Một máy chủ Tailscale không tiếp cận được: bộ định tuyến mạng con hay nút thoát?

Một máy chủ Tailscale phản hồi trong khi máy kia vẫn tối, hoặc mọi thứ hoạt động cho đến khi các trang web công cộng bắt đầu báo sai quốc gia. Cả hai lời phàn nàn đều đến dưới dạng „Tailscale bị hỏng“, và cả hai thường là cấu trúc sai được bật cho đích sai. Hãy phân loại đích thất bại trước, rồi chọn vai trò bao phủ nó.

Bắt đầu từ đích đã thất bại

Ghi lại địa chỉ hoặc tên không hoạt động, và đó là loại thứ gì. Một thiết bị trên LAN riêng sau một site khác, một dịch vụ trên phân đoạn của bạn, và một trang web công cộng là ba vấn đề định tuyến tình cờ chia sẻ một máy khách. Sự khác biệt không phải hình thức, vì hai cấu trúc bao phủ các tập đích khác nhau. Bật cái này không làm gì cho cái kia, và đó là toàn bộ nguồn gốc của sự nhầm lẫn.

Cũng để ý đến họ địa chỉ. Một mạng con chỉ được quảng bá là IPv4 sẽ để các đích IPv6 trên đường cục bộ, điều này được đọc như một lỗi một phần cho đến khi ai đó so sánh cả hai bảng định tuyến. Ghi lại bạn đã mong đường đi như thế nào, để bài kiểm tra sau này có thứ để phản bác.

Tiếp cận một thiết bị không bao giờ chạy Tailscale

Bộ định tuyến quảng bá các dải cụ thể cho tailnet, rồi chuyển tiếp các gói giữa tailnet và phân đoạn riêng, nên các thiết bị trên phân đoạn đó không cần máy khách riêng. Tiếp cận NAS ở văn phòng từ laptop ở nhà chính là trường hợp này. Bộ định tuyến là thành viên duy nhất của tailnet ở phía đó.

tailscale up --advertise-routes=10.40.0.0/24 --advertise-exit-node=false
ip route get 10.40.0.55
tailscale status

Quảng bá chỉ là điều kiện đầu tiên trong ba điều kiện. Tuyến phải được phê duyệt cho tailnet, máy khách phải chấp nhận các tuyến được quảng bá, và một quy tắc truy cập phải cho phép kết nối. Chính chuỗi này khiến triệu chứng thường là bộ định tuyến chạy mà NAS không. Một bộ định tuyến tiếp cận được chứng minh đường hầm hoạt động; nó không chứng minh gì về phê duyệt, chấp nhận của máy khách hay chính sách.

Mỗi lỗi trong ba lỗi đó trông khác nhau trong bảng điều khiển quản trị. Hãy kiểm tra theo thứ tự thay vì đổi cả ba cùng lúc, vì thay đổi thứ hai sẽ che đi cái nào quan trọng.

Đưa lưu lượng công cộng ra ngoài qua một máy khác

Một nút thoát định tuyến lưu lượng internet chung của bạn qua chính nó, đây là thứ gần nhất với cấu hình đường hầm đầy đủ ở các sản phẩm VPN khác. Nó cũng cần ba sự đồng ý riêng: thiết bị quảng bá vai trò, quản trị viên cho phép, và máy khách chọn nó. Tham gia một tailnet không gửi gì qua thành viên khác theo mặc định.

tailscale up --advertise-exit-node
tailscale up --exit-node=100.101.102.103 --exit-node-allow-lan-access=false
tailscale status --json | grep -i exitnode

Chọn một nút thoát không tự động cấp quyền truy cập LAN của chính nó. Tùy chọn truy cập LAN tồn tại chính vì đây là những quyền khác nhau, và để nó tắt là mặc định an toàn hơn. Các tuyến đến tài nguyên Tailscale khác giữ cách xử lý riêng ngay cả khi nút thoát đang hoạt động. Vì thế một dịch vụ được lưu trữ trong mạng con có thể tiếp tục hoạt động trong khi đường internet công cộng đã thay đổi.

Nút thoát cũng thay đổi cách internet nhìn bạn, không chỉ tốc độ cảm nhận. Hãy mong định vị địa lý, danh mục phát trực tuyến và giới hạn tốc độ đi theo địa chỉ của nút thoát chứ không phải của bạn.

Đọc cách chia ba hướng khi chỉ một máy chủ thất bại

Máy in trên phân đoạn của bạn, NAS sau bộ định tuyến mạng con từ xa, và một site công cộng là ba đích với ba đường đi khác nhau. Nếu đúng một trong số chúng thất bại, khiếm khuyết thuộc về đường đi của đích đó chứ không phải toàn bộ máy khách. Với máy in cục bộ khi đang dùng nút thoát, câu trả lời thông thường là thiết lập truy cập LAN. Với NAS từ xa, hãy kiểm tra dải được quảng bá, trạng thái phê duyệt và các quy tắc truy cập theo thứ tự đó. Với một site công cộng, hãy kiểm tra nút thoát nào được chọn và máy khách có thật sự chấp nhận nó không.

Nếu địa chỉ hoạt động mà tên thì không, hãy ngừng nhìn vào các tuyến. DNS riêng được cấu hình riêng, và một tên phân giải đến địa chỉ sai sẽ thất bại theo cách trông giống hệt một tuyến bị chặn. Hãy thử địa chỉ trước, rồi đến tên, và hai kết quả sẽ cho bạn biết nên mở lớp nào.

Xác nhận đường đi mà bạn nghĩ mình đã xây

Xác minh là tra cứu tuyến cộng với kiểm tra địa chỉ, không phải ping. Tra cứu cho biết một đích sẽ dùng giao diện nào, và kiểm tra địa chỉ cho biết đích thực sự nằm trong dải nào. Một ping thành công chỉ nói máy chủ còn sống ở đâu đó, điều đó không phải câu hỏi. Chạy cả hai trước khi thay đổi bất kỳ cấu hình nào.

ip route get 10.40.0.55
ip -6 route show default
tailscale ping 10.40.0.55

Ghép điều đó với góc nhìn của chính tailnet, cho thấy đối tác được kết nối trực tiếp hay qua chuyển tiếp. Đường qua chuyển tiếp vẫn hoạt động, và điều đó giải thích những phàn nàn về độ trễ không liên quan gì đến tuyến bạn đang gỡ lỗi. tài liệu về bộ định tuyến mạng con bao gồm bước phê duyệt nếu nó không quen thuộc. Sau đó ghi lại cấu trúc nào bao phủ đích nào trong mạng của chính bạn, vì người tiếp theo thêm một site sẽ hỏi cùng câu hỏi.