrazzjoni tidher bħala l-aħħar pass, u mhijiex. L-applikazzjoni taqa’ fil-timeout l-ewwel, u biss wara ssib ir-router online u r-rotta approvata. L-approvazzjoni hija pass ta’ distribuzzjoni, mhix permess u mhix garanzija ta’ trażmissjoni. Erba’ stadji għandhom jaqblu qabel ma pakkett jasal għal host wara router tas-subnet, u kull wieħed jista’ jirnexxi waqt li dak li jmiss ifalli. Mexxihom fl-ordni u waqaf fl-ewwel stadju li ma jżommx.

Erba’ stadji, falliment wieħed

R-router jħabbar il-prefiss, it-tailnet tapprova dak it-tħabbir, il-klijent jaċċetta r-rotta li rċieva, u l-politika ta’ aċċess tippermetti l-konnessjoni speċifika. Dawn huma erba’ deċiżjonijiet separati meħuda minn tliet komponenti differenti. Għalhekk rotta approvata tgħid biss li n-netwerk issa huwa parti mit-tabella tar-routing tat-tailnet.

Ir-raba’ stadju huwa l-aktar wieħed li jiġi injorat, għax l-ewwel tlieta jipproduċu stat viżibbli. Permess li jkopri l-indirizz tailnet tar-router stess ma jkoprix awtomatikament subnet privat warajh. Dawn huma destinazzjonijiet differenti, u l-politika tiġi evalwata għal kull destinazzjoni.

Fuq Linux it-tielet stadju għandu wkoll valur awtomatiku li jissorprendi: l-aċċettazzjoni ta’ rotot tas-subnet hija fakultattiva. Diversi klijenti GUI jaċċettaw ir-rotot imħabbra b’mod awtomatiku, għalhekk flotta mħallta tista’ turi magna waħda li tfalli waqt li l-oħrajn jaħdmu.

Ikkonferma l-konfigurazzjoni fuq il-magna li tfalli minflok ma tassumi pjattaforma. Ir-rotta qatt ma kienet il-biċċa nieqsa fuq il-magni li jaħdmu, għalhekk ħallihom juru li n-naħa tat-tailnet hija sana. Id-dokumentazzjoni ta’ Tailscale dwar ir-routers tas-subnet tkopri l-approvazzjoni, l-aċċettazzjoni tar-rotot mill-klijent u l-istadju tal-politika.

Iċċekkja r-rotta fejn jaħdem il-klijent

Ibda mill-klijent li jfalli, mhux mir-router. Ikkonferma li r-rotta teżisti u li l-konfigurazzjoni tal-klijent tippermetti l-aċċettazzjoni tar-rotot.

tailscale status
tailscale debug prefs | grep -i route
ip route get 10.20.0.42

L-ewwel kmand juri l-lista tal-pari u jekk ir-router tas-subnet huwiex aċċessibbli, it-tieni jistampa l-preferenzi tal-klijent inkluż il-bandiera tal-aċċettazzjoni tar-rotot, u t-tielet jistaqsi lill-qalba liema interface tuża għal host reali fuq is-subnet. Jekk dak l-aħħar kmand isemmi l-interface fiżika minflok l-interface ta’ Tailscale, ir-rotta qatt ma daħlet fit-tabella. Rotta nieqsa hija problema tan-naħa tal-klijent, mhux problema ta’ approvazzjoni. Sejjahha qabel ma tħares lejn il-politika.

Biex taċċetta rotot fuq Linux, erġa’ qabbad bil-bandiera minflok ma tassumi li hija stabbilita: tailscale up --accept-routes. Klijent li ngħaqad b’bandieri oħra jżommhom sakemm jinbidlu, għalhekk iċċekkja l-konfigurazzjoni attwali qabel ma żżid oħra. L-għoti mill-ġdid ta’ dak l-ewwel kmand wara l-bidla għandu juri r-rotta fit-tabella.

Ipprova t-trażmissjoni u l-passaġġ lura

L-approvazzjoni ma tikkonfigurax ir-router biex jittrażmetti pakketti, u ma tħejjix it-tweġiba. It-tnejn huma kwistjonijiet fil-livell tal-host fuq in-naħa LAN tar-router. Ippruvahom fuq ir-router, mhux fuq il-klijent.

sysctl net.ipv4.ip_forward
iptables -t nat -L POSTROUTING -n -v
tcpdump -ni any host 10.20.0.42 and port 443

L-ewwel kmand irid jirrapporta 1, inkella l-qalba tarmi l-pakkett trażmess. It-tieni juri jekk il-maskerament tar-rotta tas-subnet jikxifx mill-ġdid is-sors, li hija l-imġiba awtomatika u normalment dik li trid. It-tielet juri jekk it-talba tasalx fid-destinazzjoni u jekk xi ħaġa tiġix lura; talba mingħajr tweġiba hija problema tal-passaġġ lura, mhux problema ta’ approvazzjoni. Aqra t-tliet riżultati flimkien qabel ma tbiddel wieħed minnhom.

Jekk il-maskerament ġie diżattivat, in-netwerk tad-destinazzjoni jeħtieġ rotta lura lejn l-indirizzi tat-tailnet, u kull qabża bejniethom għandha tkun taf biha. L-attivazzjoni mill-ġdid tal-maskerament hija l-aktar rimedju malajr għal servizz wieħed, bi prezz li l-indirizz oriġinali tal-klijent jinħeba mid-destinazzjoni. Dan il-kummerċ huwa importanti meta d-destinazzjoni tirreġistra l-indirizzi tas-sors għall-awditjar, għalhekk iddeċiedi b’mod konxju minflok ma taqleb il-bandiera waqt inċident. Iddokumenta liema għażla għamilt, għax il-persuna li jmiss se tara biss waħda miż-żewġ imġibiet.

Aqra r-regola ta’ aċċess għar-riżorsa

Billi r-rotta teżisti u t-trażmissjoni hija ppruvata, is-suspettat li jifdal hija l-politika. Aqra l-permess li suppost jippermetti l-konnessjoni u ċċekkja d-destinazzjoni tiegħu, mhux biss is-sors. L-identità tal-klijent stess trid taqbel ukoll mas-selettur tal-politika, għalhekk iġġielha mill-istess magna li tfalli.

tailscale status --json | head -40
tailscale ping <router-name-or-tailnet-ip>
ping -c 3 10.20.0.42

L-output tal-istat jidentifika l-indirizzi tal-klijent stess u l-pari li jara, u ma’ dan għandu jaqbel is-selettur tas-sors tal-politika. tailscale ping tipprova l-passaġġ tat-tailnet sa ma jasal għar-router tas-subnet stess; din issolvi l-ismijiet tal-pari u l-indirizzi tat-tailnet, mhux hosts ġewwa subnet imħabbar. It-tielet kmand jibgħat eku ICMP normali permezz tar-rotta tas-subnet, għalhekk ir-riżultat tiegħu jiddeskrivi d-destinazzjoni minflok ir-router. Ċaħda fil-livell tat-tailnet normalment tiġi lura bħala ċaħda, filwaqt li pakkett li joħroġ u qatt ma jerġa’ lura jaqa’ fil-timeout.

L-isem li jfalli hija kwistjoni differenti mill-indirizz li jfalli; issolvi l-host direttament qabel ma tagħti tort lir-rotta. Ikteb il-permess skont il-ħtieġa reali tar-riżorsa u mhux skont is-subnet kollu. Li tiftaħ /24 sħiħa biex taħdem applikazzjoni waħda huwa l-mod kif talba dejqa ssir permess wiesa’ li wara ħadd ma jissogra jneħħi.

Jekk l-għan kien il-ħruġ lejn l-internet u mhux subnet privat, il-komponent korrett huwa node tal-ħruġ, mhux router tas-subnet, u l-politika u r-routing ivarjaw skont dan. Iċċekkja din id-deċiżjoni qabel ma twessa’ permess. Node tal-ħruġ ibiddel ir-rotta awtomatika; router tas-subnet iħabbar biss prefiss.