0x8007003B

以前に、NAS(Synology DS218+)を初期化したにもかかわらず、Tailscale経由で「エラー 0x8007003B:予期しないネットワークエラーが発生しました。」が出て、ファイルのコピーに失敗する話を書いたんだけども、そこでいただいた超有用で超ありがたいコメントが、スパムフィルターに引っかかって保留になったまま2週間以上気がつかないという大失態をしてしまいました。コメントをくれた匿名さん、改めてお詫びいたします。申し訳ありませんでした。そしてコメントにあった内容をたどってこのエラーを撲滅することができたから、オレ様用メモとAffinity Photo 2の練習もかねてここにまとめておく。匿名さん、ありがとう！

Tailscaleとは

そもそもこの「Tailscale(テイルスケール)」とはなんぞやという話なんだけども、技術的なことはさっぱりわからない。超ザックリ説明すると、別々のネットワークにつながった端末をVPNであたかもひとつのネットワークにつながっているようにするサービス・アプリケーションというのかなぁ。無料で使えるのも大きなポイント。

ぼくの場合は、家のPCやiPadから会社のPCへリモート接続して設備の稼働状況をチェックしたり、PCやiPad・スマートフォンからNASへデータをアップ・ダウンしたりと、とても便利に使っている。それがいつからか、数MBのファイルでもNASからのダウンロードが進まない状況(数分放置でエラー表示)になって、ファイル共有はNASに別途セットアップしたVPNサーバーに切り替えていた。だがしかし、これだとNASのあるネットワーク(=自宅)からはNASに接続できない問題があって、ノートPC買ったらやっかいだなぁと思っていた。

原因

SynologyのNASでTailscaleを使うには単にパッケージをインストールしただけではダメで、別に設定をしないとNASからダウンロードする方向が使えない。それが今回のエラーの原因だった。その辺りの説明がSynologyのサイトTailscaleのサイトにある。

それによるとインストール後に以下のふたつの設定が必要。

1. アウトバウンド接続を有効にする
2. ファイアウォール設定を調整する

1.アウトバウンド接続を有効にする

Synology DSM7 では、パッケージに許可される操作に対してより厳しい制限が導入されました。DSM6 を実行している場合、Tailscale は完全な権限を持つ root として実行されるため、これらの手順は必要ありません。
デフォルトでは、DSM7 を使用した Synology 上の Tailscale は、Synology デバイスへの受信接続のみを許可しますが、Synology で実行されている他のアプリからの送信 Tailscale アクセスは有効になっていません。
その理由は、Tailscale パッケージにTUN デバイスを作成する権限がないためです。

NASが起動したときにTUN デバイスを作成するスクリプトを実行するように、タスクスケジューラに登録する。NASにインストールされているTailscaleのバージョンが1.22.2以降であることを確認したら設定へGO!

(1)コントロールパネルからタスクスケジューラーを選択。

(2)作成ボタンを押して、プルダウンメニューから(3)トリガーされたタスク(4)ユーザー指定のスクリプトと進む。

(5)全般の中で、タスク:タスクの名前(任意:ここではTailscale Outbound)、ユーザー:root、イベント:ブートアップ、をそれぞれ入力・選択して(7)タスク設定に進む。

(8)ユーザー指定のスクリプトの入力欄に、以下のスクリプトをコピー&ペーストして、(9)OKボタンを押す。

/var/packages/Tailscale/target/bin/tailscale configure-host; synosystemctl restart pkgctl-Tailscale.service

「rootの権限で実行するといろいろ問題出るかもよ？(意訳)」という警告が出るから、問題なければ(10)OKボタンを押す。DSMアカウントのパスワードを聞かれるから(11)ユーザーアカウントのパスワードを入力して、(12)送信ボタンを押す。(13)タスクスケジューラに設定されていることを確認したらNASを再起動する。

2.ファイアウォール設定を調整する

TUN を有効にすると、Tailscale トラフィックは Synology の組み込みファイアウォールの対象になります。
ファイアウォールはデフォルトで無効になっています。ただし、有効にしている場合は、Tailscale サブネット 100.64.0.0/10 の例外を追加します。メイン メニュー>コントロール パネル>セキュリティ>ファイアウォールで、サブネット マスク 255.192.0.0 の送信元 IP サブネット 100.64.0.0 からのトラフィックを許可するファイアウォール ルールをデフォルト プロファイルに追加します。

ファイヤーウォールを有効にしている場合は、1で作成したTUN デバイスの通信が通るように設定しないといけないということですね？ わかります。「/10」はサブネットマスク「255.192.0.0」ということか。この辺わかるんだけどわからねぇんだよなぁ。まぁまぁ、書いてくれてあるからいいけどさ。

コントロールパネルから(1)セキュリティを選択する。

上の(2)ファイアウォールから(3)規則の編集ボタンを押す。

(4)作成ボタンを押す。

ソースIPのラジオボタンで(5)特定IPを選択して、(6)選択ボタンを押す。「ポート：すべて」と「操作：許可」は変更なしでOKだけど念のため確認しておく。

(7)サブネットのラジオボタンを選択して、(8)IPアドレス:100.64.0.0、サブネット マスク/プリフィックスの長さ:255.192.0.0をそれぞれ入力して、(9)OKボタンを押す。

(9)ファイアウォール ルールに登録されたことを確認して、順番を調整する。新規で作成するといちばん下にあると思うから、優先順位を上げたい場合は上の方へ。

SynologyのサイトTailscaleのサイトにはこれ以外に、Tailscaleパッケージのアップデートをタスクスケジューラに登録する説明があるからお好みで。

余談

エラーが出なくなったTailscaleでいろいろと実験している中で、自宅で契約しているプロバイダーのアップロードが(ダウンロードに比べて)遅いことが改めてちょっとだけ気になった。

地元のケーブルテレビの光1GBコースで、未だにIPv4のみのサービス。ダウンロードは600～800Mbps出る反面、アップロードは300Mbpsくらいが限界。おそらくこういう設計になっているからなんだろうけど、前のNTTのフレッツ光の時は両方とも700Mbpsくらい出てたんだよなー。プロバイダー変更したときにわかってたし、大きなファイルをやりとりすることはほとんどないから、特にいろいろやらないけど(笑)