Jedan Tailscale host nedostupan: usmjerivač podmreže ili izlazni čvor?

Jedan Tailscale host odgovara dok drugi ostaje mračan, ili sve radi dok javni sajtovi ne počnu prijavljivati pogrešnu zemlju. Obje pritužbe dolaze kao „Tailscale je pokvaren“, a obje su obično pogrešna konstrukcija uključena za pogrešno odredište. Usmjerivač podmreže izlaže privatnu mrežu tailnetu, dok izlazni čvor mijenja odakle izlazi internetski promet. Prvo razvrstaj odredište koje ne radi, pa odaberi ulogu koja ga pokriva.

Počni od odredišta koje nije uspjelo

Zapiši adresu ili ime koje nije radilo i o kakvoj se stvari radi. Uređaj na privatnoj LAN mreži iza druge lokacije, usluga na vlastitom segmentu i javni sajt tri su problema usmjeravanja koji slučajno dijele jednog klijenta. Razlika nije kozmetička, jer dvije konstrukcije pokrivaju različite skupove odredišta. Uključivanje jedne ne čini ništa za drugu, i to je cijeli izvor zabune.

Zabilježi i porodicu adresa. Podmreža objavljena samo kao IPv4 ostavlja IPv6 odredišta na lokalnoj putanji, što izgleda kao djelimičan kvar dok neko ne uporedi obje tablice usmjeravanja. Zapiši kakvu si putanju očekivao, da bi test kasnije imao šta opovrgnuti.

Dođi do uređaja koji nikad ne pokreće Tailscale

Usmjerivač objavljuje određene raspone tailnetu, a zatim prenosi pakete između tailneta i privatnog segmenta, pa uređajima na tom segmentu ne treba vlastiti klijent. Dolazak do NAS-a u uredu s laptopa kod kuće upravo je taj slučaj. Usmjerivač je jedini član tailneta na toj strani.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Objava je samo prvi od tri uslova. Putanja mora biti odobrena za tailnet, klijent mora prihvatiti objavljene rute, i pristupno pravilo mora dopustiti vezu. Zbog tog lanca simptom je tako često to da usmjerivač radi, a NAS ne. Dostupan usmjerivač dokazuje da tunel radi; ne dokazuje ništa o odobrenju, prihvatanju na klijentu ili politici.

Svaki od ta tri kvara izgleda drugačije u administrativnoj konzoli. Provjeravaj ih po redu umjesto da mijenjaš sva tri odjednom, jer druga promjena skriva koja je bila važna.

Pošalji javni promet kroz drugu mašinu

Izlazni čvor usmjerava tvoj opći internetski promet kroz sebe, što je najbliži analog potpunom tunelu u drugim VPN proizvodima. I on traži tri odvojena pristanka: uređaj objavljuje ulogu, administrator je dopušta, a klijent je odabire. Pridruživanje tailnetu prema zadanim postavkama ne šalje ništa kroz drugog člana.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

Odabir izlaznog čvora ne daje automatski pristup njegovoj vlastitoj LAN mreži. Opcija LAN pristupa postoji upravo zato što su to različita dopuštenja, a ostaviti je isključenu sigurnija je zadana vrijednost. Rute prema drugim Tailscale resursima zadržavaju vlastitu obradu čak i dok je izlazni čvor aktivan. Zato usluga smještena u podmreži može nastaviti raditi dok se javna internetska putanja promijenila.

Izlazni čvor mijenja i to kako te internet vidi, ne samo koliko brzo djeluje. Očekuj da geolokacija, katalozi za streaming i ograničenja brzine prate adresu izlaza, a ne tvoju.

Pročitaj trosmjernu podjelu kad zakaže samo jedan host

Pisač na vlastitom segmentu, NAS iza udaljenog usmjerivača podmreže i javni sajt tri su odredišta s tri različite putanje. Ako zakaže točno jedno od njih, kvar pripada putanji tog odredišta, a ne klijentu kao cjelini. Za lokalni pisač dok je izlazni čvor u upotrebi, uobičajen odgovor je postavka LAN pristupa. Za udaljeni NAS provjeri objavljeni raspon, stanje odobrenja i pristupna pravila tim redom. Za javni sajt provjeri koji je izlazni čvor odabran i je li ga klijent stvarno prihvatio.

Ako adresa radi a ime ne, prestani gledati rute. Privatni DNS postavlja se odvojeno, a ime koje se razriješi na pogrešnu adresu pada na način koji izgleda identično blokiranoj ruti. Prvo testiraj adresu, zatim ime, i ta dva rezultata govore koji sloj otvoriti.

Potvrdi putanju za koju misliš da si je izgradio

Provjera je pretraga rute plus provjera adrese, a ne ping. Pretraga kaže koje bi sučelje odredište koristilo, a provjera adrese kaže u kojem rasponu odredište zapravo živi. Uspješan ping kaže da je host negdje živ, što nije pitanje. Pokreni oboje prije nego promijeniš bilo koju konfiguraciju.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Dopuni to vlastitim pogledom tailneta, koji pokazuje je li peer izravno povezan ili preko releja. Putanja preko releja i dalje radi, i to objašnjava pritužbe na latenciju koje nemaju veze s rutom koju si otklanjao. dokumentacija usmjerivača podmreže pokriva korak odobrenja ako ti nije poznat. Zatim zapiši koja konstrukcija pokriva koje odredište u tvojoj mreži, jer će sljedeća osoba koja doda lokaciju pitati isto pitanje.