ولې د Tailscale تصویب شوې فرعي شبکه لاره لا هم د وخت پای ته رسېږي

په اداري کنسول کې تصویب وروستی ګام ښکاري، خو داسې نه ده. لومړی اپلیکیشن د وخت پای ته رسېږي، او یوازې له هغې وروسته روټر آنلاین او لاره تصویب شوې ومومئ. تصویب د وېش ګام دی، نه اجازه او نه د لېږد تضمین. باید څلور پړاوونه سره سمون ولري مخکې له دې چې یوه بسته د فرعي شبکې روټر شاته هوسټ ته ورسېږي، او هر یو کولای شي بریالی شي پداسې حال کې چې بل ناکامېږي. دوی په ترتیب سره ترسره کړئ او په لومړي پړاو کې ودرېږئ چې نه ټینګېږي.

څلور پړاوونه، یوه ناکامي

روټر پریفیکس اعلانوي، tailnet هغه اعلان تصویبوي، کلاینت ترلاسه شوې لاره مني، او د لاسرسي پالیسي ځانګړې اړیکه اجازه ورکوي. دا د درې مختلفو برخو لخوا څلور جلا پرېکړې دي. نو تصویب شوې لاره یوازې دا وایي چې شبکه اوس د tailnet د لارښوونې جدول برخه ده.

څلورم پړاو تر ټولو ډېر پرېښودل کېږي، ځکه چې لومړي درې لیدل کېدونکی حالت جوړوي. هغه اجازه چې د روټر خپله tailnet پته پوښي په اتوماتيک ډول د هغې شاته شخصي فرعي شبکه نه پوښي. دا جلا منزلونه دي، او پالیسي د هر منزل لپاره جلا ارزول کېږي.

په Linux کې دریم پړاو یو ډیفالټ هم لري چې خلک حیرانوي: د فرعي شبکې لارو منل اختیاري دي. څو GUI کلاینتونه اعلان شوې لارې په ډیفالټ ډول مني، نو یو ګډ ډله کولای شي یوه ماشین ناکام وښيي پداسې حال کې چې نور کار کوي.

د پلیټ فارم اټکل کولو پر ځای په ناکامه ماشین کې ترتیب تایید کړئ. په کار کوونکو ماشینونو کې لاره هیڅکله نه وه ورکه برخه، نو پرېږدئ دوی ثابت کړي چې د tailnet اړخ روغ دی. د Tailscale د فرعي شبکې روټرونو اسناد تصویب، د کلاینت لارې منل او د پالیسي پړاو پوښي.

لاره هغه ځای وګورئ چې کلاینت پکې ځي

له ناکام کلاینت څخه پیل وکړئ، نه له روټر. تایید کړئ چې لاره شتون لري او د کلاینت ترتیب په بشپړ ډول د لارو منلو اجازه ورکوي.

tailscale status
tailscale debug prefs | grep -i route
ip route get 10.20.0.42

لومړی امر د همکارانو لیست او دا ښيي چې د فرعي شبکې روټر رسېدونکی دی که نه، دویم د لارې منلو بیرغ سره د کلاینت غوراوي چاپوي، او دریم له کرنل څخه پوښتي چې په فرعي شبکه کې د یوه ریښتیني هوسټ لپاره کوم انټرفېس کاروي. که هغه وروستی امر د Tailscale انټرفېس پر ځای فزیکي انټرفېس ونوموي، لاره هیڅکله جدول ته نه ده ننوتلې. ورکه لاره د کلاینت اړخه ستونزه ده، د تصویب ستونزه نه ده. د پالیسي کتلو دمخه یې سم کړئ.

په Linux کې د لارو منلو لپاره، د دې پر ځای چې بیرغ ټاکل شوی وي، بیا ورسره وصل شئ: tailscale up --accept-routes. هغه کلاینت چې بل بیرغ سره یوځای شوی تر بدلېدو پورې یې ساتي، نو د بل اضافه کولو دمخه اوسنی ترتیب وګورئ. له بدلون وروسته لومړی امر بیا چلول باید لاره په جدول کې وښيي.

لېږد او د بېرته راتلو لاره ثابته کړئ

تصویب روټر د بستو لېږلو لپاره نه تنظیموي، او ځواب نه ترتیبوي. دواړه د روټر د LAN اړخ په هوسټ کچه مسلې دي. دوی په روټر ازموئ، نه په کلاینت.

sysctl net.ipv4.ip_forward
iptables -t nat -L POSTROUTING -n -v
tcpdump -ni any host 10.20.0.42 and port 443

لومړی امر باید 1 راپور کړي، که نه کرنل لېږل شوې بسته غورځوي. دویم ښيي چې د فرعي شبکې لارې ماسک کول سرچینه بیا لیکي که نه، چې دا ډیفالټ چلند دی او معمولاً هغه څه چې تاسو یې غواړئ. دریم ښيي چې غوښتنه منزل ته رسېږي او که څه بېرته راځي؛ بې ځوابه غوښتنه د بېرته راتلو لارې ستونزه ده، د تصویب نه. د دوی له بدلولو دمخه درې پایلې یوځای ولولئ.

که ماسک کول بند شوي وي، منزل شبکې ته د tailnet پتو ته د بېرته راتلو لاره ورته ده، او په منځ کې هر ټوپ باید دا پوه وي. ماسک کول بیا فعالول د یو خدمت لپاره چټکه حل دی، خو په دې بیه چې اصلي کلاینت پته له منزل څخه پټېږي. دا تبادله مهمه ده کله چې منزل د پلټنې لپاره سرچینې پتې ثبتوي، نو په ادغام کې د بیرغ اړولو پر ځای په پوهاوي سره پرېکړه وکړئ. مستند کړئ چې کوم انتخاب مو وکړ، ځکه بل کس به یوازې د دوو چلندونو یو وګوري.

د سرچینې لپاره د لاسرسي قاعده ولولئ

کله چې لاره موجوده او لېږد ثابت وي، پاتې شکمن پالیسي ده. هغه اجازه ولولئ چې باید اړیکه اجازه کړي او د هغې منزل وګورئ، نه یوازې سرچینه. د کلاینت خپل هویت هم باید د پالیسي ټاکونکي سره سمون ولري، نو له هماغه ناکامه ماشین څخه یې ثبت کړئ.

tailscale status --json | head -40
tailscale ping <router-name-or-tailnet-ip>
ping -c 3 10.20.0.42

د حالت پایله د کلاینت خپلې پتې او هغه همکاران چې ګوري یې پیژني، او د پالیسي سرچینه ټاکونکی باید ورسره سمون ولري. tailscale ping د tailnet لاره تر فرعي شبکې روټر پورې ثابته کوي؛ دا د همکارانو نومونه او tailnet پتې حل کوي، نه د اعلان شوې فرعي شبکې دننه هوسټونه. دریم امر د فرعي شبکې لارې له لارې عادي ICMP بانګ لېږي، نو پایله یې روټر نه بلکې منزل تشریح کوي. په tailnet کچه رد معمولاً د رد په توګه بېرته راځي، پداسې حال کې چې هغه بسته چې ووځي او هیڅکله نه راګرځي د وخت پای ته رسېږي.

ناکام نوم له ناکامې پتې څخه جلا پوښتنه ده؛ لاره ګناه کولو دمخه هوسټ مستقیم حل کړئ. اجازه د ټولې فرعي شبکې پر ځای د سرچینې ریښتیني اړتیا له مخې ولیکئ. د یو اپلیکیشن د کار کولو لپاره ټوله /24 پرانیستل هغه لاره ده چې تنګه غوښتنه پراخه اجازه شي چې وروسته هیڅوک یې لرې کولو زړه نه کوي.

که هدف شخصي فرعي شبکه نه بلکې انټرنیټ ایګریس و، سمه برخه د وتلو نوډ دی، نه د فرعي شبکې روټر، او پالیسي او لارښوونه د هغې له مخې توپیر لري. د اجازې پراخولو دمخه هغه پرېکړه وګورئ. د وتلو نوډ ډیفالټ لاره بدلوي؛ د فرعي شبکې روټر یوازې پریفیکس اعلانوي.