Një host Tailscale i paarritshëm: ruter nënrrjeti apo nyje daljeje?

Një host Tailscale përgjigjet ndërsa një tjetër mbetet i errët, ose gjithçka funksionon derisa faqet publike fillojnë të raportojnë vendin e gabuar. Të dyja ankesat vijnë si „Tailscale është prishur“, dhe të dyja zakonisht janë konstruksioni i gabuar i aktivizuar për destinacionin e gabuar. Së pari rendit destinacionin që dështon, pastaj zgjidh rolin që e mbulon.

Fillo nga destinacioni që dështoi

Shkruaj adresën ose emrin që nuk funksionoi, dhe çfarë lloj gjëje është. Një pajisje në një LAN privat pas një lokacioni tjetër, një shërbim në segmentin tënd dhe një faqe publike janë tre probleme rrugëtimi që ndajnë rastësisht një klient të vetëm. Dallimi nuk është kozmetik, sepse dy konstruksionet mbulojnë grupe të ndryshme destinacionesh. Aktivizimi i njërës nuk bën asgjë për tjetrën, dhe kjo është e gjithë burimi i konfuzionit.

Vër re edhe familjen e adresave. Një nënrrjet i shpallur vetëm si IPv4 i lë destinacionet IPv6 në rrugën lokale, që lexohet si dështim i pjesshëm derisa dikush të krahasojë të dyja tabelat e rrugëtimit. Shkruaj çfarë rruge prisje, që testi më vonë të ketë çfarë të kundërshtojë.

Arri te një pajisje që nuk ekzekuton kurrë Tailscale

Ruteri shpall intervale të caktuara në tailnet, pastaj përcjell paketat midis tailnet-it dhe segmentit privat, kështu që pajisjet në atë segment nuk kanë nevojë për klient të tyre. Arritja te një NAS në zyrë nga një laptop në shtëpi është pikërisht ky rast. Ruteri është i vetmi anëtar i tailnet-it në atë anë.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Shpallja është vetëm kushti i parë nga tre. Rruga duhet të miratohet për tailnet, klienti duhet të pranojë rrugët e shpallura, dhe një rregull hyrjeje duhet të lejojë lidhjen. Ky zinxhir është arsyeja pse simptomi është kaq shpesh që ruteri punon dhe NAS-i jo. Një ruter i arritshëm dëshmon që tuneli punon; nuk dëshmon asgjë për miratimin, pranimin nga klienti ose politikën.

Secili nga ato tre dështime duket ndryshe në konsolën e administrimit. Kontrolloji me radhë në vend që t'i ndryshosh të tre përnjëherë, sepse një ndryshim i dytë fsheh cili ishte i rëndësishëm.

Nxirre trafikun publik përmes një makine tjetër

Një nyje daljeje e drejton trafikun tënd të përgjithshëm të internetit përmes vetvetes, që është analogu më i afërt i konfigurimit të tunelit të plotë në produktet e tjera VPN. Edhe ai kërkon tre pëlqime të veçanta: pajisja shpall rolin, administratori e lejon, dhe klienti e zgjedh. Bashkimi në një tailnet nuk dërgon asgjë përmes një anëtari tjetër si parazgjedhje.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

Zgjedhja e një nyje daljeje nuk jep automatikisht akses në LAN-in e saj. Opsioni i aksesit në LAN ekziston pikërisht sepse këto janë leje të ndryshme, dhe lënia e tij e fikur është parazgjedhja më e sigurt. Rrugët drejt burimeve të tjera Tailscale ruajnë trajtimin e tyre edhe kur një nyje daljeje është aktive. Prandaj një shërbim i strehuar në një nënrrjet mund të vazhdojë të punojë ndërsa rruga publike e internetit ka ndryshuar.

Një nyje daljeje ndryshon edhe si të sheh interneti, jo vetëm sa i shpejtë duket. Prit që gjeolokacioni, katalogët e transmetimit dhe kufijtë e shpejtësisë të ndjekin adresën e daljes dhe jo të tuajën.

Lexo ndarjen në tre kur dështon vetëm një host

Një printer në segmentin tënd, një NAS pas një ruteri nënrrjeti të largët dhe një faqe publike janë tre destinacione me tre rrugë të ndryshme. Nëse dështon saktësisht njëri prej tyre, defekti i përket rrugës së atij destinacioni dhe jo klientit në tërësi. Për printerin lokal ndërsa përdoret një nyje daljeje, përgjigjja e zakonshme është cilësimi i aksesit në LAN. Për NAS-in e largët, kontrollo intervalin e shpallur, gjendjen e miratimit dhe rregullat e aksesit në atë rend. Për një faqe publike, kontrollo cila nyje daljeje është zgjedhur dhe nëse klienti e ka pranuar vërtet.

Nëse adresa punon dhe emri jo, ndalo së shikuari rrugët. DNS privat konfigurohet veçmas, dhe një emër që zgjidhet në adresë të gabuar dështon në një mënyrë që duket identike me një rrugë të bllokuar. Testo së pari adresën, pastaj emrin, dhe dy rezultatet të tregojnë cilin shtresë të hapësh.

Konfirmo rrugën që mendon se ke ndërtuar

Verifikimi është një kërkim rruge plus një kontroll adrese, jo një ping. Kërkimi tregon cilin ndërfaqe një destinacion do të përdorte, dhe kontrolli i adresës tregon në cilin interval destinacioni jeton vërtet. Një ping i suksesshëm tregon që hosti është i gjallë diku, që nuk është pyetja. Ekzekuto të dyja para se të ndryshosh ndonjë konfigurim.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Kombinoje atë me pamjen e vetë tailnet-it, e cila tregon nëse partneri është i lidhur drejtpërdrejt ose përmes releut. Një rrugë përmes releut punon gjithsesi, dhe kjo shpjegon ankesat për vonesë që nuk kanë asnjë lidhje me rrugën që po korrigjoje. dokumentacioni i ruterit të nënrrjetit mbulon hapin e miratimit nëse nuk është i njohur. Pastaj shkruaj cili konstruksion mbulon cilin destinacion në rrjetin tënd, sepse personi tjetër që shton një lokacion do të bëjë të njëjtën pyetje.