Passo 3 di 8

Preparare la rete

Questo passo prepara ciò che serve fuori dal computer di BiblioViva perché gli altri dispositivi della scuola lo raggiungano: con Tailscale un account della scuola e una chiave di accesso, con la rete locale un indirizzo che non cambia. Dura circa 15 minuti con Tailscale e circa 10 minuti con la rete locale, più l'attesa di chi gestisce la rete della scuola. La scelta tra le due strade è spiegata in Scegliere la rete.

Raspberry Pi con Tailscale

Occorrente

Un account Google, Microsoft, GitHub o Apple con cui aprire l'account di Tailscale. L'account di Tailscale è uno solo per tutta la scuola, non uno per persona: conviene un account della scuola, non personale.
Un computer qualsiasi con un browser, collegato a internet.
Un luogo sicuro dove annotare la chiave di accesso fino al passo 4 (un foglio in un cassetto chiuso, un gestore di password).

Procedura

Account

Aprire la pagina di iscrizione di Tailscale.
Scegliere come accedere: «Google», «Microsoft», «GitHub» o «Apple». Tailscale non usa password proprie: si entra sempre con uno di questi account. Per scegliere si può leggere la pagina Supported SSO identity providers di Tailscale.
Seguire le domande di Tailscale fino alla console di amministrazione. L'applicazione di Tailscale non va installata in questo passo: si installa al passo 5, sul computer del primo avvio, e al passo 6, sugli altri dispositivi.

Importante. L'account di Tailscale della scuola è uno solo e serve a ogni dispositivo che usa BiblioViva (il computer del banco, gli altri computer, i tablet e i telefoni). L'account scelto deve restare nelle mani della scuola: annotare quale è e chi lo conosce. Il confronto con gli account personali è in Scegliere la rete.

Nomi e certificati

Aprire la pagina «DNS» della console di amministrazione di Tailscale.
Verificare che «MagicDNS» sia attivo; se non lo è, premere «Enable MagicDNS». MagicDNS dà ai dispositivi un nome leggibile al posto di un numero; è spiegato nella pagina MagicDNS.
Nella stessa pagina, alla voce «HTTPS Certificates», premere «Enable HTTPS» e confermare l'avviso. Tailscale avverte che i nomi dei computer della rete compaiono nei registri pubblici dei certificati. Il nome del computer di BiblioViva è biblioviva, senza dati della scuola. La pagina HTTPS certificates spiega il resto. Questo passo dà a BiblioViva il lucchetto del browser, necessario alla fotocamera.
Annotare il nome della rete della scuola (in inglese tailnet, vedere il glossario), scritto nella pagina «DNS»: finisce con .ts.net. Servirà ai passi 5 e 6.

Etichetta del computer

Aprire la pagina «Access controls» della console di amministrazione. Si vede il file delle regole di accesso della rete, un testo tra parentesi graffe.
Aggiungere al file la voce tagOwners con l'etichetta di BiblioViva. L'etichetta (tag:biblioviva) è il modo in cui Tailscale riconosce il computer di BiblioViva come un servizio della scuola e non come il dispositivo di una persona.
```
"tagOwners": {
  "tag:biblioviva": ["autogroup:admin"]
},
```
La voce va dentro le parentesi graffe più esterne del file, come una sezione accanto a quelle già presenti, con la virgola che separa le sezioni. Se il file contiene già una sezione tagOwners, aggiungere soltanto la riga "tag:biblioviva": ["autogroup:admin"] al suo interno, separata dalle altre da una virgola.

Attenzione. Non cancellare né modificare le altre sezioni del file (grants, acls, ssh e le altre): regolano che cosa i dispositivi della rete possono fare. In caso di dubbio, copiare l'intero testo del file in un documento prima di modificarlo. La sintassi del file è spiegata nella pagina Policy syntax.
Salvare il file con il pulsante di salvataggio della pagina. Tailscale controlla il testo e segnala gli errori prima di salvare. [VERIFY: nome del pulsante di salvataggio nell'editor delle regole, accessibile solo con l'accesso]

Chiave di accesso

Aprire la pagina «Keys» della console di amministrazione.
Premere «Generate auth key». La pagina Auth keys di Tailscale descrive il modulo.
Scrivere una descrizione, per esempio BiblioViva.
Attivare «Reusable» (la chiave si può usare più volte, utile se l'installazione va rifatta).
Attivare «Pre-approved». «Ephemeral» resta spento: altrimenti il computer sparirebbe dalla rete quando si spegne.
Alla voce «Tags» attivare l'opzione dei tag e scegliere tag:biblioviva. Se l'etichetta non è nell'elenco, il file delle regole non è stato salvato: tornare alla parte «Etichetta del computer».
Lasciare la durata («Expiry») che propone Tailscale, al massimo 90 giorni. La chiave serve solo al passo 4, quando il computer entra nella rete: dopo, il computer resta nella rete anche se la chiave scade.
Premere «Generate key» e copiare la chiave che compare. Tailscale la mostra una volta sola.
Incollare la chiave nel luogo sicuro scelto. Serve al passo 4, quando setup.sh la chiede.

Importante. La chiave è un segreto: chi la possiede può aggiungere dispositivi alla rete della scuola. Non spedirla per posta elettronica, non scriverla in una chat, non fotografarla. Se è stata vista da chi non deve, revocarla dalla stessa pagina «Keys» e generarne un'altra.

Figura 1. La pagina DNS della console di Tailscale con MagicDNS e HTTPS Certificates attivi, e il nome della rete che finisce con .ts.net

Figura 2. Il modulo Generate auth key con Reusable, Pre-approved e il tag tag:biblioviva

Verifica prima di proseguire

Nella pagina «DNS» della console, «MagicDNS» e «HTTPS Certificates» risultano attivi.
Il file delle regole di accesso, in «Access controls», contiene tag:biblioviva nella sezione tagOwners ed è salvato.
La chiave di accesso è annotata nel luogo sicuro e comincia con tskey-auth-.
Il nome della rete che finisce con .ts.net è annotato.

Se uno dei punti manca, tornare alla procedura prima di passare al passo 4: l'installazione si ferma senza una chiave valida.

Possibili problemi

Il tag tag:biblioviva non compare tra quelli scelti nel modulo della chiave: la voce tagOwners non è stata salvata o contiene un errore. Aprire di nuovo «Access controls» e controllare che il testo sia salvato.
Dopo l'installazione l'avviso «requested tags are invalid or not permitted» indica la stessa causa; la soluzione tecnica è nella pagina Deployment notes (technical) (in inglese).
Il nome della rete contiene il nome della scuola: nella pagina «DNS» il pulsante «Rename tailnet» permette di scegliere un nome casuale tra quelli proposti. Farlo prima di attivare i certificati, perché cambiare il nome più tardi interrompe i collegamenti già in uso. La pagina Tailnet name descrive i limiti.

Pagine correlate

Passo precedente: Collegarsi al computer
Passo successivo: Installare BiblioViva
Scegliere la rete
Glossario