有 2 个局域网,每个局域网都是 OpenWrt 主路由。之前是在这 2 个 OpenWrt 主路由上部署了 zerotier 进行异地组网,在 zerotier 网站上配置好了各个局域网的内网路由表,然后这 2 个局域网下的设备无需安装 zerotier 的 app ,就可以相互进行访问了。
但是现在 2 个 OpenWrt 主路由换为 tailscale 异地组网后,也在 tailscale 网站上配置好了 2 个局域网的子网网段,用 tailscale status 命令查看,可以看到 2 个 OpenWrt 之间是打洞成功的( direct ),但是 2 个局域网下的设备不能相互访问。。
有个奇怪的现象就是,比如 A 局域网的设备访问 B 局域网的 OpenWrt 的管理页面( tailscale 分配的 IP ),是不能打开的,但是如果在这个 IP 地址后面加上端口确能访问到这个 OpenWrt 对应的服务,比如 x.x.x.x:5244 就能打开 alist 的界面,同理可以加端口服务到其他服务,但就是不能打开 OpenWrt 的主页面,提示“Forbidden, Rejected request from RFC1918 IP to public server address"...
是不是 tailscale 在进行异地组网后,内网设备在不安装 tailscale 客户端的情况下,是不支持相互访问的??一定要按照 tailscale 客户端才行???
1
mauis 2023-06-24 19:05:38 +08:00
感觉是防火墙配置问题。你在 op 有到对应路由表,防火墙放行了吗
|
2
aogg 2023-06-24 19:50:29 +08:00
tailscale 有 route 功能,搭建的时候给个参数即可
|
3
Danswerme 2023-06-24 20:03:11 +08:00
可以访问 OpenWrt 对应的服务但不能访问主页面,这应该是 OpenWrt 的配置问题,Google 一下那个报错有很多相关的帖子你可以试试。
至于异地组网,需要在两边的 OpenWrt 路由器上做静态路由。 假设 A 路由器局域网 IP 为 192.168.1.0/24 ,TailScale 分配的 IP 是 172.22.1.1 ; B 路由器局域网 IP 为 192.168.2.0/24 ,TailScale 分配的 IP 是 172.22.1.2 ;则需要做如下配置: A 路由器增加静态路由:目标网段 192.168.2.0/24 ,网关 172.22.1.2 B 路由器增加静态路由:目标网段 192.168.1.0/24 ,网关 172.22.1.1 |
4
hefish 2023-06-24 20:07:28 +08:00
还要设置成 exit node 吧。。。
|
5
vinsony 2023-06-24 20:12:07 +08:00
内网设备不用装客户端,照此设置 https://openwrt.org/docs/guide-user/services/vpn/tailscale/start
|
6
sypopo 2023-06-24 21:35:57 +08:00 via Android
之前我就没设置成功,又用回 zerotier
|
7
tcxurun 2023-06-24 21:41:38 +08:00
之前遇到类似情况,好像最终解决方式是在 Openwrt 的网络——防火墙下常规设置中 入站数据、出站数据、转发三项全部设置为接受解决的
|
8
Tink 2023-06-24 22:13:03 +08:00
你把 route advertise 出去就好了呀
|
9
xpn282 OP |
11
xpn282 OP |
13
Eaglemask 2023-06-25 11:38:57 +08:00
@xpn282 其实我打算是在内网跑 K8S, 然后把现在在一些 IDC 上跑的服务迁移过来, 然后 IDC 上 VPS 只跑类似 nginxwebui 的代理流量到内网 K8S 上, 从而节约开支, 关键的是数据都在自己手里.
同时内网打算跑类似 iredmail 之类的服务, 然后 IDC 上 VPS 做中继出去, 同样是出于数据在自己手里的考虑. |
14
xpn282 OP @Eaglemask
我这里的用 zerotier 很顺手啊,我家里和朋友家的 OpenWrt 都装了 zerotier ,在 zerotier 官网配置好内网转发网段,其他就不用在设置了。2 个局域网下的内网设备都不用装 zerotier 的 app 了,都可以直接相互访问,我可以直接访问到朋友家的光猫页面去了 |
16
wonderblank 2023-06-27 17:51:35 +08:00
几行防火墙规则就可以搞定。
|
17
wonderblank 2023-06-27 17:52:53 +08:00
```
root@main:/usr/share/nftables.d# find . | grep tail ./chain-post/forward/tailscale.nft ./chain-post/forward_lan/tailscale.nft ./chain-post/srcnat/tailscale.nft ./table-pre/tailscale.nft root@main:/usr/share/nftables.d# cat ./table-pre/tailscale.nft chain accept_to_tailscale { oifname "tailscale0" counter packets 0 bytes 0 accept comment "tailscale VPN" } chain forward_tailscale { iifname "tailscale0" counter packets 0 bytes 0 accept comment "tailscale VPN" } root@main:/usr/share/nftables.d# cat ./chain-post/srcnat/tailscale.nft oifname "tailscale0" counter masquerade comment "tailscale VPN" root@main:/usr/share/nftables.d# cat ./chain-post/forward_lan/tailscale.nft jump accept_to_tailscale root@main:/usr/share/nftables.d# cat ./chain-post/forward/tailscale.nft iifname "tailscale0" jump forward_tailscale root@main:/usr/share/nftables.d# ``` |
18
Semantic 332 天前
@Danswerme 光添加,这两条静态路由规则不行,tailscale 官方教程 https://tailscale.com/kb/1214/site-to-site ,是这样
A:10.0.0.0/20 子网,需要添加一条到 tailnet 和远程 10.118.48.0/20 LAN 的静态路由: ip route add 100.64.0.0/10 via 10.0.0.2 ip route add 10.118.48.0/20 via 10.0.0.2 B:同样,10.118.48.0/20 子网,添加一条到 tailnet 和到远程 10.0.0.0/20 LAN 的静态路由: ip route add 100.64.0.0/10 via 10.118.48.2 ip route add 10.0.0.0/20 via 10.118.48.2 然后 tailscale 启动命令 加上 --snat-subnet-routes=false 和 --accept-routes 实测这样才行 |