Маршрутизатор підмережі Tailscale зупинився: спершу перевірте ключ пристрою

Телефон досі показує маршрут підмережі, панель досі перелічує оголошення, а за маршрутизатором ніщо не відповідає. Це схоже на регресію маршрутизації або брандмауера, тож природний крок — знову додати підмережу на клієнті. Зазвичай це нічого не змінює, бо конектор втратив ідентичність, а не конфігурацію. Прострочений ключ пристрою залишає маршрут видимим, поки пристрій перестає пересилати.

Маршрут залишається, а пакети зупиняються

Tailscale розглядає оголошення маршруту й авторизацію пристрою як окремі факти. Маршрутизатор підмережі оголошує префікс, клієнти приймають його й використовують, а конектор несе трафік. Коли ключ пристрою спливає, вузол більше не може автентифікуватися в службі координації, тому перестає брати участь. Клієнти можуть зберегти маршрут у своїй таблиці, бо його видалення могло б надіслати трафік небажаним шляхом. Цей вибір закриватися при збої пояснює заплутаний симптом: маршрут, який існує, і призначення, якого немає.

Оголошення залишається правдивим твердженням про намір. Воно перестало бути твердженням про можливість.

Прочитайте ключ і стан конектора

Підтвердьте стан конектора, перш ніж змінювати будь-якого клієнта. Два виводи розділяють ідентичність і доступність.

tailscale status
tailscale ping 100.101.102.103

Вивід стану позначає маршрутизатор як офлайн або прострочений і повідомляє, коли ключ спливає, тоді як ping адресує власну tailnet-адресу вузла, а не службу за ним. Ping, який ніколи не залишає клієнт, і рядок стану зі словом прострочено — це та сама знахідка з двох боків. Перевірте, чи не відмовляє другий пристрій, що використовує цей маршрутизатор, у ту саму мить, бо спільний збій указує на конектор, а одиничний — на прийняття маршруту одним клієнтом. Не використовуйте повторно tailnet-адресу зі старих нотаток, не звіривши її з поточним станом.

Повторно автентифікуйтеся, не перерізавши власний шлях

Продовження відновлює ідентичність, але виконання його через єдину робочу сесію може залишити вас відрізаним. Спершу тримайте інший адміністративний шлях.

tailscale up --force-reauth
tailscale status --self

На вузлі з доступом до консолі --force-reauth перезапускає потік входу й друкує URL, який має завершити уповноважений обліковий запис. На віддаленому маршрутизаторі до початку підтвердьте, що існує послідовна консоль, консоль провайдера або шлях керування поза смугою, бо сесія tailnet може обірватися під час продовження. Після продовження перевірте, що вузол у мережі й що його оголошені маршрути досі ввімкнені. Повторне додавання префікса на клієнті не є кроком продовження й не може його замінити.

Визначте політику спливання для пристроїв без нагляду

Спливання ключа існує, щоб загублений ноутбук зрештою перестав працювати, а інфраструктура без нагляду обмінює цей захист на доступність. Адміністратори можуть вимкнути спливання для конкретного пристрою, що пасує довіреному маршрутизатору в кабельній шафі, але вимагає інвентаризації та плану вилучення. Позначені пристрої мають власну ідентичність і поведінку спливання, тож налаштування ноутбука їх не описує. Перегляньте фактичний запис пристрою, а не покладайтеся на нагадування, створене місяці тому.

Потім перевірте ресурс за маршрутизатором, а не лише вузол. Продовжений ключ виправляє ідентичність, тоді як схвалення маршруту, політика й пересилання все ще мають працювати.