Publique um serviço privado com Serve

Serve encaminha requisições para uma aplicação da sua máquina e disponibiliza o endereço dentro da tailnet. Neste exemplo, a aplicação já atende em 127.0.0.1:3000.

Teste o backend antes da URL HTTPS

No computador que executa a aplicação, confira primeiro a resposta local:

1
curl -I http://127.0.0.1:3000

Troque a porta se a aplicação utiliza outro endereço. Uma resposta HTTP indica que houve comunicação, mas o código retornado precisa ser interpretado: redirecionamento, autenticação obrigatória e erro interno exigem ações diferentes. Algumas aplicações não aceitam o método HEAD usado por essa opção. Nesse caso, abra o endereço no navegador local.

Serve encaminha a conexão para um processo existente. Mantenha o login da aplicação quando ela exigir autenticação. O proxy não inicia sua aplicação nem corrige uma falha dela. Se o serviço local parar, a URL pode deixar de entregar a página mesmo com o dispositivo conectado à tailnet.

Para uma publicação HTTPS na porta 443, a política deve permitir o acesso à porta publicada. A porta 3000 do backend não é automaticamente a porta usada pelo cliente remoto. Teste com a identidade que realmente utilizará o serviço, além da identidade administrativa usada na configuração.

Ative o Serve

1
tailscale serve --bg http://127.0.0.1:3000
2
tailscale serve status

Siga as instruções apresentadas pelo cliente para habilitar HTTPS na tailnet, caso necessário. Use exatamente o endereço exibido pelo comando. A emissão de certificado pode publicar o nome no registro de transparência de certificados, portanto escolha o hostname antes de habilitar HTTPS.

A opção –bg mantém a configuração em segundo plano. Confira as permissões do cliente e use elevação somente se solicitada pelo sistema.

Teste de outro dispositivo

No celular conectado à tailnet, abra a URL HTTPS informada. Confira o conteúdo da aplicação e, quando houver, faça login. Revise os grants da tailnet para permitir a porta publicada somente aos usuários necessários.

Repita o teste com uma identidade que não deve acessar o serviço. Uma permissão ampla já existente pode continuar permitindo acesso mesmo depois de você adicionar um grant restrito.

Retire a configuração

Consulte o estado antes de remover. Para apagar toda a configuração Serve desse dispositivo, use tailscale serve reset. Esse comando pode afetar outros endpoints configurados na mesma máquina.

Se o objetivo for disponibilizar o endereço para visitantes fora da tailnet, leia o guia de Funnel antes de mudar a configuração.