当前策略总览

这份文档记录这次 Tailscale Peer Relay 配置完成后，当前真实在用的关键策略。

1. 当前关键对象

• relay 节点：vm-0-2-ubuntu
• relay tag：tag:relay-cn
• relay 端口：UDP 40000

2. 当前关键策略点

当前策略至少包含两类能力：

1. relay 能力授权

{
  "src": ["autogroup:member"],
  "dst": ["tag:relay-cn"],
  "app": {
    "tailscale.com/cap/relay": []
  }
}

作用：

• 允许 tailnet 成员在需要时使用 tag:relay-cn 设备作为 peer relay

2. 普通网络层访问授权

{
  "src": ["autogroup:member"],
  "dst": ["autogroup:member"],
  "ip": ["*"]
}

作用：

• 恢复成员之间普通 TCP/UDP 网络访问
• 避免出现 tailscale ping 通、但 ssh 100.x.x.x:22 不通的情况

3. 当前故障修复结论

这次真实故障的根因是：

• policy 里只加了 relay grant
• 但没有普通网络层 grant

导致：

• relay 能力被允许
• 普通成员间 TCP 访问却没有被允许

最终通过补：

{
  "src": ["autogroup:member"],
  "dst": ["autogroup:member"],
  "ip": ["*"]
}

恢复正常。

4. 对应快照文件

• 当前 policy 片段：
  • 02-当前-tailnet-policy.hujson
• 本次故障修复结论：
  • 03-本次故障修复结论.md