No se pueden conectar aplicaciones internas usando el nombre del servidor de escala final con el puerto especificado

Como sugiere el título, básicamente quiero deshabilitar el puerto TCP público y permitir que plex u otras aplicaciones solo se conecten usando Tailscale.

Como, no quiero permitir server-public-ip:32400, sino que quiero hacer tailscale-server-name:32400.

Si tengo el puerto abierto en TCP para todas las fuentes, funciona, no funciona cuando elimino la regla de ingreso.

El servidor hace ping bien (MagicDNS habilitado)

Pinging oracle.hidden-name.ts.net [tailscale-ip] with 32 bytes of data:
Reply from tailscale-ip: bytes=32 time=36ms TTL=64
Reply from tailscale-ip: bytes=32 time=36ms TTL=64
Reply from tailscale-ip: bytes=32 time=38ms TTL=64
Reply from tailscale-ip: bytes=32 time=37ms TTL=64
Ping statistics for tailscale-ip:
 Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
 Minimum = 36ms, Maximum = 38ms, Average = 36ms

Solución del problema

Si tengo el puerto abierto en TCP para todas las fuentes, funciona, no funciona cuando elimino la regla de ingreso.

Eso probablemente significa que las aplicaciones que se conectan a plex todavía usan la dirección IP de LAN, no la dirección IP de Tailscale. El uso de MagicDNS podría ayudar, se le puede indicar a la aplicación Plex que vaya a plex.example.com.beta.tailscale.net.