Kill switch printerinizi bloklayır? Əvvəlcə üç yoxlama keçirin
Kill switch printer trafikini qəsdən bloklayır. Məhdud LAN istisnasının əsaslı olub-olmadığını üç yoxlama ilə qərar verin və onu bir ünvanda saxlayın.
Printeriniz bir saat əvvəl işləyirdi. Sonra VPN-i yandırdınız və indi işlər növbədə uğursuz olana qədər qalır. Ehtimal olunan səbəb printer deyil, kill switch-dir: o, maşını tuneldən kənarda tərk edəcək trafiki atır və LAN printeri məhz belə trafikdir. Əsl qərar çapı necə düzəltmək deyil, bu cihazın ümumiyyətlə yerli şəbəkəyə çatmalı olub-olmamasıdır. Üç şərt bunu həll edir və onlardan hər hansı biri müzakirəni erkən bitirə bilər.
Kill switch nəyi atır və niyə
Kill switch uğursuzluq rejimi əlavə edilmiş marşrut qaydasıdır. Tunel açıq olduqda uyğun paketlər şifrələnmiş şəkildə çıxır; tunel düşəndə müştəri standart marşrutu qara dəliyə çevirir ki, heç nə açıq mətnlə çölə çıxmasın. Eyni alt şəbəkədəki printer heç vaxt tunel marşrutuna uyğun gəlmir, ona görə trafik heç vaxt binadan çıxmasa da, o, qaçış cəhdi kimi qəbul edilir.
Kəşfiyyat simptomu çaşdırıcı edir. Printerlər 5353 portunda multicast DNS ilə özlərini elan edir və printer əlavə et dialoqunda göstərilən növbə həmin elanlardan qurulur. Blok aktiv olanda elan gəlməyə bilər, ona görə ünvanı hələ də cavab verəndə belə printer siyahıdan yox olur. 631 portunda IPP, 9100 portunda xam çap və 445 portunda SMB tunel yolu olmayan adi LAN xidmətləridir.
Əvvəlcə printerin əlçatan olduğunu sübut edin
Hər hansı siyasəti dəyişməzdən əvvəl printerin sağlam olduğunu və onun ünvanını düşündüyünüz kimi təsdiqləyin. Ünvanı printer panelindən və ya onun öz veb səhifəsindən oxuyun. Əməliyyat sistemi siyahısındakı köhnə qeyd DHCP-nin həftələr əvvəl başqa cihaza verdiyi ünvanı göstərə bilər.
VPN-i ayırın, sonra ünvanı və iki ümumi çap portunu yoxlayın:
nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631Windows-da ekvivalent Test-NetConnection 192.168.1.50 -Port 9100-dir. VPN-i yenidən qoşun və təkrarlayın. Portlar VPN söndürkən cavab verir, yandırkən vaxt aşımına uğrayırsa, bloku təkrar yaratmısınız və qalanı siyasət məsələsidir. Hər iki vəziyyətdə uğursuz olurlarsa, dayanın: səbəb printer, Wi-Fi seqmenti və ya müştəri izolyasiyasıdır və VPN istisnası yalnız məruz qalmanı artırar.
İcazəyə və ya bloka qərar verən üç şərt
Bunları sıra ilə icra edin. Uğursuz olan ilk şərt nəticəni həll edir, ona görə sonrakıları yoxlamağa ehtiyac yoxdur.
| Condition | Allow a scoped exception | Keep the block |
|---|---|---|
| Who owns the network | Home or single-tenant office where you control the segment | Hotel, cafe or shared Wi-Fi where the printer is not yours |
| Who owns the device policy | Personal device with no enforced profile | Managed profile that enforces always-on VPN |
| What the device carries | Nothing another LAN peer must not reach | Client data that must not touch an untrusted segment |
Qonaq şəbəkələri ən aydın rədddir. Otel seqmentində yerli diapazon bütün digər qonaqlardır, ona görə printerinizə çatan istisna onların noutbuklarına da çatır. Sahibi olmadığınız printer həmin seqmenti açmaq üçün səbəb deyil.
İdarə olunan cihazlar ikinci rədddir. Administrator profili kilidləmə ilə həmişə aktiv VPN tətbiq edəndə müştəri hər hansı yerli dəyişiklikdən sonra bloku bərpa edir və müvəqqəti həll qəbul etdiyiniz siyasəti poza bilər. Üzərinə yazılacaq parametrləri redaktə etmək əvəzinə dəstəklənən yerli resurs yolu istəyin.
Müştərinizin dəstəklədiyi ən kiçik istisna
İstədiyiniz bir printer ünvanı üçün təyinat məhdudlaşdırılmış qaydadır, hər şeyə icazə verən yerli açar deyil. Belə açar adətən bütün şəxsi diapazonu və link-local trafiki əhatə edir ki, bu bir çap növbəsinin ehtiyacından qat-qat çoxdur və seqmentdəki hər cihazı qəbul etdiyiniz həmkarına çevirir.
Windows split tunnelling təklif edir, bəzi buraxılışlar yerli şəbəkə seçimi də verir. Yeganə dəstəklənən yol host qeydidirsə, tunel qurulduqdan sonra fiziki şlüz vasitəsilə bir ünvan əlavə edin, məsələn route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, sonra sessiya bitəndə onu silin. WireGuard fərqli işləyir: AllowedIPs tunelə nəyin girdiyini müəyyən edir, ona görə tam tunel 0.0.0.0/0 profili daha dəqiq marşrut onu yan keçməzsə, çap işini son nöqtəyə aparır və wg-quick qalan hər şeyi bloklayan firewall qaydaları quraşdıra bilər.
Android-də VPN olmadan bağlantıları bloklayan həmişə aktiv parametr kill switch-dir və bu blokun içindəki tətbiqdən printer kəşfi heç bir LAN yolu tapmır. Tətbiq başına və istisna modeli Android VPN səhifəsində sənədləşdirilib və hər nəyi dəyişməzdən əvvəl baxılmalı yer orasıdır: Android VPN bağlantı bələdçisi. Son macOS buraxılışları yerli şəbəkə icazəsini tuneldən ayrıca istəyir, iOS da yerli şəbəkə girişi üçün eyni şeyi edir, lakin vendor müştərisi alt şəbəkəni tunelin içindən yönləndirdiyi üçün növbə tunel açıqkən yenə də uğursuz ola bilər.
Hansı müştəridən istifadə etsəniz də, istisnanı bir ünvanda saxlayın və printerin həqiqətən istifadə etdiyi iki və ya üç portda. Ünvan dəyişə biləcəyi üçün qaydanı bütün alt şəbəkəyə genişlətmək əvəzinə DHCP lease rezerv edin.
İstisnanı yoxlayın və onu nə vaxt geri qaytaracağınızı bilin
Dəyişiklikdən sonra yenidən qoşun və üç şeyi sıra ilə yoxlayın. Printer öz portlarında cavab verir, zərərsiz sınaq səhifəsi çap olunur və ünvan sorğusu hələ də ISP-niz əvəzinə VPN son nöqtəsini qaytarır. Çap işləyirsə, lakin sorğu ISP-nizi göstərirsə, printerdən çoxunu açmısınız və geri qaytarmalısınız.
Yenidən başlatmadan sonra və hər hansı müştəri və ya profil yeniləməsindən sonra testi təkrarlayın, çünki yeniləmələr standartları kifayət qədər tez-tez bərpa edir. Yalnız növbəti yenidən qoşulmaya qədər qalan istisna qərar deyil, müvəqqəti deşikdir. Dəqiq qaydanı yazın ki, onu qəsdən silə biləsiniz.
Cihaz yalnız tunel üçün nəzərdə tutulubsa, səyahət noutbuku və ya müştəri məlumatları saxlayan maşın, düzgün cavab bloku saxlamaq və başqa yerdə çap etməkdir: PDF kimi saxlayın və telefondan və ya başqa maşindan çap edin, ya da tunelin yönləndirə biləcəyi çap serverinə çatın. Bir iş üçün kill switch-i söndürmək real müdafiəni kiçik rahatlıqla dəyişir.