Defina permissões com grants no Tailscale

Grants descrevem quais origens podem alcançar quais destinos. Você pode permitir somente uma porta de uma máquina sem liberar todas as conexões entre os dispositivos.

Defina uma conexão concreta

Neste exemplo, um usuário acessa SSH nos seus próprios dispositivos. Ajuste o e-mail para uma identidade real da tailnet. O fragmento representa a seção grants e deve ser integrado ao arquivo existente:

1
{
2
  "grants": [
3
    {
4
      "src": ["aluno@example.com"],
5
      "dst": ["autogroup:self"],
6
      "ip": ["tcp:22"]
7
    }
8
  ]
9
}

O campo src identifica a origem. O campo dst escolhe o destino. O campo ip especifica protocolo e porta. Para um servidor com identidade por tag, substitua o destino pelo seletor da tag autorizada.

Leia as permissões que já existem

Abra o editor de política no painel e guarde uma cópia do conteúdo atual. Identifique grants ou ACLs que já liberem acesso amplo. As permissões se somam: uma permissão restrita não cancela outra que permita mais conexões.

Não remova permissões sem identificar os serviços que dependem delas. Planeje o teste com acesso de recuperação e aplique uma alteração por vez.

Use a validação do editor antes de aplicar a alteração. Para Tailscale SSH, revise também a seção ssh: a autorização de rede não substitui a autorização da sessão.

Compare os testes com a mesma aplicação

O teste negativo só é útil se o serviço estiver funcionando. Se o servidor estiver parado, todos os clientes falharão independentemente da política. Confirme primeiro o acesso autorizado e mantenha a aplicação ativa durante a segunda tentativa.

Considere todas as permissões existentes antes de interpretar o último resultado. Acrescentar um grant específico não remove acesso concedido por uma ACL ou por outro grant mais amplo.

O destino autogroup:self corresponde aos dispositivos pessoais do próprio usuário. Ao transformar uma máquina em dispositivo com tag, revise os destinos utilizados na política. O exemplo deste guia não deve ser aplicado como se self incluísse automaticamente todos os servidores administrados por você.

Amplie por serviço

Para liberar HTTPS, adicione a porta correspondente ao destino correto. Evite usar um curinga apenas para fazer um teste passar. Registre o motivo de cada permissão e retire acessos temporários depois da atividade.