Corrija rotas sem acesso no Tailscale
Antes de começar
Investigue subnet routers e exit nodes quando a rota aparece configurada e o serviço não responde. Confira anúncio, aprovação, política e encaminhamento.
- IP e porta de um serviço da sub-rede anunciada.
- Acesso ao subnet router e permissão para consultar anúncios e aprovações.
- Cliente em rede externa, com aceitação de rotas quando exigida.
Sintomas
- Rota aprovada sem resposta do serviço.
- Internet para após selecionar exit node.
Em telas pequenas, role as tabelas para o lado para consultar todas as colunas.
Identifique primeiro o destino: uma aplicação em uma rede local usa subnet router, enquanto a saída geral para a internet usa exit node. Confira o recurso que você realmente configurou.
Teste a partir do roteador
No dispositivo que encaminha o tráfego, abra a aplicação de destino. Se ele próprio não alcança a aplicação, investigue a rede local, o serviço e o firewall antes de alterar os clientes Tailscale.
Para exit node, confira se o servidor consegue navegar e resolver nomes pela própria conexão de internet.
Confira anúncio e aprovação
No painel Machines, abra o roteador e confira os anúncios ativos. Verifique se a rota ou a função de exit node foi aprovada. Um anúncio existente sem aprovação não encerra a configuração.
No cliente Linux que acessa sub-redes, confira a aceitação de rotas. Para exit node, confirme que o dispositivo foi selecionado como saída no cliente.
Revise encaminhamento e política
No roteador Linux, consulte os valores de net.ipv4.ip_forward e net.ipv6.conf.all.forwarding. Confira também as permissões do firewall para tráfego encaminhado.
Na política da tailnet, verifique origem, destino e porta. Permitir acesso ao endereço do exit node não equivale a permitir uso da saída de internet. Para isso, revise autogroup:internet.
Teste os trechos em sequência
| Ponto de verificação | Consulta necessária |
|---|---|
| Serviço na LAN | Processo ativo e porta acessível pelo roteador |
| Roteador | Encaminhamento habilitado e rota anunciada |
| Painel | Rota aprovada e dispositivo autenticado |
| Cliente remoto | Rota aceita e acesso permitido ao destino final |
No roteador Linux, confira o encaminhamento sem alterar seu valor:
sysctl net.ipv4.ip_forward net.ipv6.conf.all.forwardingSe o roteador alcança a aplicação, mas o cliente remoto não, avance para aprovação, aceitação e política. Se o próprio roteador falha, investigue a LAN antes de modificar a tailnet. O teste deve usar a porta real do serviço. Uma resposta de ping não comprova autorização TCP.
Quando SNAT foi desativado, confira também o caminho de retorno da LAN para os endereços Tailscale. Verifique se a chave do roteador expirou: uma rota ainda anunciada não garante que ele consiga encaminhar conexões. Para nomes internos, compare a resolução DNS com o IP efetivamente anunciado.
Procure sobreposição de redes
Compare o CIDR anunciado com a rede local do cliente. Redes com os mesmos endereços podem fazer a conexão seguir por um caminho diferente do pretendido.
Teste de uma rede externa com endereçamento diferente. Se funcionar, planeje o ajuste de endereçamento ou a solução indicada pela documentação para sobreposição. Não anuncie uma faixa maior apenas para tentar incluir o destino.
Confira o resultado
O serviço responde a partir do roteador e do cliente externo. Anúncio, aprovação, encaminhamento e política correspondem ao caminho testado.
Fontes e conferência
Procedimento revisado a partir da documentação oficial em 2 de novembro de 2026. Não executado em uma tailnet de laboratório nesta edição.