Tailscale benaderen zonder tailscale client

[Ortep]

Ik heb een Syno met daarop Tailscale. Het is ingesteld als exit node.

Verspreid door Nederland staan nog 3 Syno's, ook met Tailscale. Dat werkt allemaal prima samen en als ik het ook op een laptop zet kan ik alles benaderen via Tailnet

Met de exit node kan ik vanuit een andere locatie alle devices op mijn locale (thuis) netwerk zien.

Wat ik nu wil is juist de andere kant op. Als ik met bv een laptop zonder Tailscale op mijn thuisnetwerk zit wil ik van daaruit alle 4 de Syno's kunnen benaderen. Het hoeft dus niet vanuit de hele wereld.

Als ik ga zoeken vind ik meer mensen die dat ook willen. Dan volgt er meestal een antwoord in de stijl van: Subnet gebruiken maar nooit een echt antwoord van hoe dat dan moet. Soms komt er nog een vervolg dan moet je een static route gebruiken. Maar als er dan wordt nagevraagd hoe dat dan precies moet volgt er geen antwoord meer.

Heeft hier iemand een idee?

[Ortep]

Even een kick, heeft iemand een idee?

[FredvZ]

Heb je dit al gelezen?
https://tailscale.com/kb/1019/subnets

[Ortep]

@FredvZ
Ja, dat werkt ook prima. Dit is het antwoord dat ik altijd krijg.
Maar ik wil niet vanuit mijn Tailnet bv mijn printer of router kunnen zien.
Ik wil de andere kant op. Ik heb een laptop zonder tailscale ik zit op mijn lokale netwerk waar ook een Syno met tailscale op zit.
Ik wil vanaf de laptop Tailnet op.

[FredvZ]

Dan ben je er al bijna denk ik.

Kan je een schema posten met de IP-adressen die je lokaal gebruikt, in je Tailnet gebruikt en welke IP-adressen je subnet-router heeft?

[Ortep]

@FredvZ
Mijn lokale netwerk zit in de range 192.168.2.x

Dat wordt ook geadverteerd op mijn Syno via de subnet router. Dat is ook een exit node. Magic DNS en HTTPS staan aan.

Mijn Tailnet zit in de range 102.101.100.x.

Ik kan lokaal op een laptop met Tailnet alles pingen.

Als ik van een niet lokale plek met een laptop op Tailnet zit kan ik alle Tailnet adressen pingen en zie ik ook bv mijn eigen router, een Fritzbox 7583. De subnet router en de exit node werken dus.

Lokaal zonder Tailscale op mijn machine kan ik de Tailscale devices niet pingen. Zoek ik op internet dan vind ik meer mensen die dit willen. Het enige antwoord dat ze krijgen is Oh, simpel. Maak een static route. Fijn..hoe en waar?

Daar komt dan weer nooit een antwoord op.

[Orion84]

Ik gok dat je die route in moet stellen op die laptop, zodat die weet dat verkeer voor die tailscale adressen naar je Syno moet? Nu zal de laptop dat richting default gateway (je router?) sturen en die weet waarschijnlijk ook niet wat ie er mee aan moet.
Wellicht kan het dus ook nog ingesteld worden op je router (die voor de laptop als default gateway functioneert).

[Groentjuh]

Ortep schreef op woensdag 7 mei 2025 @ 17:27:
@FredvZ
Mijn Tailnet zit in de range 102.101.100.x.

Lokaal zonder Tailscale op mijn machine kan ik de Tailscale devices niet pingen. Zoek ik op internet dan vind ik meer mensen die dit willen. Het enige antwoord dat ze krijgen is Oh, simpel. Maak een static route. Fijn..hoe en waar?

Static routes geven aan waar verkeer heen moet. Als jij aan jouw laptop vraagt: Ping 102.101.100.2, dan kent jouw laptop niet het netwerk 102.101.100.x, dus stuurt die het naar jouw gateway (de fritzbox). Als jouw fritzbox ook niet weet waar 102.101.100.x is, dan stuurt die het naar zijn gateway (ISP router) en die probeert het dan naar 102.101.100.2 te sturen.

Jouw syno kent 102.101.100.x wel, dus die stuurt het wel Tailscale in.

Dus of een static route in jouw laptop of jouw fritzbox kunnen zorgen dat het verkeer voor 102.101.100.x naar jouw Syno gaan.

[jeroen3]

Ik heb twijfels of dit wel kan op de synology.
Die doet volgens mij nat tussen tailscale tun en tailnet, dus wil het niet de andere kant op.

Je hebt sowieso wat moeten knutselen want by default kun je helemaal de syno niet uit. Vanwege synology rechten beperkingen.

[ Voor 7% gewijzigd door jeroen3 op 07-05-2025 18:11 ]

[Ortep]

Groentjuh schreef op woensdag 7 mei 2025 @ 17:40:
[...]

Dus of een static route in jouw laptop of jouw fritzbox kunnen zorgen dat het verkeer voor 102.101.100.x naar jouw Syno gaan.

Ik snap in principe wel hoe static routes werken. Maar hoe stel ik dan dan waar in?

@jeroen3 Outbound is geen probleem op Synology. dat staat netjes beschreven in:

https://tailscale.com/kb/...able-outbound-connections

Orion84 schreef op woensdag 7 mei 2025 @ 17:38:

Wellicht kan het dus ook nog ingesteld worden op je router (die voor de laptop als default gateway functioneert).

Op mijn Fritzbox heb ik de optie om een static route in te stellen. Maar ik heb helaas geen flauw idee wat ik dat moet invullen

[ Voor 26% gewijzigd door Ortep op 07-05-2025 20:17 ]

[jeroen3]

Je moet even kijken wat het subnet van je tailnet is. Dan vul je in:

Het tailnet netwerk en mask:
102.101.100.0 - 255.255.255.0
De interface waar dat heen moet (je sunology)
192.168…

En dan heb je een static route.

Soms is er ook nog een metric, dat is hoe belangrijk de route is als je er meerdere naar hetzelfde netwerk hebt.

[Groentjuh]

Ortep schreef op woensdag 7 mei 2025 @ 20:15:
Op mijn Fritzbox heb ik de optie om een static route in te stellen. Maar ik heb helaas geen flauw idee wat ik dat moet invullen

IPv4-netwerk: 102.101.100.0
Subnetmasker: 255.255.255.0
Gateway: IP van Syno
IPv4-route actief: Ja

Daarmee zeg je tegen jouw fritzbox: Als je verkeer voor 102.101.100.0 tot 102.101.100.255 hebt, stuur dat dan naar "IP van Syno".

[ Voor 16% gewijzigd door Groentjuh op 08-05-2025 11:22 ]

[jadjong]

Ortep schreef op woensdag 7 mei 2025 @ 20:15:

Op mijn Fritzbox heb ik de optie om een static route in te stellen. Maar ik heb helaas geen flauw idee wat ik dat moet invullen

Het idee van subnets is dat clients binnen het subnet direct met elkaar kunnen communiceren. Voor alle IP adressen die buiten het subnet vallen nemen ze contact op met de router die ze verder doorverwijst. Jij moet de router vertellen dat onbekend subnet X bereikbaar is via het IP van de NAS. Die NAS moet vervolgens intern weer zo slim zijn om de antwoorden op dat verkeer terug te sturen. Dus jouw remote NAS'en moeten ook weten dat de laptop die contact met ze maakt bereikbaar is via het IP van de tussenliggende NAS.