Gebruikt u een Tailscale-exitnode? Houd toegang tot het lokale LAN

De printer werkte voordat de exitnode werd ingeschakeld, en nu ziet de laptop hem niet meer. Een exitnode kiezen verandert de standaardroute, waardoor de client geen verkeer van het lokale subnet meer via de fysieke interface verstuurt. Dat is het bedoelde gedrag, geen fout in de ontdekking. Eén gedocumenteerde instelling herstelt het nabijgelegen netwerk, en het werk is precies begrijpen welk netwerk die herstelt.

Waarom de printer verdwijnt als de exitnode aangaat

Een exitnode kondigt zichzelf aan als de route voor internetverkeer. Je client richt zijn standaardroute op de node, en de node stuurt de pakketten door, dus alles wat eerder via de Wi-Fi van het café naar buiten ging, gaat nu via het verre uiteinde naar buiten. Lokale bestemmingen zijn standaard niet uitgezonderd. Een apparaat op dezelfde Wi-Fi wordt daardoor onbereikbaar, ook al blijft de laptop met dat netwerk verbonden.

De pakketten worden de tunnel in gestuurd en komen er aan de verre kant weer uit, waar dat LAN niet bestaat. Ontdekkingsprotocollen falen als eerste omdat ze afhankelijk zijn van broadcast of multicast dat het uitgangspad niet oversteekt. Een opgeslagen printerwachtrij faalt daarna op een manier die op een kapotte driver lijkt.

De instelling herstelt het LAN naast de laptop

De instelling voor het lokale netwerk gaat over het netwerk naast de client, niet over het netwerk achter de exitnode. Als de laptop op de Wi-Fi van het café staat en de exitnode thuis, herstelt de instelling de toegang tot apparaten aan de cafézijde. Ze opent het thuis-LAN niet en maakt geen route naar het kantoor. De documentatie van de exitnode noemt --exit-node-allow-lan-access de schakelaar; geef hem door via tailscale set of tailscale up, afhankelijk van wat je clientconfiguratie gebruikt.

Schakel het in als het nabijgelegen netwerk een bron heeft die je echt nodig hebt. Vraag je op een gastnetwerk af of iets lokaals überhaupt de moeite waard is.

De instelling maakt nabijgelegen apparaten niet betrouwbaar en omzeilt hun eigen toegangscontroles niet. Een printer die opdrachten van het hele café accepteert, blijft een printer die opdrachten van het hele café accepteert. Behandel de instelling als routeringsgemak, niet als beveiligingsgrens.

Een extern kantoor bereiken is een ander mechanisme

Een NAS thuis bereiken die geen Tailscale draait, vereist een subnetrouter. Dat apparaat kondigt het privé-voorvoegsel in het tailnet aan, en een beheerder moet de route goedkeuren voordat clients hem kunnen gebruiken. De exitnode speelt op dat pad geen rol.

Een apparaat dat zelf Tailscale draait, heeft al een tailnet-adres. Het heeft de LAN-instelling niet nodig, en het inschakelen ervan laat het niet verschijnen.

Houd de drie mechanismen gescheiden. Een exitnode verandert waar het internetverkeer naartoe gaat, een subnetrouter breidt de bereikbaarheid uit naar een privé-voorvoegsel, en toegang tot het lokale netwerk herstelt het fysieke LAN waarmee de laptop is verbonden. Ze door elkaar halen levert een configuratie op die er goed uitziet en niets routeert. Schrijf op welke je verandert voordat je hem verandert.

Test het adres vóór de ontdekkingslijst

Test het apparaat na het inschakelen van lokale toegang op adres en poort in plaats van via een ontdekkingsmenu. Een lege printerlijst is geen volledige test, omdat ontdekking kan mislukken om redenen die niets met unicast-bereikbaarheid te maken hebben. Begin met het adres en de dienst die je nodig hebt.

tailscale status
ping -c 2 192.168.1.50
nc -vz 192.168.1.50 9100

Lees de drie uitvoer in volgorde. tailscale status laat zien of de client de exitnode nog heeft geselecteerd, de ping bewijst dat het adres bereikbaar is, en de poortcontrole bewijst dat de dienst luistert. Als het adres werkt en de opgeslagen hostnaam niet, is het probleem naamresolutie. Als geen van beide werkt, controleer dan de gekozen route, de dienst van de bestemming en de firewall ervan voordat je de client opnieuw wijzigt.

Beslis per netwerk, en test opnieuw na een wijziging

Schakel lokale toegang in op netwerken waar je de buren vertrouwt en de bron nodig hebt. Laat hem uit op onbetrouwbare netwerken waar het enige doel een openbare uitgang is. De instelling volgt het netwerk, dus een laptop die tussen een thuis-LAN en een café wisselt, heeft voor elk een bewust antwoord nodig.

Test de bron opnieuw telkens als het netwerk of de gekozen exitnode verandert. Openbaar browsen en lokaal bereik zijn twee aparte controles, en een printer die antwoordt zegt niets over de route die je browser nam. Noteer welke instelling voor welk netwerk aan staat, zodat een latere wijziging die niet stilletjes ongedaan maakt. Een regel in het profiel voorkomt herhaling van hetzelfde ticket.