Imagina que alguém da família entra na tailnet só pra ver filme no Jellyfin. Sem perceber, o notebook dessa pessoa passa a enxergar tudo, de Proxmox e NAS até a LAN inteira pelo subnet router. E isso é o comportamento padrão: a política inicial da tailnet é um allow-all (* pra *).

O "zero portas abertas" protege da internet, mas dentro da tailnet quem decide é o policy file. Dá pra trocar a regra allow-all (as regras só somam permissão, então se o allow-all continuar lá, nada muda) por algo assim:

"grants": [
  {"src": ["autogroup:member"], "dst": ["autogroup:self"], "ip": ["*"]},
  {"src": ["group:admins"], "dst": ["tag:server"], "ip": ["tcp:22", "tcp:443"]}
]

Cada usuário acessa só os próprios aparelhos (se a pessoa entrar com a conta dela, não com a sua), e o que tem tag:server só aceita SSH e HTTPS de quem está em group:admins. Só precisa declarar o grupo em groups e a tag em tagOwners. O Jellyfin pode ganhar uma regra própria só pra porta 8096, e pra LAN atrás do subnet router a regra pode apontar só pro IP/CIDR necessário, não pra rede toda.

De quebra, quando o servidor já autentica com a tag, a expiração de chave (180 dias por padrão) vem desligada nele, e os notebooks continuam expirando.

Alguém aqui usa a seção tests do policy file pra barrar regra quebrada na hora de salvar, ou numa tailnet caseira não compensa?