Маршрутизатор подсети Tailscale остановился: сначала проверьте ключ устройства

Телефон по-прежнему показывает маршрут подсети, панель по-прежнему перечисляет объявление, а за маршрутизатором ничего не отвечает. Это похоже на регрессию маршрутизации или брандмауэра, поэтому естественный шаг — снова добавить подсеть на клиенте. Обычно это ничего не меняет: коннектор потерял идентичность, а не конфигурацию. Истёкший ключ устройства оставляет маршрут видимым, пока устройство перестаёт пересылать.

Маршрут остаётся, а пакеты останавливаются

Tailscale рассматривает объявление маршрута и авторизацию устройства как отдельные факты. Маршрутизатор подсети объявляет префикс, клиенты принимают его и используют, а коннектор несёт трафик. Когда ключ устройства истекает, узел больше не может аутентифицироваться в службе координации, поэтому перестаёт участвовать. Клиенты могут сохранить маршрут в своей таблице, потому что его удаление могло бы отправить трафик по непредусмотренному пути. Этот выбор закрываться при сбое объясняет сбивающий с толку симптом: маршрут, который есть, и назначение, которого нет.

Объявление остаётся верным утверждением о намерении. Оно перестало быть утверждением о возможности.

Прочитайте ключ и состояние коннектора

Подтвердите состояние коннектора, прежде чем менять любого клиента. Два вывода разделяют идентичность и доступность.

tailscale status
tailscale ping 100.101.102.103

Вывод состояния помечает маршрутизатор как офлайн или истёкший и сообщает, когда ключ закончится, а ping адресует собственный tailnet-адрес узла, а не службу за ним. Ping, который никогда не покидает клиент, и строка состояния со словом истёкший — это одна и та же находка с двух сторон. Проверьте, не отказывает ли второе устройство, использующее этот маршрутизатор, в тот же момент: общий сбой указывает на коннектор, а одиночный — на принятие маршрута одним клиентом. Не используйте повторно tailnet-адрес из старых заметок, не сверив его с текущим состоянием.

Повторно аутентифицируйтесь, не перерезав собственный путь

Продление восстанавливает идентичность, но выполнение его через единственную рабочую сессию может оставить вас отрезанным. Сначала держите другой административный путь.

tailscale up --force-reauth
tailscale status --self

На узле с доступом к консоли --force-reauth перезапускает поток входа и печатает URL, который должен завершить уполномоченный аккаунт. На удалённом маршрутизаторе до начала подтвердите, что существует последовательная консоль, консоль провайдера или путь управления вне полосы, потому что сессия tailnet может оборваться во время продления. После продления проверьте, что узел в сети и что его объявленные маршруты по-прежнему включены. Повторное добавление префикса на клиенте не является шагом продления и не может его заменить.

Определите политику истечения для устройств без присмотра

Истечение ключа существует, чтобы потерянный ноутбук в конце концов перестал работать, а инфраструктура без присмотра меняет эту защиту на доступность. Администраторы могут отключить истечение для конкретного устройства, что подходит доверенному маршрутизатору в кабельном шкафу, но требует инвентаризации и плана удаления. Помеченные устройства несут собственную идентичность и поведение истечения, поэтому настройка ноутбука их не описывает. Просмотрите фактическую запись устройства, а не полагайтесь на напоминание, созданное месяцы назад.

Затем проверьте ресурс за маршрутизатором, а не только узел. Продлённый ключ исправляет идентичность, а одобрение маршрута, политика и пересылка всё ещё должны работать.