Удалённое управление

TailSocks на одном устройстве можно настраивать с другого через tailnet — удобно для телевизора или телефона родственника. На обоих нужен TailSocks, в одном tailnet. По умолчанию выключено.

Включить и сопрячь

На устройстве, которым будут управлять:

Настройки → Дополнительно → Экспериментально → Удалённое управление.
Включите Разрешить удалённое управление.
Показать код сопряжения — шесть цифр и QR-код. Код живёт 10 минут и срабатывает один раз.

На управляющем устройстве:

Откройте это устройство в Узлах и нажмите Управлять устройством.
Введите код и нажмите Сопрячь — или Сканировать код.

После этого управляемые устройства появятся на главном экране, у каждого видно, в сети ли оно. Скрыть их — Управляемые устройства на главном (Настройки → Оформление и язык). Чтобы заново прочитать устройство, потяните его страницу вниз; на телевизоре — кнопка обновления наверху.

Кто что может

Владелец — устройство того же аккаунта, что и управляемое. Меняет настройки, выполняет действия, выбирает выходной узел. Его сопряжение действует, пока его не отзовут.
Гость — любое другое устройство. Видит состояние и настройки, выбирает выходной узел — и всё. Сопряжение гостя живёт 24 часа. Выключите Пускать чужие устройства как гостей, чтобы гостей не было.

Как управляемое устройство их различает

Когда устройство сопрягается или о чём-то просит, управляемое устройство спрашивает у Tailscale, чьё оно — под каким аккаунтом (почтой) вошло, — и сравнивает со своим:

Кто просит	Кем становится
Тот же аккаунт, устройство без тегов	владелец
Другой аккаунт — даже админ tailnet	гость, если гостей пускают
Устройство с тегами	гость, если гостей пускают: устройство с тегом никому лично не принадлежит
Устройство, расшаренное из другого tailnet	гость, если гостей пускают

Если теги есть у самого управляемого устройства, владельца у него нет вовсе: все — гости.

Больше ничего не учитывается. Быть админом tailnet или состоять в группе его политики здесь ничего не даёт: приложение этого не читает. Чтобы стать владельцем планшета родственника, войдите на нём в свой аккаунт — тогда на планшете можно будет включить и полный доступ.

Полный доступ и файлы

Полный доступ включается только на самом управляемом устройстве и перед включением спрашивает. С ним владелец может предлагать устройство как выходной узел или маршрутизатор. Издалека его можно выключить, но не включить.

Доступ к файлам по сети — переключатель рядом — отвечает за остальное: файлы в памяти устройства (любой можно забрать себе через Taildrop), общие папки, Taildrive и его прокси, отчёт диагностики и журнал. Включён — владелец получает их вместе с полным доступом; выключен — издалека ничего из этого не доступно никому, что бы ни говорил полный доступ. Изначально он выключен (включён, только если полный доступ был включён ещё до 5.1.0), а включить его можно только на самом устройстве, после его блокировки экрана.

Управляющее устройство спрашивает свою блокировку экрана, прежде чем показать память, общие папки, журнал или отчёт другого устройства. Одного подтверждения хватает на пять минут, пока открыта эта страница; устройство без блокировки экрана не спрашивает.

Никто и никогда не может издалека:

остановить TailSocks насовсем
выйти из аккаунта
сменить аккаунт или сервер входа
прочитать или задать пароль или ключ
менять прокси Control Plane и обход блокировок
трогать Root-режим
выдать разрешение
включить полный доступ
включить доступ к файлам по сети

Всё это перечислено на управляемом устройстве в разделе Что может сопряжённое устройство.

Полные права на время

Гостю можно дать права владельца на 15 минут, час, восемь часов или пока действует его сопряжение — не дольше суток. На устройстве с тегами, где все — гости, это единственный путь к правам владельца.

На самом устройстве: Дать полные права на время… в строке гостя в Сопряжённых устройствах, выберите срок и подтвердите блокировкой экрана устройства. И полный доступ добавит полный доступ — только этому гостю и только на это время.
Со стороны гостя: Попросить полные права на странице устройства. Вопрос появится на самом устройстве — уведомлением, если TailSocks не на экране, — и там всё равно нужна его блокировка экрана. Издалека ничего не выдаётся.
Права заканчиваются сами или по кнопке Забрать права. Пока они действуют, уведомление на устройстве говорит, у кого они и до какого времени.
Права, выданные при выключенном Доступе к файлам по сети, файлов не включают никогда, даже если его потом включат. То, чего никто не может издалека, недоступно и с этими правами.
Разрешать гостям временные полные права выключает всё это и заканчивает выданные права. По умолчанию включено и видно, пока гостей пускают.

На управляемом устройстве

Каждое изменение на пару секунд появляется в полосе вверху экрана — кто и что поменял. Если приложение не на экране, придёт уведомление Управляется с устройства ….

Изменение, которое может оборвать связь, — выходной узел, MagicDNS, маршруты, доступ к локальной сети, режим VPN, — ждёт, пока управляющее устройство подтвердит, что связь жива. Нет подтверждения в течение минуты — устройство само вернёт как было.

Отозвать или Отозвать все снимает сопряжение на месте, Забыть это устройство — со стороны управляющего.

Режимы

Работает в режимах прокси, VPN (TUN) и Root. Включить VPN издалека можно, только если разрешение VPN уже было дано на самом устройстве. Root-режим издалека не меняется никогда.

Когда устройства не видно

Управлять можно только тем, что это устройство видит, — иначе страница скажет Это устройство не видит …. Причин две:

Оно в другом tailnet. Сопряжение между tailnet невозможно.
Правила доступа (ACL) tailnet его прячут. Tailscale вообще не показывает устройство тому, кого правила не пускают к нему ни в одну сторону. Обычный случай — телефон родственника под его собственным аккаунтом в вашем tailnet: если политика пускает этот аккаунт только в интернет, ваши устройства его тоже не видят.

От политики удалённому управлению нужно одно: чтобы управляющее устройство могло достучаться до управляемого по TCP-порту 28115. Например, чтобы управлять устройствами пользователей из group:guest-users с устройств из group:prod-admin:

{
  "action": "accept",
  "src":    ["group:prod-admin"],
  "dst":    ["group:guest-users:28115"],
},

Больше это правило ничего не открывает; ответы идут по тому же соединению. В редакторе политики в самом TailSocks его пишет шаблон Удалённое управление TailSocks: выберите Кто управляет и Чьими устройствами — и он добавит правило и тест, который его сторожит. Вручную это новое правило доступа — Кто prod-admin, Куда guest-users, Какие порты 28115, — а тест Из правила не даст случайно потерять его при следующей правке.

С политикой, которая разрешает всё (так у Tailscale по умолчанию), добавлять ничего не нужно.