Користуєтеся вихідним вузлом Tailscale? Збережіть доступ до локальної мережі LAN

Принтер працював до ввімкнення вихідного вузла, а тепер ноутбук його не бачить. Вибір вихідного вузла змінює маршрут за замовчуванням, тому клієнт перестає надсилати трафік локальної підмережі через фізичний інтерфейс. Це передбачена поведінка, а не збій виявлення. Одне задокументоване налаштування відновлює найближчу мережу, і завдання — точно зрозуміти, яку саме мережу воно відновлює.

Чому принтер зникає, коли вмикається вихідний вузол

Вихідний вузол оголошує себе маршрутом для інтернет-трафіку. Клієнт спрямовує свій маршрут за замовчуванням на вузол, а вузол пересилає пакети далі, тож усе, що раніше виходило через Wi-Fi кав’ярні, тепер виходить через дальній кінець. Локальні призначення за замовчуванням не виключаються. Тому пристрій у тій самій мережі Wi-Fi стає недоступним, хоча ноутбук досі підключений до цієї мережі.

Пакети спрямовуються в тунель і виходять на дальньому боці, де цієї мережі LAN немає. Протоколи виявлення відмовляють першими, бо залежать від широкомовлення або групової розсилки, яка не перетне шлях виходу. Потім збережена черга друку відмовляє так, що це виглядає як зламаний драйвер.

Налаштування відновлює мережу LAN поруч із ноутбуком

Налаштування локальної мережі стосується мережі поруч із клієнтом, а не мережі за вихідним вузлом. Якщо ноутбук у Wi-Fi кав’ярні, а вихідний вузол удома, налаштування відновлює доступ до пристроїв з боку кав’ярні. Воно не відкриває домашню мережу LAN і не створює маршрут до офісу. Документація вихідного вузла називає --exit-node-allow-lan-access перемикачем; передайте його через tailscale set або tailscale up, залежно від того, що використовує ваша конфігурація клієнта.

Увімкніть його, коли в найближчій мережі є ресурс, який вам справді потрібен. У гостьовій мережі запитайте, чи взагалі варто добиратися до чогось локального.

Налаштування не робить найближчі пристрої довіреними й не обходить їхні власні засоби контролю доступу. Принтер, який приймає завдання з усієї кав’ярні, залишається принтером, який приймає завдання з усієї кав’ярні. Ставтеся до налаштування як до зручності маршрутизації, а не як до межі безпеки.

Доступ до віддаленого офісу — це інший механізм

Щоб дістатися до домашнього NAS, який не запускає Tailscale, потрібен маршрутизатор підмережі. Цей пристрій оголошує приватний префікс у tailnet, і адміністратор має схвалити маршрут, перш ніж клієнти зможуть ним користуватися. Вихідний вузол не відіграє жодної ролі на цьому шляху.

Пристрій, який сам запускає Tailscale, уже має адресу в tailnet. Йому не потрібне налаштування LAN, і його ввімкнення не змусить пристрій з’явитися.

Тримайте три механізми окремо. Вихідний вузол змінює, куди йде інтернет-трафік, маршрутизатор підмережі розширює доступність до приватного префікса, а доступ до локальної мережі відновлює фізичну мережу LAN, до якої підключений ноутбук. Їхнє змішування дає конфігурацію, яка виглядає правильною і нічого не маршрутизує. Перш ніж змінювати, запишіть, який із них ви змінюєте.

Перевірте адресу раніше за список виявлення

Після ввімкнення локального доступу перевірте пристрій за адресою та портом, а не через меню виявлення. Порожній список принтерів не є повною перевіркою, бо виявлення може не спрацювати з причин, не пов’язаних із доступністю unicast. Почніть з адреси та служби, які вам потрібні.

tailscale status
ping -c 2 192.168.1.50
nc -vz 192.168.1.50 9100

Прочитайте три виводи по черзі. tailscale status показує, чи в клієнті ще вибрано вихідний вузол, ping доводить, що адреса доступна, а перевірка порту доводить, що служба слухає. Якщо адреса працює, а збережене ім’я хоста ні, проблема в розв’язанні імен. Якщо не працює жодне, перевірте вибраний маршрут, службу призначення та її брандмауер, перш ніж знову змінювати клієнт.

Вирішуйте для кожної мережі, потім перевіряйте знову після зміни

Увімкніть локальний доступ у мережах, де ви довіряєте сусідам і де ресурс вам потрібен. Залишайте його вимкненим у недовірених мережах, де єдина мета — публічний вихід. Налаштування слідує за мережею, тож ноутбуку, який переміщається між домашньою мережею LAN і кав’ярнею, потрібна свідома відповідь для кожної.

Повторно перевіряйте ресурс щоразу, коли змінюється мережа або вибраний вихідний вузол. Публічний перегляд і локальна доступність — дві окремі перевірки, і принтер, що відповідає, нічого не каже про шлях, яким пройшов ваш браузер. Запишіть, яке налаштування ввімкнено для якої мережі, щоб пізніша зміна не скасувала його тихо. Рядок у профілі запобігає повторенню того самого тікета.