Question 1

リレーされた DERP パスで整数秒の --timeout を指定すると tailcat perf が "no reply to pings" を返す問題は、どうすれば修正できますか？

Accepted Answer

これは `waitForDirectPath` におけるタイムアウト境界条件のバグです。`--timeout=5s` やデフォルトの `10s` のような秒単位のタイムアウトでは、最後の ping の後にデッドラインまで約1秒残ることがあり、そのためコードはさらに1秒待機してデッドライン後に次のプローブを開始し、すでに応答していたリレー経路を破棄してしまいます。

一時的な回避策: 小数点以下を含むタイムアウトを使用してください。例:

```bash
tailcat --json perf --via-derp --timeout=5.5s <tc-addr>
```

恒久的な修正: `perf-relayed-path` ブランチの修正を含むビルドに `tailcat` を更新してください。この修正では、最後に測定された経路を保持し、少なくとも1つの pong を受信した後にデッドラインが切れた場合にそれを返します。`no reply to pings` は pong がまったく受信されなかった場合にのみ報告されます。`--via-derp` を指定しない場合、tailcat は ping タイムアウトではなく、意図された拒否を報告するようになります。

Question 2

Nix の tailcat ビルドエラー「go.mod requires go >= 1.27.1 (running go 1.27.0; GOTOOLCHAIN=local)」を修正するにはどうすればよいですか？

Accepted Answer

ビルドが失敗するのは、tailcat のコミット `9148b22` が Go 1.27.1 を必要とする一方、flake の nixpkgs リビジョンが提供する `go_1_27` は 1.27.0 だからです。`GOTOOLCHAIN=local` の場合、Nix は別の Go ツールチェーンを自動的にダウンロードできません。"Fix, test nix flake" PR を含む tailcat リビジョンに更新してください。このリビジョンでは、Go 1.27.1 をソースからビルドし、古くなった vendor ハッシュを更新し、Nix サンドボックスで不安定になるテストをスキップします。`nix build github:tailscale/tailcat --refresh` で再ビルドしてください。tailcat が自分の flake の input である場合は、`nix flake lock --update-input tailcat` を実行してから再ビルドしてください。古いリビジョンの場合は、flake を一時的に `pkgs.go_1_27` が 1.27.1 である nixpkgs リビジョンに向けるか、`pkgs.go_1_27` を 1.27.1 にオーバーライドしてください。

Question 3

Tailcat の `no-auth-ssh` プロセスは、認証されたピアノードキーをどのように特定できますか？

Accepted Answer

PR #89 を含む Tailcat リリースにアップグレードしてください。`--allow` で許可された接続では、Tailcat は提供されるサブプロセスの環境に `TAILCAT_PEER_KEY` を設定します。たとえば Go では `os.Getenv("TAILCAT_PEER_KEY")` を使って、直接読み取ってください。これにより、ピアを識別するためだけに別の SSH デーモンを実行したり、2 つ目の SSH キーを要求したりする必要がなくなります。組み込み Go プログラムでは `Server.PeerKey` も使用できます。PR #88 では、ユーザーレベルの SSH キーが必要な場合に、個別の SSH 公開キーのサポートが追加されています。

Question 4

Server.Status() が空の Peer マップを返す場合、tailcat クライアント接続が直接接続なのか DERP 経由でリレーされているのかを検出するにはどうすればよいですか？

Accepted Answer

これは `locoBackend.Status()` がピアデータをリクエストするようにすることで修正されます。ゼロ値の `ipnstate.StatusBuilder` では `WantPeers` が false のままになるため、magicsock と wgengine の両方がピアのループをスキップします。#116 の修正を含む tailcat ビルドに更新するか、以下の 1 行のパッチを適用してください:

```go
func (b *locoBackend) Status() *ipnstate.Status {
	mc := b.sys.MagicSock.Get()
	eng := b.sys.Engine.Get()

var sb ipnstate.StatusBuilder
	sb.WantPeers = true // required to populate Status.Peer

mc.UpdateStatus(&sb)
	eng.UpdateStatus(&sb)
	return sb.Status()
}
```

次に、接続されたノードのピアステータスを確認します:

```go
st := s.Status()
p := st.Peer[peerKey]

switch {
case p.CurAddr != "":
	// Direct UDP path; p.CurAddr is the active endpoint address.
case p.Relay != "":
	// Relayed through DERP; p.Relay identifies the relay.
default:
	// No active path information yet.
}
```

受け入れた接続をその `key.NodePublic` にマッピングするには、`RemoteAddr()` に頼るのではなく、追加された `Server.PeerKey` アクセサを使用してください。`RemoteAddr()` のみを追跡する方法では、直接パスと DERP リレーを区別できません。

Question 5

アドレスがパブリックなDNS TXTレコードで公開されているtailcat SSHサーバーを保護するにはどうすればよいですか？

Accepted Answer

公開DNSで公開されたtailcatアドレスは侵害されたものとして扱ってください。このアドレスにはトンネルの事前共有鍵が含まれているため、TXTレコードをクエリした人は誰でも接続できます。公開DNSレコードで `tailcat serve no-auth-ssh` を使用しないでください。`--allow ` を指定してサーバーを起動し、トンネルアクセスを制限することでクライアント認証を必須にするか、`tailcat serve ssh --ssh-authorized-keys ` を使用してSSH鍵認証を強制してください。認証なしのアドレスがすでに公開されている場合は、DNS TXTレコードを削除または置き換え、tailcatアドレスまたは事前共有鍵をローテーション/再発行し、承認されていないノード鍵またはSSH鍵からの接続が拒否されることを確認してください。

tailcat

主な機能

できないこと

使用例

タグ

はじめ方

類似プロジェクト