Éin Tailscale-vert utilgjengeleg: subnett-rutar eller utgangsnode?

Éin Tailscale-vert svarar medan ein annan vert mørk, eller alt fungerer til offentlege nettstader byrjar å rapportere feil land. Begge klagene kjem som „Tailscale er øydelagt“, og begge er vanlegvis den feil konstruksjonen slått på for feil mål. Ein subnett-rutar eksponerer eit privat nettverk for tailnettet, medan ein utgangsnode endrar kvar internettrafikken går ut. Sorter først målet som feilar, og vel så rolla som dekkjer det.

Start med målet som feila

Skriv ned adressa eller namnet som ikkje virka, og kva slags ting det er. Ei eining på eit privat LAN bak ein annan stad, ei teneste på ditt eige segment og ein offentleg nettstad er tre ruteproblem som tilfeldigvis deler éin klient. Skilnaden er ikkje kosmetisk, fordi dei to konstruksjonane dekkjer ulike sett av mål. Å slå på den eine gjer ingenting for den andre, og det er heile kjelda til forvirringa.

Legg òg merke til adressefamilien. Eit subnett som berre blir annonsert som IPv4, lèt IPv6-mål liggje på den lokale vegen, noko som ser ut som ein delvis feil til nokon samanliknar begge rutetabellane. Noter kva veg du venta, slik at testen seinare har noko å seie imot.

Nå ei eining som aldri køyrer Tailscale

Rutaren annonserer bestemte område til tailnettet og videresender deretter pakkar mellom tailnettet og det private segmentet, så einingane på det segmentet treng ikkje eigen klient. Å nå ein NAS på kontoret frå ein berbar heime er nettopp dette tilfellet. Rutaren er det einaste medlemmet av tailnettet på den sida.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Annonsering er berre den første av tre vilkår. Ruta må godkjennast for tailnettet, klienten må godta annonserte ruter, og ei tilgangsregel må tillate sambandet. Denne kjeda er grunnen til at symptomet så ofte er at rutaren køyrer og NAS-en ikkje. Ein tilgjengeleg rutar beviser at tunnelen verkar; han beviser ingenting om godkjenning, klientgodtaking eller policy.

Kvar av dei tre feila ser annleis ut i administrasjonskonsollen. Sjekk dei i rekkjefølgje i staden for å endre alle tre samtidig, fordi ei anna endring skjuler kva som betydde noko.

Send offentleg trafikk ut gjennom ein annan maskin

Ein utgangsnode ruter den vanlege internettrafikken din gjennom seg sjølv, noko som er den næraste analogien til fulltunneloppsettet i andre VPN-produkt. Han treng òg tre separate samtykke: eininga annonserer rolla, ein administrator tillèt ho, og klienten vel ho. Å bli med i eit tailnett sender ingenting gjennom eit anna medlem som standard.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

Å velje ein utgangsnode gir ikkje automatisk tilgang til hans eige LAN. LAN-tilgangsalternativet finst nettopp fordi dette er ulike løyve, og å la det vere av er den tryggare standarden. Ruter til andre Tailscale-ressursar held si eiga handsaming sjølv medan ein utgangsnode er aktiv. Difor kan ei teneste som blir drifta på eit subnett halde fram med å verke medan den offentlege internettvegen er endra.

Ein utgangsnode endrar òg korleis internett ser deg, ikkje berre kor fort det kjennest. Vent at geolokasjon, strøymekatalogar og hastigheitsgrenser følgjer adressa til utgangen og ikkje di.

Les tredelinga når berre éin vert feilar

Ein skrivar på ditt eige segment, ein NAS bak ein ekstern subnett-rutar og ein offentleg nettstad er tre mål med tre ulike vegar. Viss nøyaktig eitt av dei feilar, høyrer feilen til vegen til det målet og ikkje til klienten som heilskap. For den lokale skrivaren medan ein utgangsnode er i bruk, er LAN-tilgangsinnstillinga det vanlege svaret. For den eksterne NAS-en, sjekk det annonserte området, godkjenningsstatusen og tilgangsreglane i den rekkjefølgja. For ein offentleg nettstad, sjekk kva utgangsnode som er vald og om klienten faktisk godtok han.

Viss adressa verkar og namnet ikkje, slutt å sjå på ruter. Privat DNS blir konfigurert separat, og eit namn som blir løyst til feil adresse feilar på ein måte som ser identisk ut med ei blokkert rute. Test adressa først, deretter namnet, og dei to resultata fortel deg kva lag du skal opne.

Stadfest vegen du trur du har bygd

Verifisering er eit ruteoppslag pluss ein adressekontroll, ikkje ein ping. Oppslaget fortel kva grensesnitt eit mål ville bruke, og adressekontrollen fortel i kva område målet faktisk ligg. Ein ping som lukkast seier at verten lever ein stad, noko som ikkje er spørsmålet. Køyr begge før du endrar nokon konfigurasjon.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Kombiner det med tailnettet sitt eige bilete, som viser om peeren er direkte tilkopla eller videresend. Ein videresend veg verkar framleis, og det forklarer klagar på ventetid som ikkje har noko med ruta du feilsøkte å gjere. dokumentasjonen for subnett-rutaren dekkjer godkjenningstrinnet viss det er ukjent. Skriv deretter ned kva konstruksjon som dekkjer kva mål i ditt eige nettverk, fordi neste person som legg til ein stad vil stille det same spørsmålet.