Tailscale Serve yoki Funnel: havolani aslida kim ocha oladi?

Ikkala buyruq ham mahalliy xizmatni Tailscale HTTPS nomi orqali e'lon qiladi va ularni ishga tushirgan mashinadan ular deyarli bir xil ko'rinadi. Farq keyinchalik URL manziliga kim yeta olishida, va bu farq ilovangizga hali qanday nazoratlar kerakligini belgilaydi. Serve auditoriyani tailnet ichida ushlab turadi, Funnel esa uni ochiq internetga o'tkazadi. Avval auditoriyani tanlang, keyin unga mos keladigan buyruqni tanlang.

Serve tailnet ichidagi savolga javob beradi

Serve mahalliy portni proksi qiladi yoki tailnet dagi qurilmalarga mahalliy tarkibni taqdim etadi, va tailnet ning kirish qoidalari har bir so'rovga amal qiladi. 3000 portidagi boshqaruv paneli faqat qurilmalaringiz hal qila oladigan va ulanadigan HTTPS nomida ochiladi. Bu ichki vositalar uchun to'g'ri standart, chunki auditoriya allaqachon tailnet tomonidan autentifikatsiya qilingan va siz ochiq yuza qo'shmaysiz. URL oddiy veb-saytga o'xshaydi, shuning uchun odamlar uni shunday deb o'ylashadi.

Serve shuningdek, o'zi yuboradigan so'rovlarga tailnet foydalanuvchisini tavsiflovchi identifikatsiya sarlavhalarini qo'shishi mumkin. Agar ilovangiz bu sarlavhalarga autentifikatsiya sifatida ishonsa, backendni localhost ga bog'lang, shunda boshqa hech narsa unga to'g'ridan-to'g'ri yeta olmaydi; marshrutlanadigan manzilda tinglayotgan backend hech qachon proksidan o'tmagan so'rovlarni qabul qilishi mumkin.

Funnel auditoriyani ochiq internetga o'zgartiradi

Funnel tanlangan xizmatni URL ga ega bo'lgan har kimga e'lon qiladi va tashrif buyuruvchilarga mijoz, hisob yoki tailnet a'zoligi kerak emas. Shuning uchun resurs har qanday ochiq xizmatga qo'llaydigan autentifikatsiya, tezlik cheklovi va yamoqlarga muhtoj. Ochiq so'rovlar Serve ning tailnet identifikatsiya sarlavhalarini olib yurmaydi, shuning uchun ularga tayangan ilovaning Funnel ostida foydalanuvchi identifikatsiyasi umuman yo'q. Boshqa e'lon qilish buyrug'ini tanlash autentifikatsiya savoliga sizning o'rningizda javob bermaydi.

Funnel eski versiyadagi qo'llanma aytmasligi mumkin bo'lgan cheklovlarga ham ega. U nom uchun Tailscale oladigan sertifikat bilan TLS ni tugatadi va faqat ma'lum tinglash portlarini qo'llab-quvvatlaydi, Funnel hujjatlari tavsiflaganidek. Agar xizmatingiz o'sha portlardan birida HTTPS dan boshqa protokolni kutsa, Funnel sozlash jumboq emas, noto'g'ri vosita.

Rejimni portdan emas, mijozdan o'qing

Biror narsa ulashishdan oldin joriy holatni tekshiring, chunki ikkala rejim bir xil mahalliy port uchun turli vaqtlarda sozlangan bo'lishi mumkin. Holat buyruqlari aslida nima e'lon qilinganini va kim uchun ekanini bildiradi. URL javob berishidan auditoriya haqida xulosa chiqarmang.

tailscale serve status
tailscale funnel status
tailscale status --json | head -40

Buyruq sintaksisi mijoz versiyalari orasida o'zgargan, shuning uchun nusxalangan chaqiruv siz mo'ljallagan rejimdan boshqasini tanlashi mumkin. Ishlatayotgan versiyangiz uchun hujjatlashtirilgan shaklni afzal ko'ring va taxmin qilish o'rniga mijoz chiqaradigan tasdiqni o'qing. Agar Serve va Funnel sozlamalari ikkalasi ham mavjud bo'lsa, ochiqlik uchun muhimi ommaviysi. Siz mo'ljallamagan sozlamani ustiga boshqasini qo'yish o'rniga uni qayta o'rnating.

Agar chiqish auditoriyani nomlamasa, to'xtang va holatni qayta o'qing. E'lon qilingan auditoriyasiz chop etilgan URL taxmin, va taxminlar ichki boshqaruv panellarining ochiq internetga tushish yo'lidir.

Haqiqatan mo'ljallagan auditoriya bilan sinab ko'ring

Xizmatni e'lon qilgan mashinadan emas, tailnet tashqarisidan sinab ko'ring. Tailnet qurilmasidan kelgan so'rov proksi ishlayotganini isbotlaydi, lekin begona odam chetlashtirilganini isbotlamaydi. Tailscale mijozi yo'q va tailnet ga marshruti yo'q tarmoqdan foydalaning.

curl -sI https://host.tailnet-name.ts.net
curl -sI https://host.tailnet-name.ts.net --resolve host.tailnet-name.ts.net:443:203.0.113.10

Ichki boshqaruv paneli uchun tashqi so'rov ulanishda muvaffaqiyatsiz bo'lishi yoki avtorizatsiyada muvaffaqiyatsiz bo'lishi kerak, ichki so'rov esa siz kutgan identifikatsiya bilan muvaffaqiyatli bo'lishi kerak. Ommaviy xizmat uchun tashqi so'rov muvaffaqiyatli bo'lishi va ilova o'z hisob ma'lumotlarini so'rashi kerak. Bu ikki natijadan qaysinisini kuzatganingizni yozib qo'ying, chunki faqat URL buni aytmaydi. Agar natija maqsadga qarama-qarshi bo'lsa, avval ommaviy sozlamani olib tashlang, keyin tekshiring.

Xizmatni e'lon qilish chiqish tugunini tanlash bilan bir xil qaror emas, chunki chiqish tuguni sizning chiquvchi trafikingiz qaydan chiqishini boshqaradi. Serve va Funnel siz ishga tushirgan narsaga kim yeta olishini javob beradi; chiqish tuguni esa o'zingizning ulanishlaringiz qaydan kelayotgandek ko'rinishini javob beradi. Ikki savolni alohida tuting, taqqoslash oddiy bo'lib qoladi.