Autentiser ein ekstern Tailscale-eining på ein trygg måte på nytt

Tvingar du fram ei ny Tailscale-innlogging på ein ekstern server, kan tailnet-tilkoplinga falle før eininga er ferdig med å logge inn på nytt. Dette er ikkje ein feil i kommandoen; operasjonen gjer nøyaktig det han skal på vegen du brukar. Regelen er enkel: ordne ein annan veg til maskina før du fornyar nøkkelen hennar. Alt anna er førebuing til det augeblinken.

Kvifor kommandoen kan klippe deg av

Einingsnøkkelen er det som lèt noden bli med i tailnet. Fornyar du han, sluttar den gamle nøkkelen å bli godteken, og noden må fullføre ei ny innlogging før han kan kome attende. Går den einaste økta di over dette tailnet, skjer attkomsten utan deg. Ein subnett-rutar gjer det verre, fordi klientar held på rutene sine og mistar vegen bak dei.

Derfor er rekkjefølgja viktigare enn sjølve kommandoen. Tilgang først, fornying etterpå. Ei konsolløkt, ein seriell konsoll eller ein kollega på staden kan alle brukast.

Utelukk først ein annan feil

Stadfest at nøkkelen faktisk er problemet før du fornyar noko. Sjekk administrasjonskonsollen for utløp, og sjekk deretter statusen til eininga sjølv: om ho er tilkopla og kva peerar ho ser. Ein gyldig nøkkel med ein broten rute, ei ACL-endring eller ein stoppa teneste ser likt ut på avstand. Ei tvinga fornying reparerer ingen av desse.

tailscale status

Er noden på nett og nøkkelen gyldig, hald fram med å leite. Fornying er siste utveg, ikkje ei generell reparasjon. Les peer-lista så vel som nettflagget, fordi ein halvtilkopla node framleis melder at han er oppe.

Forny med ein annan veg inn

Med konsolltilgang eller ein annan administrasjonsveg klar, køyr fornyinga på eininga. Tailscale dokumenterer force-reauth-forma av up-kommandoen for dette føremålet, og ho krev forhøgde rettar der plattforma krev det. Køyr han éin gong og følg med på utdata i staden for å lukke økta. Droppar kommandoen tilkoplinga di, kople til på nytt via den andre vegen og les den lokale loggen.

sudo tailscale up --force-reauth

Har nøkkelen alt gått ut, kan administrasjonskonsollen tilby ei mellombels forlenging for kvalifiserte einingar. Den forlenginga er eit vindauge for å få tilgangen attende og fullføre innlogginga, ikkje ein varig erstattar for henne. Noter fristen ho viser.

Test kva eininga faktisk tener

Etter at eininga har vorte med att, test tenesta ho finst for. Ein ruter bør testast gjennom ein ressurs bak han, ein exit node gjennom den tiltenkte internettvegen og ein vanleg server gjennom porten du faktisk brukar. Ein node som blir vist som på nett, provar ingenting av dette i seg sjølv. Test frå ei maskin som ikkje er noden, sidan lokale sjekkar går heilt utanom tailnet-vegen.

tailscale ping 100.101.102.103

Skriv deretter ned utløpspolicyen for denne maskina. Ein uovervaka kontakt og ein personleg berbar PC har ulike toleransar, og den som arvar serveren, bør ikkje måtte finne ut på nytt kven av dei det er. Den notata er skilnaden mellom ein dokumentert policy og ei overrasking neste år. Tailscales dokumentasjon om nøkkelutløp dekkjer fornyingsvala og grensene deira.