Jeden host Tailscale nedostupný: router podsiety alebo výstupný uzol?

Jeden host Tailscale odpovedá, kým druhý zostáva tmavý, alebo všetko funguje, až kým verejné weby nezačnú hlásiť nesprávnu krajinu. Obe sťažnosti prichádzajú ako „Tailscale je pokazený“ a obe sú zvyčajne nesprávna konštrukcia zapnutá pre nesprávny cieľ. Najprv si zoraď cieľ, ktorý zlyháva, a potom vyber rolu, ktorá ho pokrýva.

Začni cieľom, ktorý zlyhal

Zapíš adresu alebo názov, ktorý nefungoval, a o aký druh veci ide. Zariadenie v súkromnej LAN za iným areálom, služba na vlastnom segmente a verejný web sú tri problémy smerovania, ktoré náhodou zdieľajú jedného klienta. Rozdiel nie je kozmetický, pretože obe konštrukcie pokrývajú iné množiny cieľov. Zapnutie jednej nič nerobí pre druhú, a to je celý zdroj zmätku.

Všimni si aj rodiny adries. Podsieť inzerovaná len ako IPv4 necháva ciele IPv6 na lokálnej ceste, čo vyzerá ako čiastočné zlyhanie, kým niekto neporovná obe smerovacie tabuľky. Zapíš, akú cestu si očakával, aby mal test neskôr čo vyvrátiť.

Dostaň sa na zariadenie, ktoré nikdy nespúšťa Tailscale

Router ohlasuje tailnetu konkrétne rozsahy a potom preposiela pakety medzi tailnetom a súkromným segmentom, takže zariadenia v tomto segmente nepotrebujú vlastného klienta. Dostupnosť NASu v kancelárii z notebooku doma je presne tento prípad. Router je jediný člen tailnetu na tej strane.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Inzerovanie je len prvá z troch podmienok. Trasa musí byť pre tailnet schválená, klient musí inzerované trasy prijať, a prístupové pravidlo musí spojenie povoliť. Práve táto reťaz je dôvod, prečo je symptóm tak často ten, že router beží a NAS nie. Dostupný router dokazuje, že tunel funguje; nič nedokazuje o schválení, prijatí klientom ani politike.

Každé z týchto troch zlyhaní vyzerá v administračnej konzole inak. Kontroluj ich po poradí, namiesto toho, aby si menil všetky tri naraz, pretože druhá zmena skryje, ktorá bola dôležitá.

Pošli verejnú prevádzku von cez iný stroj

Výstupný uzol smeruje tvoju všeobecnú internetovú prevádzku cez seba, čo je najbližšia obdoba plného tunela v iných VPN produktoch. Aj on potrebuje tri samostatné súhlasy: zariadenie inzeruje rolu, správca ju povolí a klient ju vyberie. Pripojenie k tailnetu štandardne neposiela nič cez iného člena.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

Výber výstupného uzla automaticky neudeľuje prístup k jeho vlastnej LAN. Voľba prístupu k LAN existuje práve preto, že ide o rôzne oprávnenia, a nechať ju vypnutú je bezpečnejší predvolený stav. Trasy k iným prostriedkom Tailscale si zachovávajú vlastné spracovanie, aj keď je výstupný uzol aktívny. Preto môže služba hostovaná v podsieti ďalej fungovať, zatiaľ čo sa verejná internetová cesta zmenila.

Výstupný uzol mení aj to, ako ťa internet vidí, nielen ako rýchlo to pôsobí. Očakávaj, že geolokácia, streamingové katalógy a limity rýchlosti budú nasledovať adresu výstupu, nie tvoju.

Prečítaj si rozdelenie na tri, keď zlyhá len jeden host

Tlačiareň na tvojom segmente, NAS za vzdialeným routerom podsiety a verejný web sú tri ciele s tromi rôznymi cestami. Ak zlyhá presne jeden z nich, porucha patrí ceste tohto cieľa, nie klientovi ako celku. Pre lokálnu tlačiareň pri aktívnom výstupnom uzle je obvyklou odpoveďou nastavenie prístupu k LAN. Pre vzdialený NAS skontroluj inzerovaný rozsah, stav jeho schválenia a prístupové pravidlá v tomto poradí. Pre verejný web skontroluj, ktorý výstupný uzol je vybraný a či ho klient skutočne prijal.

Ak adresa funguje a názov nie, prestaň sa pozerať na trasy. Súkromný DNS sa konfiguruje zvlášť a názov, ktorý sa preloží na nesprávnu adresu, zlyháva rovnako, ako vyzerá zablokovaná trasa. Najprv otestuj adresu, potom názov, a dva výsledky ti povedia, ktorú vrstvu otvoriť.

Potvrď cestu, ktorú si myslíš, že si postavil

Overenie je vyhľadanie trasy plus kontrola adresy, nie ping. Vyhľadanie povie, ktoré rozhranie by cieľ použil, a kontrola adresy povie, v akom rozsahu cieľ naozaj žije. Úspešný ping povie, že host je niekde nažive, čo nie je otázka. Spusti oboje pred zmenou akejkoľvek konfigurácie.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Spoj to s vlastným pohľadom tailnetu, ktorý ukazuje, či je peer pripojený priamo alebo cez relay. Cesta cez relay stále funguje, a to vysvetľuje sťažnosti na latenciu, ktoré nemajú nič spoločné s trasou, ktorú si ladenil. dokumentácia routera podsiety pokrýva krok schválenia, ak ti nie je známy. Potom si zapíš, ktorá konštrukcia pokrýva ktorý cieľ v tvojej sieti, pretože ďalší človek, ktorý pridá areál, bude klásť rovnakú otázku.