Xác thực lại an toàn một thiết bị Tailscale từ xa

Nếu bạn buộc một đăng nhập Tailscale mới trên máy chủ từ xa, kết nối tới tailnet có thể đứt trước khi thiết bị đăng nhập lại xong. Đây không phải lỗi của lệnh; thao tác chạy đúng như thiết kế trên đường đi bạn đang dùng. Quy tắc rất đơn giản: hãy chuẩn bị một đường thứ hai đến máy trước khi gia hạn khóa của nó. Mọi thứ còn lại chỉ là chuẩn bị cho khoảnh khắc đó.

Vì sao lệnh có thể cắt bạn ra

Khóa thiết bị là thứ cho phép nút tham gia tailnet. Gia hạn nó nghĩa là khóa cũ không còn được chấp nhận, và nút phải hoàn tất một lần đăng nhập mới trước khi có thể quay lại. Nếu phiên duy nhất của bạn chạy qua tailnet đó, việc quay lại diễn ra mà không có bạn. Một router mạng con làm tình hình tệ hơn, vì máy khách giữ nguyên tuyến của mình và mất đường phía sau.

Vì thế thứ tự quan trọng hơn bản thân lệnh. Truy cập trước, gia hạn sau. Một phiên console, một console nối tiếp hay một đồng nghiệp tại chỗ đều được tính.

Loại trừ một lỗi khác trước

Hãy xác nhận khóa thực sự là vấn đề trước khi gia hạn bất cứ thứ gì. Kiểm tra hạn trong bảng quản trị, rồi kiểm tra trạng thái của chính thiết bị: nó có kết nối không và thấy những peer nào. Một khóa hợp lệ với tuyến hỏng, một thay đổi ACL hay một dịch vụ đã dừng trông giống nhau từ xa. Gia hạn cưỡng bức không sửa được điều nào trong số đó.

tailscale status

Nếu nút đang trực tuyến và khóa hợp lệ, hãy tiếp tục tìm. Gia hạn là phương án cuối, không phải cách sửa chung. Đọc danh sách peer cũng như chỉ báo trực tuyến, vì một nút kết nối nửa vời vẫn báo là đang hoạt động.

Gia hạn với một đường truy cập thứ hai

Khi đã có quyền truy cập console hoặc một đường quản trị thứ hai, hãy chạy gia hạn trên thiết bị. Tailscale ghi lại dạng force-reauth của lệnh up cho mục đích này, và nó cần quyền nâng cao ở nơi nền tảng yêu cầu. Chạy một lần và theo dõi đầu ra thay vì đóng phiên. Nếu lệnh cắt kết nối của bạn, hãy kết nối lại qua đường thứ hai và đọc nhật ký cục bộ.

sudo tailscale up --force-reauth

Nếu khóa đã hết hạn, bảng quản trị có thể đề nghị gia hạn tạm thời cho các thiết bị đủ điều kiện. Gia hạn đó là một cửa sổ để lấy lại quyền truy cập và hoàn tất đăng nhập, không phải vật thay thế lâu dài. Ghi lại thời hạn mà nó hiển thị.

Kiểm tra xem thiết bị thực sự phục vụ gì

Sau khi thiết bị tham gia lại, hãy kiểm tra dịch vụ mà nó tồn tại để cung cấp. Router nên được kiểm tra qua một tài nguyên phía sau, nút thoát qua đường internet dự kiến, và máy chủ thường qua cổng bạn thực sự dùng. Một nút hiển thị trực tuyến không tự nó chứng minh được điều nào trong số đó. Hãy kiểm tra từ một máy không phải là nút, vì kiểm tra cục bộ bỏ qua hoàn toàn đường tailnet.

tailscale ping 100.101.102.103

Sau đó hãy ghi lại chính sách hết hạn cho máy này. Một connector không người giám sát và một laptop cá nhân có mức chịu đựng khác nhau, và người tiếp nhận máy chủ không nên phải tìm lại xem nó thuộc trường hợp nào. Ghi chú đó là khác biệt giữa một chính sách được ghi lại và một bất ngờ vào năm sau. Tài liệu của Tailscale về hết hạn khóa bao gồm các tùy chọn gia hạn và giới hạn của chúng.