Acesse uma rede local com subnet router

Um subnet router encaminha conexões da tailnet para uma rede local. Escolha uma máquina Linux que já alcance o dispositivo de destino e que possa permanecer ligada.

Defina a rede que será anunciada

Anote o CIDR real da rede local e o endereço de um serviço para teste. O exemplo usa 192.168.50.0/24. Substitua esse valor pela sua rede e confira se ela não se sobrepõe à rede do cliente remoto.

No roteador Linux, habilite encaminhamento IPv4 e IPv6 conforme a documentação da distribuição. Em sistemas com sysctl.d, crie um arquivo específico e persistente:

1
sudo tee /etc/sysctl.d/99-tailscale-forwarding.conf <<'CONFIG'
2
net.ipv4.ip_forward = 1
3
net.ipv6.conf.all.forwarding = 1
4
CONFIG
5
sudo sysctl --system

Essa configuração afeta o encaminhamento do sistema. Confira o firewall e outros serviços de roteamento antes de aplicá-la.

Anuncie e aprove a rota

1
sudo tailscale set --advertise-routes=192.168.50.0/24

No painel Machines, abra o roteador e aprove a rota anunciada. Depois, ajuste a política para permitir que os usuários necessários alcancem os endereços e portas da rede.

Anunciar, aprovar e permitir acesso são etapas distintas. Um grant não injeta uma rota no cliente. A aprovação de rota também não substitui a política de acesso.

Configure o cliente

No Linux que vai acessar a rede, habilite a aceitação de rotas:

1
sudo tailscale set --accept-routes=true

Em outros sistemas, confira a preferência equivalente. A partir de uma rede externa, abra o serviço pelo IP local de destino. O serviço deve responder também a partir do próprio subnet router.

Verifique o encaminhamento até o serviço

No roteador, consulte os valores aplicados ao kernel:

1
sysctl net.ipv4.ip_forward net.ipv6.conf.all.forwarding

Os valores habilitados devem corresponder à configuração que você pretende manter. Se o próprio roteador não alcançar o serviço da LAN, investigue primeiro esse trecho. Anunciar a rede no Tailscale não corrige uma porta fechada no equipamento local.

Por padrão, o subnet router aplica SNAT: para o equipamento da LAN, a conexão chega com a origem do roteador. Desativar SNAT exige configurar o caminho de retorno para os endereços Tailscale na rede local. Preserve o comportamento padrão neste primeiro procedimento.

Uma faixa repetida nos dois lados também merece atenção. Se a rede do notebook e a LAN anunciada usam o mesmo CIDR, o sistema pode selecionar um caminho diferente do esperado. Teste a partir de outra rede antes de alterar anúncios. A política deve autorizar o IP e a porta do serviço final. Alcançar o roteador deixa esse trecho sem verificação.

Desfaça o anúncio quando terminar

Para retirar todos os anúncios de sub-redes desse roteador, use sudo tailscale set –advertise-routes= e remova a aprovação no painel. Preserve anúncios que outros usuários ainda precisam. Só desative encaminhamento no Linux depois de conferir se nenhum outro serviço depende dele.