En gostitelj Tailscale nedosegljiv: usmerjevalnik podomrežja ali izstopno vozlišče?

En gostitelj Tailscale odgovarja, drugi pa ostane temen, ali pa vse deluje, dokler javna spletna mesta ne začnejo poročati napačne države. Obe pritožbi prideta kot „Tailscale je pokvarjen“, in obe sta običajno napačna zgradba, vklopljena za napačni cilj. Najprej razvrsti cilj, ki ne uspe, nato izberi vlogo, ki ga pokriva.

Začni pri cilju, ki ni uspel

Zapiši naslov ali ime, ki ni delovalo, in za kakšno stvar gre. Naprava v zasebnem omrežju LAN za drugo lokacijo, storitev na tvojem segmentu in javno spletno mesto so trije problemi usmerjanja, ki si po naključju delijo enega odjemalca. Razlika ni kozmetična, ker obe zgradbi pokrivata različne množice ciljev. Vklop ene ne naredi nič za drugo, in to je ves vir zmede.

Opazi tudi družino naslovov. Podomrežje, objavljeno samo kot IPv4, pusti cilje IPv6 na lokalni poti, kar se bere kot delna odpoved, dokler nekdo ne primerja obeh usmerjevalnih tabel. Zapiši, kakšno pot si pričakoval, da bo test pozneje imel kaj ovreči.

Dosezi napravo, ki nikoli ne izvaja Tailscale

Usmerjevalnik objavi določene razpone v tailnet in nato posreduje pakete med tailnetom in zasebnim segmentom, zato naprave v tem segmentu ne potrebujejo lastnega odjemalca. Doseganje NAS v pisarni s prenosnika doma je natanko ta primer. Usmerjevalnik je edini član tailneta na tej strani.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Objava je le prvi od treh pogojev. Pot mora biti odobrena za tailnet, odjemalec mora sprejeti objavljene poti, in pravilo dostopa mora dovoliti povezavo. Prav ta veriga je razlog, da je simptom tako pogosto delujoč usmerjevalnik in nedelujoč NAS. Dosegljiv usmerjevalnik dokazuje, da tunel deluje; ne dokazuje ničesar o odobritvi, sprejemu pri odjemalcu ali politiki.

Vsaka od teh treh napak je v skrbniški konzoli videti drugače. Preverjaj jih po vrsti, namesto da bi spremenil vse tri hkrati, ker druga sprememba skrije, katera je bila pomembna.

Spusti javni promet ven skozi drug stroj

Izstopno vozlišče usmerja tvoj splošni internetni promet skozi sebe, kar je najbližji približek celotnemu tunelu pri drugih izdelkih VPN. Tudi on potrebuje tri ločena soglasja: naprava objavi vlogo, skrbnik jo dovoli in odjemalec jo izbere. Pridružitev tailnetu privzeto ne pošilja ničesar skozi drugega člana.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

Izbira izstopnega vozlišča ne podeli samodejno dostopa do njegovega lastnega omrežja LAN. Možnost dostopa do LAN obstaja prav zato, ker gre za različna dovoljenja, in pustiti jo izklopljeno je varnejša privzeta vrednost. Poti do drugih virov Tailscale ohranijo svoje lastno obravnavanje tudi medtem ko je izstopno vozlišče aktivno. Zato lahko storitev, gostovana v podomrežju, še naprej deluje, medtem ko se je javna internetna pot spremenila.

Izstopno vozlišče spremeni tudi, kako te vidi internet, ne le kako hitro se zdi. Pričakuj, da bodo geolokacija, katalogi pretakanja in omejitve hitrosti sledili naslovu izhoda in ne tvojemu.

Preberi tridelno razdelitev, ko odpove samo en gostitelj

Tiskalnik na tvojem segmentu, NAS za oddaljenim usmerjevalnikom podomrežja in javno spletno mesto so trije cilji s tremi različnimi potmi. Če odpove natanko eden od njih, napaka pripada poti tega cilja in ne odjemalcu kot celoti. Za lokalni tiskalnik med uporabo izstopnega vozlišča je običajen odgovor nastavitev dostopa do LAN. Za oddaljeni NAS preveri objavljeni razpon, stanje njegove odobritve in pravila dostopa v tem vrstnem redu. Za javno spletno mesto preveri, katero izstopno vozlišče je izbrano in ali ga je odjemalec zares sprejel.

Če naslov deluje in ime ne, prenehaj gledati poti. Zasebni DNS se nastavi ločeno, in ime, ki se razreši na napačen naslov, odpove tako, kot izgleda blokirana pot. Najprej preizkusi naslov, nato ime, in dva rezultata ti povesta, katero plast odpreti.

Potrdi pot, za katero misliš, da si jo zgradil

Preverjanje je iskanje poti plus preverjanje naslova, ne ping. Iskanje pove, kateri vmesnik bi cilj uporabil, in preverjanje naslova pove, v katerem razponu cilj v resnici živi. Uspešen ping pove, da je gostitelj nekje živ, kar ni vprašanje. Zaženi oboje, preden spremeniš katero koli konfiguracijo.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Poveži to z lastnim pogledom tailneta, ki pokaže, ali je partner povezan neposredno ali prek posrednika. Pot prek posrednika še vedno deluje, in to pojasnjuje pritožbe glede zakasnitve, ki nimajo nič skupnega s potjo, ki si jo razhroščeval. dokumentacija usmerjevalnika podomrežja pokriva korak odobritve, če ti ni znan. Nato zapiši, katera zgradba pokriva kateri cilj v tvojem omrežju, ker bo naslednja oseba, ki doda lokacijo, postavila isto vprašanje.