Kontener VPN może połączyć się ze zdalną siecią, podczas gdy host ZimaOS pozostaje całkowicie nieświadomy tej trasy. Właśnie tego dotyczył wątek źródłowy z września 2025 roku. Kontener Tailscale pomyślnie dołączył do tailnetu, ale sam ZimaOS — a w konsekwencji aplikacja Pliki i procedura montowania udziału SMB na hoście — nie mógł uzyskać dostępu do zdalnego serwera CasaOS przez przestrzeń nazw sieci kontenera.
Użytkownik rozwiązał praktyczny problem z tworzeniem kopii zapasowych, zmieniając architekturę zamiast zmuszać kontener Tailscale do działania jako VPN hosta. Dołączył zdalny serwer CasaOS do sieci ZeroTier powiązanej z ZimaOS i poinformował, że dostęp SMB działał wtedy prawidłowo.
Oryginalna topologia obejmowała dwa zdalne serwery
Konfiguracja źródłowa wyglądała następująco:
- ZimaBlade z systemem ZimaOS jako maszyną źródłową;
- zdalny serwer z systemem CasaOS jako docelowym serwerem kopii zapasowych SMB;
- Tailscale łączący obie lokalizacje.
Gdy na obu maszynach wcześniej działał CasaOS, użytkownik zainstalował Tailscale bezpośrednio na hostach i normalnie zamontował zdalny udział SMB.
Kontener Tailscale dołączył do tailnetu, ale ZimaOS nie
W systemie ZimaOS użytkownik uruchomił Tailscale w Dockerze. Zapewniło to łączność samemu kontenerowi Tailscale. Nie dodało jednak automatycznie tras ani adresów Tailscale do przestrzeni nazw sieci hosta ZimaOS.
Dlatego aplikacja Pliki nie mogła po prostu przeglądać serwera SMB, który był dostępny wyłącznie z wnętrza kontenera Tailscale.
To granica przestrzeni nazw sieci, a nie problem z hasłem SMB
Kontener Docker zwykle ma własne interfejsy, trasy i kontekst zapory sieciowej. Nawet jeśli kontener może wysłać polecenie ping do zdalnego adresu tailnetu, aplikacje hosta nie dziedziczą tych tras, chyba że VPN został celowo zintegrowany z siecią hosta, routingiem lub architekturą opartą na serwerze proxy.
Zmiana danych uwierzytelniających SMB nie rozwiązałaby problemu brakującej trasy.
Użytkownik przełączył zdalny serwer CasaOS na ZeroTier
Po dalszych poszukiwaniach autor oryginalnego wpisu zainstalował ZeroTier na zdalnym serwerze CasaOS i dołączył go do wirtualnej sieci używanej przez ZimaOS. Następnie poinformował, że zdalny serwer mógł uzyskać dostęp do udziału SMB oraz że rozwiązanie działało prawidłowo.
Dokładne polecenie instalacyjne z forum było wskazówką udostępnioną przez użytkownika. Ważniejsza od kopiowania tego jednolinijkowego skryptu instalacyjnego jest możliwość ponownego zastosowania samej architektury.
Obecny zdalny dostęp w ZimaOS opiera się na wirtualnej sieci bazującej na ZeroTier
Aktualna dokumentacja IceWhale opisuje funkcję zdalnego logowania oraz identyfikator sieci ZimaOS jako tożsamość sieci ZeroTier. ZimaClient korzysta z tej wirtualnej sieci do szyfrowanej łączności zdalnej.
Dzięki temu rozwiązanie zastosowane przez użytkownika nie jest tak nietypowym obejściem, jak mogłoby się wydawać: zamiast próbować eksportować trasę Dockera Tailscale do hosta, zdalny serwer NAS dołącza do wirtualnej sieci, z której ZimaOS już korzysta na poziomie hosta.
IceWhale dokumentuje obecnie ten sam schemat dla innych platform NAS
Aktualna dokumentacja ZimaOS dotycząca synchronizacji z QNAP zaleca uzyskanie identyfikatora sieci ZimaOS, zainstalowanie ZeroTier po stronie QNAP i dołączenie do tego identyfikatora przed utworzeniem zadania synchronizacji między sieciami.
Skorzystaj z opisanego obecnie schematu sieci ZeroTier dla połączeń między serwerami NAS jako wspieranego punktu odniesienia dla architektury.
Tailscale na poziomie hosta to inne rozwiązanie
Nowsze projekty społecznościowe udostępniły Tailscale jako natywne rozszerzenie ZimaOS typu systemd-sysext, konkretnie po to, aby zapewnić hostowi prawdziwy interfejs TUN i obsługę routingu na poziomie hosta. Może to rozwiązać pierwotne ograniczenie przestrzeni nazw, ale jest to oprogramowanie społecznościowe, a nie funkcja Tailscale dostarczana przez ZimaOS.
Jeśli celem jest wyłącznie zdalna kopia zapasowa SMB, dołączenie zdalnego serwera do istniejącej wirtualnej sieci ZimaOS może być prostsze niż instalowanie nowego rozszerzenia VPN działającego na poziomie hosta.
Dostępność na poziomie hosta musi istnieć, zanim aplikacja Pliki zamontuje SMB
Niezależnie od wybranej sieci nakładkowej host ZimaOS musi mieć możliwość routowania do adresu zdalnego serwera SMB. Dopiero wtedy nazwa udziału SMB, nazwa użytkownika, hasło i uprawnienia stają się kolejną warstwą diagnostyki.
Traktuj zdalny cel SMB jako część granicy bezpieczeństwa kopii zapasowej
Udział kopii zapasowych dostępny przez sieć nakładkową nadal powinien wymagać uwierzytelniania i udostępniać wyłącznie foldery potrzebne w danym procesie tworzenia kopii zapasowych. Nie udostępniaj całego zdalnego serwera z prawem zapisu tylko dlatego, że ruch jest szyfrowany.
Często zadawane pytania dotyczące zdalnego SMB przez sieci nakładkowe
Dlaczego kontener Tailscale mógł uzyskać dostęp do zdalnego serwera, a aplikacja Pliki w ZimaOS nie?
Kontener miał własną przestrzeń nazw sieci i własne trasy; host ZimaOS nie odziedziczył ich automatycznie.
Czego zamiast tego użył autor oryginalnego wpisu?
Dołączył zdalny serwer CasaOS do sieci ZeroTier używanej przez ZimaOS i poinformował, że rozwiązanie działało prawidłowo.
Czy obecny ZimaOS korzysta z ZeroTier do obsługi zdalnych sieci?
Aktualna dokumentacja IceWhale opisuje identyfikator sieci zdalnego logowania oraz procedury między serwerami NAS wykorzystujące wirtualną sieć bazującą na ZeroTier.
