Tailscale-subnetrouter gestopt: controleer eerst de apparaatsleutel

De telefoon toont nog steeds de subnetroute, het dashboard vermeldt nog steeds de aankondiging, en niets achter de router antwoordt. Het lijkt op een regressie in routing of firewall, dus de natuurlijke stap is het subnet opnieuw toevoegen op de client. Dat verandert meestal niets, omdat de connector zijn identiteit kwijt is, niet zijn configuratie. Een verlopen apparaatsleutel laat de route zichtbaar terwijl het apparaat stopt met doorsturen.

De route blijft en de pakketten stoppen

Tailscale behandelt routeaankondiging en apparaatautorisatie als aparte feiten. Een subnetrouter kondigt een prefix aan, clients accepteren en gebruiken het, en de connector draagt het verkeer. Wanneer de apparaatsleutel verloopt, kan de node zich niet meer authenticeren bij de coördinatiedienst, dus stopt hij met deelnemen. Clients houden de route mogelijk in hun tabel omdat verwijderen het verkeer via een onbedoelde weg kan sturen. Die keuze om bij een storing te sluiten verklaart het verwarrende symptoom: een route die bestaat en een bestemming die niet bestaat.

De aankondiging blijft een ware uitspraak over de bedoeling. Ze is opgehouden een uitspraak over het vermogen te zijn.

Lees de sleutel en status van de connector

Bevestig de toestand van de connector voordat je een client wijzigt. Twee uitvoerstromen scheiden identiteit van bereikbaarheid.

tailscale status
tailscale ping 100.101.102.103

De statusuitvoer markeert de router als offline of verlopen en meldt wanneer de sleutel afloopt, terwijl de ping het eigen tailnet-adres van de node richt en niet een dienst erachter. Een ping die de client nooit verlaat en een statusregel met verlopen zijn dezelfde bevinding uit twee richtingen. Controleer of een tweede apparaat dat deze router gebruikt op hetzelfde moment uitvalt, want een gedeelde storing wijst op de connector en een enkele storing op de routeacceptatie van één client. Gebruik een tailnet-adres uit oude notities niet opnieuw zonder het tegen de live status te bevestigen.

Authenticeer opnieuw zonder je eigen pad door te snijden

Vernieuwing herstelt de identiteit, maar dat doen via de enige werkende sessie kan je buitensluiten. Houd eerst een ander beheerpad aan.

tailscale up --force-reauth
tailscale status --self

Op een node met consoltoegang start --force-reauth de aanmeldingsstroom opnieuw en drukt een URL af die een geautoriseerd account moet voltooien. Bevestig op een externe router voor het starten dat een seriële console, providerconsole of out-of-band beheerpad bestaat, omdat de tailnet-sessie tijdens de vernieuwing kan wegvallen. Controleer na de vernieuwing of de node online is en of de aangekondigde routes nog zijn ingeschakeld. Het prefix opnieuw toevoegen op de client is geen vernieuwingsstap en kan die niet vervangen.

Bepaal het vervalbeleid voor onbeheerde apparaten

Sleutelverval bestaat zodat een verloren laptop uiteindelijk stopt met werken, en onbeheerde infrastructuur ruilt die bescherming voor beschikbaarheid. Beheerders kunnen het verval voor een specifiek apparaat uitschakelen, wat past bij een vertrouwde router in een kabelkast maar een inventaris en een verwijderplan vereist. Getagde apparaten dragen hun eigen identiteit en vervalgedrag, dus de instelling van een laptop beschrijft ze niet. Bekijk het werkelijke apparaatrecord in plaats van te vertrouwen op een herinnering van maanden geleden.

Test daarna de bron achter de router, niet alleen de node. Een vernieuwde sleutel herstelt de identiteit, terwijl routegoedkeuring, beleid en doorsturen nog steeds moeten werken.