Безопасно повторно авторизуйте удалённое устройство Tailscale

Если принудительно запустить новый вход в Tailscale на удалённом сервере, соединение с tailnet может оборваться раньше, чем устройство закончит повторный вход. Это не ошибка команды; операция работает именно так, как задумано, на том пути, который вы используете. Правило простое: подготовьте второй способ добраться до машины, прежде чем обновлять её ключ. Всё остальное — подготовка к этому моменту.

Почему команда может вас отрезать

Ключ устройства — это то, что позволяет узлу присоединиться к tailnet. Обновление ключа означает, что старый ключ перестаёт приниматься, и узел должен завершить новый вход, прежде чем вернуться. Если ваш единственный сеанс идёт через этот tailnet, возвращение произойдёт без вас. Маршрутизатор подсети усугубляет это, потому что клиенты сохраняют свои маршруты и теряют путь за ними.

Поэтому порядок важнее самой команды. Сначала доступ, потом обновление. Сеанс в консоли, последовательная консоль или коллега на месте — всё это считается.

Сначала исключите другую неисправность

Убедитесь, что проблема действительно в ключе, прежде чем что-либо обновлять. Проверьте в консоли администратора срок действия, а затем состояние самого устройства: подключено ли оно и каких пиров видит. Действительный ключ со сломанным маршрутом, изменение ACL или остановленная служба выглядят издалека похоже. Принудительное обновление ничего из этого не исправляет.

tailscale status

Если узел в сети и ключ действителен, продолжайте искать. Обновление — крайняя мера, а не общий ремонт. Читайте список пиров не меньше, чем индикатор сети, потому что наполовину подключённый узел всё равно сообщает, что он работает.

Обновите ключ со вторым путём входа

Когда доступ к консоли или второй путь управления готов, запустите обновление на устройстве. Tailscale документирует для этого форму force-reauth команды up, и она требует повышенных прав там, где платформа их требует. Запустите её один раз и следите за выводом, а не закрывайте сеанс. Если команда оборвёт соединение, переподключитесь через второй путь и прочитайте локальный журнал.

sudo tailscale up --force-reauth

Если ключ уже истёк, консоль администратора может предложить временное продление для подходящих устройств. Это продление — окно, чтобы вернуть доступ и завершить вход, а не постоянная замена ему. Запишите показанный срок.

Проверьте, что устройство действительно обслуживает

После возвращения устройства проверьте службу, для которой оно существует. Маршрутизатор следует проверять через ресурс за ним, выходной узел — через предназначенный интернет-путь, а обычный сервер — через порт, который вы действительно используете. Узел, показанный в сети, сам по себе ничего из этого не доказывает. Проверяйте с машины, которая не является узлом, потому что локальные проверки полностью обходят путь tailnet.

tailscale ping 100.101.102.103

Затем запишите политику истечения срока для этой машины. Коннектор без присмотра и личный ноутбук имеют разные допуски, и тот, кто унаследует сервер, не должен заново выяснять, какой из них это. Эта заметка — разница между задокументированной политикой и сюрпризом в следующем году. Документация Tailscale об истечении срока ключей описывает варианты продления и их ограничения.