Reautenticar com segurança um dispositivo Tailscale remoto

Forçar um novo login do Tailscale num servidor remoto pode derrubar a conexão ao tailnet antes de o dispositivo terminar de entrar de novo. Não é um defeito do comando; a operação faz exatamente o que deve no caminho que você usa. A regra é simples: prepare um segundo caminho até a máquina antes de renovar a chave dela. Todo o resto é preparação para esse momento.

Por que o comando pode cortar seu acesso

A chave do dispositivo é o que permite ao nó entrar no tailnet. Renová-la significa que a chave antiga deixa de ser aceita, e o nó precisa concluir um novo login antes de voltar. Se a sua única sessão passa por esse tailnet, o retorno acontece sem você. Um roteador de sub-rede piora isso, porque os clientes mantêm as rotas e perdem o caminho atrás delas.

Por isso a ordem importa mais do que o comando em si. Primeiro o acesso, depois a renovação. Uma sessão de console, um console serial ou um colega no local servem igualmente.

Afaste primeiro outra falha

Confirme que a chave é realmente o problema antes de renovar qualquer coisa. Verifique a expiração no console de administração e depois o estado do próprio dispositivo: se está conectado e quais pares ele vê. Uma chave válida com uma rota quebrada, uma mudança de ACL ou um serviço parado parecem iguais de longe. Uma renovação forçada não conserta nada disso.

tailscale status

Se o nó está online e a chave é válida, continue procurando. A renovação é o último recurso, não um conserto geral. Leia a lista de pares além do indicador online, porque um nó meio conectado ainda informa que está ativo.

Renove com um segundo caminho de acesso

Com acesso ao console ou um segundo caminho de administração pronto, execute a renovação no dispositivo. O Tailscale documenta para isso a forma force-reauth do comando up, e ela exige privilégios elevados onde a plataforma os exige. Execute uma vez e acompanhe a saída em vez de fechar a sessão. Se o comando derrubar sua conexão, reconecte pelo segundo caminho e leia o log local.

sudo tailscale up --force-reauth

Se a chave já expirou, o console de administração pode oferecer uma prorrogação temporária para dispositivos elegíveis. Essa prorrogação é uma janela para recuperar o acesso e concluir o login, não um substituto permanente. Anote o prazo que ela mostra.

Teste o que o dispositivo realmente serve

Depois que o dispositivo voltar, teste o serviço para o qual ele existe. Um roteador deve ser testado por meio de um recurso atrás dele, um nó de saída pelo caminho de Internet pretendido e um servidor comum pela porta que você realmente usa. Um nó exibido como online não prova nada disso sozinho. Teste de uma máquina que não seja o nó, porque verificações locais contornam totalmente o caminho do tailnet.

tailscale ping 100.101.102.103

Em seguida, anote a política de expiração desta máquina. Um conector sem supervisão e um notebook pessoal têm tolerâncias diferentes, e quem herdar o servidor não deveria precisar descobrir de novo qual dos dois é. Essa nota é a diferença entre uma política documentada e uma surpresa no ano seguinte. A documentação do Tailscale sobre expiração de chaves cobre as opções de renovação e os limites delas.