Autentiser en ekstern Tailscale-enhet på en trygg måte

Tvinger du frem en ny Tailscale-innlogging på en ekstern server, kan tailnet-tilkoblingen falle før enheten er ferdig med å logge inn igjen. Det er ikke en feil i kommandoen; operasjonen gjør akkurat det den skal på veien du bruker. Regelen er enkel: ordne en annen vei til maskinen før du fornyer nøkkelen dens. Alt annet er forberedelse til det øyeblikket.

Hvorfor kommandoen kan kutte deg av

Enhetsnøkkelen er det som lar noden bli med i tailnet. Fornyer du den, slutter den gamle nøkkelen å bli godtatt, og noden må fullføre en ny innlogging før den kan bli med igjen. Går den eneste økten din over det tailnet, skjer gjeninntredenen uten deg. En subnett-ruter gjør det verre, fordi klienter beholder rutene sine og mister veien bak dem.

Derfor betyr rekkefølgen mer enn selve kommandoen. Tilgang først, fornyelse etterpå. En konsolløkt, en seriell konsoll eller en kollega på stedet kan alle brukes.

Utelukk først en annen feil

Bekreft at nøkkelen faktisk er problemet før du fornyer noe. Sjekk adminkonsollen for utløp, og sjekk deretter enhetens egen status for om den er tilkoblet og hvilke peers den ser. En gyldig nøkkel med en brutt rute, en ACL-endring eller en stoppet tjeneste ser likt ut på avstand. En tvungen fornyelse reparerer ingen av delene.

tailscale status

Er noden online og nøkkelen gyldig, fortsett å lete. Fornyelse er siste utvei, ikke en generell reparasjon. Les peer-listen så vel som online-flagget, fordi en halvt tilkoblet node fortsatt rapporterer at den er oppe.

Forny med en annen vei inn

Med konsolltilgang eller en annen administrasjonsvei klar, kjør fornyelsen på enheten. Tailscale dokumenterer force-reauth-formen av up-kommandoen for dette formålet, og den krever forhøyede rettigheter der plattformen krever det. Kjør den én gang, og følg med på utdataene i stedet for å lukke økten. Dropper kommandoen tilkoblingen din, koble til på nytt via den andre veien og les den lokale loggen.

sudo tailscale up --force-reauth

Har nøkkelen allerede utløpt, kan adminkonsollen tilby en midlertidig forlengelse for kvalifiserte enheter. Den forlengelsen er et vindu for å gjenvinne tilgangen og fullføre innloggingen, ikke en varig erstatning for den. Noter fristen den viser.

Test hva enheten faktisk leverer

Test tjenesten enheten finnes for, etter at den har blitt med igjen. En ruter bør testes gjennom en ressurs bak den, en exit node gjennom den tiltenkte internettveien og en vanlig server gjennom porten du faktisk bruker. En node som vises som online, beviser ingenting av dette i seg selv. Test fra en maskin som ikke er noden, siden lokale sjekker omgår tailnet-veien helt.

tailscale ping 100.101.102.103

Skriv deretter ned utløpspolicyen for denne maskinen. En uovervåket connector og en personlig bærbar PC har forskjellige toleranser, og den som overtar serveren, bør ikke måtte finne ut på nytt hvilken av dem det er. Det notatet er forskjellen mellom en dokumentert policy og en overraskelse neste år. Tailscales dokumentasjon om nøkkelutløp dekker fornyelsesalternativene og grensene deres.