O roteador de sub-rede do Tailscale parou: verifique primeiro a chave do dispositivo

O telemóvel ainda mostra a rota de sub-rede, o painel ainda lista o anúncio e nada atrás do roteador responde. Parece uma regressão de encaminhamento ou de firewall, por isso o movimento natural é voltar a adicionar a sub-rede no cliente. Normalmente isso não muda nada, porque o conector perdeu a identidade e não a configuração. Uma chave de dispositivo expirada deixa a rota visível enquanto o dispositivo deixa de encaminhar.

A rota fica e os pacotes param

O Tailscale trata o anúncio de rotas e a autorização do dispositivo como factos separados. Um roteador de sub-rede anuncia um prefixo, os clientes aceitam-no e usam-no, e o conector transporta o tráfego. Quando a chave do dispositivo expira, o nó já não consegue autenticar-se no serviço de coordenação, por isso deixa de participar. Os clientes podem manter a rota na sua tabela porque removê-la poderia enviar o tráfego por um caminho não previsto. Essa escolha de fechar em caso de falha explica o sintoma confuso: uma rota que existe e um destino que não existe.

O anúncio continua a ser uma afirmação verdadeira sobre a intenção. Deixou de ser uma afirmação sobre a capacidade.

Leia a chave e o estado do conector

Confirme o estado do conector antes de alterar qualquer cliente. Duas saídas separam a identidade da acessibilidade.

tailscale status
tailscale ping 100.101.102.103

A saída de estado marca o roteador como offline ou expirado e informa quando a chave expira, enquanto o ping visa o endereço tailnet do próprio nó e não um serviço por trás dele. Um ping que nunca sai do cliente e uma linha de estado que diz expirado são a mesma constatação vista de duas direções. Verifique se um segundo dispositivo que usa esse roteador falha no mesmo momento, porque uma falha partilhada aponta para o conector e uma falha isolada aponta para a aceitação da rota por um cliente. Não reutilize um endereço tailnet de notas antigas sem o confirmar face ao estado em direto.

Autentique-se novamente sem cortar o seu próprio caminho

A renovação restaura a identidade, mas fazê-la sobre a única sessão funcional pode deixá-lo isolado. Mantenha primeiro outro caminho administrativo.

tailscale up --force-reauth
tailscale status --self

Num nó com acesso à consola, --force-reauth reinicia o fluxo de início de sessão e imprime um URL que uma conta autorizada tem de concluir. Num roteador remoto, confirme antes de começar que existe uma consola série, uma consola do fornecedor ou um caminho de gestão fora de banda, porque a sessão tailnet pode cair durante a renovação. Depois da renovação, verifique que o nó está online e que as rotas anunciadas continuam ativas. Voltar a adicionar o prefixo no cliente não é um passo de renovação e não a pode substituir.

Decida a política de expiração para dispositivos sem supervisão

A expiração da chave existe para que um portátil perdido acabe por deixar de funcionar, e a infraestrutura sem supervisão troca essa proteção por disponibilidade. Os administradores podem desativar a expiração de um dispositivo específico, o que serve um roteador de confiança num armário de cablagem, mas exige um inventário e um plano de remoção. Os dispositivos etiquetados trazem a sua própria identidade e comportamento de expiração, pelo que a configuração de um portátil não os descreve. Reveja o registo real do dispositivo em vez de confiar num lembrete criado há meses.

Depois teste o recurso atrás do roteador, não apenas o nó. Uma chave renovada corrige a identidade, enquanto a aprovação da rota, a política e o encaminhamento continuam a ter de funcionar.