Jy het nie Bonjour-ontdekking nodig om oor 'n VPN te druk nie

Jy is waarskynlik al vertel dat druk vanaf 'n iPhone oor 'n VPN vereis dat Bonjour-ontdekking deur die tonnel gaan. Daardie oortuiging stuur mense na TAP-brugge en multicast-herleiers wat niks regmaak nie. AirPrint aanvaar 'n eksplisiete bestemming: 'n konfigurasieprofiel kan die foon 'n drukker se adres, hulpbronpad en poort gee. Ontdekking hoef nooit te gebeur vir daardie inskrywing om in die drukblad te verskyn nie. Wat die profiel nie doen nie, is om die roete te skep, 'n nie-AirPrint-drukker IPP te laat praat of die werk te magtig nie.

Die mite begin met 'n ware waarneming

Bonjour is per ontwerp skakel-lokale multicast. 'n Geroteerde punt-tot-punt-tonnel dra nie daardie groepe nie, so 'n foon op 'n VPN kan nie drukkers op die verre LAN deursoek nie, en 'n skootrekenaar op dieselfde tonnel ook nie. Die korrekte gevolgtrekking is nie dat druk 'n brug nodig het nie; dit is dat deursoek 'n ander afleweringsmeganisme nodig het, en 'n eksplisiete lys is daardie meganisme.

Multicast-herleiers bestaan en sommige netwerke bestuur hulle goed, maar hulle los 'n ontdekkingsvereiste op wat jy dalk nie het nie. As die ontplooiing net na een goedgekeurde toestel hoef te druk, is die publikasie van daardie toestel kleiner, toetsbaar en baie makliker om te onttrek as om 'n uitsaaidomein oor 'n tonnel uit te brei.

Wat die profiel werklik bevat

Die com.apple.airprint-profiel bevat 'n skikking van drukker-woordeboeke. Elke woordeboek neem 'n IPAddress, wat 'n letterlike adres of 'n gasheernaam kan wees, 'n ResourcePath, 'n opsionele Port en 'n opsionele ForceTLS. Apple dokumenteer Port en ForceTLS vanaf iOS 11, so 'n gemengde vloot moet dit voor die uitrol duidelik hê.

Die pad is die veld wat mense raai. ResourcePath weerspieël die rp-waarde in die drukker se _ipps._tcp- of _ipp._tcp-Bonjour-rekord. Dit is dikwels ipp/print op moderne drywerlose drukkers en dikwels vervaardiger-spesifiek op ouer een. Om 'n pad van 'n ander model te kopieer, lewer 'n tou op wat verskyn en dan elke werk weier.

Een item in die skikking lyk so, met plekhouerwaardes wat nie 'n getoetste eindpunt is nie:

<dict>
    <key>ResourcePath</key>
    <string>ipp/print</string>
    <key>IPAddress</key>
    <string>printer-07.office.example</string>
    <key>Port</key>
    <integer>8631</integer>
    <key>ForceTLS</key>
    <true/>
</dict>

Daardie fragment is nie 'n profiel nie. Dit is een element van die AirPrint-skikking binne 'n profiel, en die profiel het steeds sy eie metadata nodig plus ondertekening of MDM-aflewering. Die AirPrint-drukkerwoordeboek is die verwysing vir die veldbetekenisse.

Versamel die waardes by die drukker, nie by 'n soekresultaat nie

Op 'n Mac wat reeds na die toestel druk, wys ippfind of dns-sd -B _ipp._tcp die geadverteerde instansie, en die drukker se eie webkoppelvlak lys gewoonlik die IPP-pad en -poort. Teken al vier waardes in die ontplooiingsnota aan sodat die volgende persoon dit nie weer uit 'n skermkiekie moet aflei nie.

Besluit dan doelbewus oor TLS. Met ForceTLS op waar moet die foon die sertifikaat vertrou wat die drukker aanbied, en 'n selfondertekende sertifikaat misluk tensy jy ook die vertrouensanker ontplooi. Om TLS af te skakel om 'n tou te laat werk, is 'n besluit oor die netwerkpad, nie 'n omweg vir 'n ongerieflike sertifikaat nie.

Aflewering, dan twee teenoorgestelde mislukkings

Lewer die profiel deur jou toestelbestuurskanaal waar een bestaan, en behandel 'n handmatig geïnstalleerde profiel op 'n werkfoon as die uitsondering wat dit is. Na installasie moet die drukker in die drukblad verskyn sonder enige ontdekkingsverkeer. Daardie verskyning is die enigste ding wat die profiel ooit bedoel was om te waarborg.

'n Drukker wat verskyn maar elke werk misluk, het 'n roete-, poort-, pad- of TLS-probleem, en nie een daarvan word deur die profiel opgelos nie.

'n Drukker wat nooit verskyn nie, het eerder 'n aflewerings- of profielprobleem: die profiel het nie geïnstalleer nie, die skikking is wanvormig, of 'n waarde stem nie ooreen met die toestel nie. Herlees die waardes en die teikentoestel voordat jy aan die VPN raak. Om 'n ontdekkingsherleier by te voeg om 'n lysprobleem op te los, is 'n duur fout, want die lys het nooit van die begin af van ontdekking afgehang nie.

Hou die inskrywing onderhoudbaar

Verkies 'n gasheernaam bo 'n letterlike adres waar jy die sone beheer, sodat 'n adresverandering nie elke geïnstalleerde profiel ongeldig maak nie. Daardie gasheernaam moet vanaf die foon opgelos word terwyl die tonnel op is, wat dit terugplaas in die split-DNS-gesprek eerder as die drukgesprek.

Skryf die drukker-eienaar en die profiel-eienaar in die ontplooiingsrekord. Wanneer die tou skuif, werk die gepubliseerde bestemming doelbewus by, want 'n ou inskrywing verval nie vanself nie en bly gebruikers na 'n afgetrede toestel verwys.

Niks hiervan maak 'n drukker AirPrint-bekwaam nie. Die profiel publiseer 'n bestemming, en die toestel moet steeds IPP praat.