Kill switch blokkeer jou drukker? Drie kontroles om eers te doen

Jou drukker het ’n uur gelede gewerk. Toe skakel jy die VPN aan, en nou sit take in die tou tot hulle misluk. Die kill switch is waarskynlik die oorsaak, nie die drukker nie: dit laat verkeer val wat die masjien buite die tonnel sou verlaat, en ’n LAN-drukker is presies daardie soort verkeer. Die werklike besluit is nie hoe om drukwerk reg te maak nie, maar of hierdie toestel hoegenaamd die plaaslike netwerk moet bereik. Drie voorwaardes beslis dit, en enige een van hulle kan die gesprek vroeg beëindig.

Wat die kill switch laat val en waarom

’n Kill switch is ’n routeringsreël met ’n foutmodus daaraan gekoppel. Terwyl die tonnel op is, verlaat ooreenstemmende pakkette versleuteld; wanneer die tonnel val, swartgat die kliënt die verstekroete sodat niks in gewone teks uitgaan nie. ’n Drukker op dieselfde subnet pas nooit by die tonnelroete nie, so dit word as ’n ontsnappingspoging behandel, selfs al verlaat die verkeer nooit die gebou nie.

Ontdekking maak die simptoom verwarrend. Drukers adverteer oor multicast-DNS op poort 5353, en die tou wat in die drukker-byvoeg-dialoog gewys word, word uit daardie advertensies gebou. Terwyl die blok aktief is, kom die advertensie dalk nie aan nie, so die drukker verdwyn uit die lys, selfs al antwoord sy adres steeds. IPP op 631, rou drukwerk op 9100 en SMB op 445 is gewone LAN-dienste met geen tonnelroete hoegenaamd nie.

Bewys eers dat die drukker bereikbaar is

Voordat jy enige beleid verander, bevestig dat die drukker gesond is en bevestig die adres wat jy dink dit het. Lees die adres van die drukker se paneel of sy eie webblad. ’n Verouderde inskrywing in die bedryfstelsel se lys kan na ’n adres wys wat DHCP weke gelede aan ’n ander toestel gegee het.

Ontkoppel die VPN en toets dan die adres en die twee algemene drukpoorte:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

Op Windows is die ekwivalent Test-NetConnection 192.168.1.50 -Port 9100. Herverbind die VPN en herhaal. As die poorte antwoord met die VPN af en tyd uitloop met dit aan, het jy die blok gereproduseer en die res is ’n beleidsvraag. As hulle in albei toestande misluk, stop: die drukker, die Wi-Fi-segment of kliënt-isolasie is skuldig, en ’n VPN-uitondering sal net blootstelling byvoeg.

Drie voorwaardes wat besluit toelaat of blokkeer

Voer hierdie in volgorde uit. Die eerste voorwaarde wat misluk, beslis die uitkoms, so die latere hoef nie getoets te word nie.

Gastenette is die duidelikste nee. Op ’n hotel-segment is die plaaslike reeks elke ander gas, so ’n uitondering wat jou drukker bereik, bereik ook hulle skootrekenaars. ’n Drukker wat nie joune is nie, is nie ’n rede om daardie segment oop te maak nie.

Bestuurde toestelle is die tweede nee. Wanneer ’n administrateurprofiel altyd-aan-VPN met toesluiting afdwing, herbevestig die kliënt die blok ná enige plaaslike verandering, en die oplossing kan die beleid oortree wat jy aanvaar het. Vra eerder vir ’n ondersteunde plaaslike-hulpbronroete as om instellings te wysig wat oorskryf sal word.

Die kleinste uitondering wat jou kliënt ondersteun

Wat jy wil hê, is ’n bestemming-gerigte reël vir een drukkeradres, nie ’n algemene allow-local-skakelaar nie. ’n Algemene skakelaar dek gewoonlik die hele private reeks en skakel-plaaslike verkeer, wat veel meer is as wat een drukstroom nodig het, en dit maak elke toestel op die segment ’n eweknie wat jy aanvaar het.

Windows bied split-tunnelling, en sommige bouwe bied ook ’n plaaslike-netwerk-opsie. Waar die enigste ondersteunde roete ’n gasinskrywing is, voeg ’n enkele adres deur die fisieke poort by nadat die tonnel op is, byvoorbeeld route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, en verwyder dit wanneer die sessie eindig. WireGuard werk anders: AllowedIPs besluit wat die tonnel binnegaan, so ’n vol-tonnel 0.0.0.0/0-profiel dra die druktaak na die eindpunt tensy ’n meer spesifieke roete dit omseil, en wg-quick kan firewallreëls installeer wat alles anders blokkeer.

Op Android is die altyd-aan-instelling wat verbindings sonder die VPN blokkeer, die kill switch, en drukkerontdekking vanuit ’n app binne daardie blok het geen LAN-roete nie. Die per-app- en uitsluitingsmodel word op die Android VPN-bladsy gedokumenteer, wat die plek is om te kyk voordat jy enigiets verander: Android VPN-verbindingsgids. Onlangse macOS-vrystellings vra afsonderlik van die tonnel om plaaslike-netwerktoestemming, en iOS doen dieselfde vir plaaslike netwerktoegang, maar die tou kan steeds misluk met die tonnel op omdat die verskaffer se kliënt die subnet daarin roeteer.

Watter kliënt jy ook al gebruik, hou die uitondering by een adres en die twee of drie poorte wat die drukker werklik gebruik. Reserveer ’n DHCP-lees eerder as om die reël na die hele subnet te verbreed, want die adres kan skuif.

Verifieer die uitondering en weet wanneer om dit terug te draai

Ná die verandering, herverbind en kontroleer drie dinge in volgorde. Die drukker antwoord op sy poorte, ’n onskadelike toetsbladsy druk, en ’n adresopsoek gee steeds die VPN-eindpunt terug eerder as jou ISP. As drukwerk werk maar die opsoek wys jou ISP, het jy meer as die drukker oopgemaak en moet jy terugdraai.

Herhaal die toets ná ’n herbegin en ná enige kliënt- of profielopdatering, want opdaterings herstel dikwels genoeg verstekke om saak te maak. ’n Uitondering wat net tot die volgende herverbinding oorleef, is nie ’n besluit nie, dit is ’n tydelike gat. Skryf die presiese reël neer sodat jy dit doelbewus kan verwyder.

As die toestel bedoel is om net deur die tonnel te gaan, ’n reislaptop of ’n masjien met kliëntedata, is die regte antwoord om die blok te hou en elders te druk: stoor as PDF en druk vanaf ’n selfoon of ’n ander masjien, of bereik ’n drukbediener wat die tonnel kan roeteer. Om die kill switch vir een taak af te skakel, ruil ’n werklike beskerming vir ’n klein gerief.