Аварыйны выключальнік блакуе ваш прынтар? Тры праверкі, якія варта зрабіць перш
Аварыйны выключальнік наўмысна блакуе трафік прынтара. Зрабіце тры праверкі, каб вырашыць, ці апраўдана абмежаванае выключэнне для лакальнай сеткі, і трымайце яго на адным адрасе.
Ваш прынтар працаваў гадзіну таму. Потым вы ўключылі VPN, і цяпер заданні стаяць у чарзе, пакуль не пацерпяць няўдачу. Верагодная прычына — аварыйны выключальнік, а не прынтар: ён адкідае трафік, які мог бы пакінуць машыну па-за тунелем, а прынтар у лакальнай сетцы — менавіта такі трафік. Сапраўднае рашэнне не ў тым, як наладзіць друк, а ў тым, ці павінна гэта прылада наогул дасягаць лакальнай сеткі. Тры ўмовы вырашаюць гэта, і любая з іх можа скончыць размову датэрмінова.
Што адкідае аварыйны выключальнік і чаму
Аварыйны выключальнік — гэта правіла маршрутызацыі з далучаным рэжымам адмовы. Калі тунель падняты, адпаведныя пакеты выходзяць зашыфраванымі; калі тунель падае, кліент накіроўвае маршрут па змаўчанні ў чорную дзірку, каб нічога не выходзіла ў адкрытым выглядзе. Прынтар у той жа падсетцы ніколі не адпавядае маршруту тунеля, таму яго разглядаюць як спробу ўцёкаў, нават калі трафік ніколі не пакідае будынак.
Выяўленне робіць сімптом заблытаным. Прынтары аб'яўляюць сябе праз multicast DNS на порце 5353, і чарга ў дыялогу дадання прынтара будуецца з гэтых аб'яў. Пакуль блок актыўны, аб'ява можа не дайсці, таму прынтар знікае са спісу, нават калі яго адрас усё яшчэ адказвае. IPP на 631, сыры друк на 9100 і SMB на 445 — звычайныя лакальныя службы зусім без шляху праз тунель.
Спачатку дакажыце, што прынтар даступны
Перш чым змяняць палітыку, пераканайцеся, што прынтар спраўны, і пацвердзіце адрас, які вы лічыце ягоным. Прачытайце адрас з панэлі прынтара або з яго вэб-старонкі. Састарэлы запіс у спісе аперацыйнай сістэмы можа паказваць на адрас, які DHCP выдаў іншай прыладзе тыдні таму.
Адключыце VPN, затым праверце адрас і два звычайныя парты друку:
nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631У Windows эквівалент — Test-NetConnection 192.168.1.50 -Port 9100. Падключыце VPN зноў і паўтарыце. Калі парты адказваюць з выключаным VPN і сканчаюцца па тайм-аўце з уключаным, вы ўзнавілі блок, і астатняе — пытанне палітыкі. Калі яны не працуюць у абодвух станах, спыніцеся: вінаватыя прынтар, сегмент Wi-Fi або ізаляцыя кліентаў, а выключэнне для VPN толькі павялічыць рызыку.
Тры ўмовы, якія вырашаюць дазволіць або заблакаваць
Выконвайце іх па парадку. Першая ўмова, якая не выконваецца, вырашае вынік, таму наступныя правяраць не трэба.
| Condition | Allow a scoped exception | Keep the block |
|---|---|---|
| Who owns the network | Home or single-tenant office where you control the segment | Hotel, cafe or shared Wi-Fi where the printer is not yours |
| Who owns the device policy | Personal device with no enforced profile | Managed profile that enforces always-on VPN |
| What the device carries | Nothing another LAN peer must not reach | Client data that must not touch an untrusted segment |
Гасцявыя сеткі — самае відавочнае «не». У гатэльным сегменце лакальны дыяпазон — гэта ўсе іншыя госці, таму выключэнне, якое дасягае вашага прынтара, дасягае і іх ноўтбукаў. Прынтар, які вам не належыць, не прычына адкрываць гэты сегмент.
Кіраваныя прылады — другое «не». Калі профіль адміністратара ўводзіць заўсёды ўключаны VPN з блакіроўкай, кліент пацвярджае блок пасля любой лакальнай змены, і абыход можа парушыць палітыку, якую вы прынялі. Папрасіце падтрыманы шлях да лакальнага рэсурсу замест змены налад, якія будуць перазапісаны.
Найменшае выключэнне, якое падтрымлівае ваш кліент
Вам патрэбна правіла, абмежаванае пунктам прызначэння для аднаго адраса прынтара, а не агульны пераключальнік дазволу лакальнай сеткі. Агульны пераключальнік звычайна ахоплівае ўвесь прыватны дыяпазон і link-local трафік, што значна больш, чым патрэбна адной чарзе друку, і ён робіць кожную прыладу ў сегменце суразмоўцам, якога вы прынялі.
Windows прапануе split tunnelling, а некаторыя зборкі таксама прапануюць опцыю лакальнай сеткі. Калі адзіны падтрыманы шлях — запіс хоста, дадайце адзін адрас праз фізічны шлюз пасля ўзняцця тунеля, напрыклад route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, а затым выдаліце яго па заканчэнні сеанса. WireGuard працуе інакш: AllowedIPs вырашае, што трапляе ў тунель, таму профіль поўнага тунеля 0.0.0.0/0 нясе заданне друку да канчатковага пункта, калі толькі больш пэўны маршрут не абыходзіць яго, а wg-quick можа ўсталёўваць правілы фаервола, якія блокуюць усё астатняе.
На Android налада «заўсёды ўключана», якая блакуе злучэнні без VPN, і ёсць аварыйным выключальнікам, і выяўленне прынтара з праграмы ўнутры гэтага блоку не мае шляху ў лакальную сетку. Мадэль «для кожнай праграмы» і выключэнняў апісана на старонцы Android VPN, і менавіта туды варта зазірнуць, перш чым нешта змяняць: Дапаможнік па VPN-злучэннях Android. Апошнія выпускі macOS запытваюць дазвол на лакальную сетку асобна ад тунеля, і iOS робіць тое ж для доступу да лакальнай сеткі, але чарга ўсё роўна можа пацярпець няўдачу пры ўзнятым тунелі, бо кліент пастаўшчыка накіроўвае падсетку ў яго.
Які б кліент вы ні выкарыстоўвалі, трымайце выключэнне на адным адрасе і двух-трох партах, якія прынтар фактычна выкарыстоўвае. Замацуйце арэнду DHCP замест пашырэння правіла на ўсю падсетку, бо адрас можа змяніцца.
Праверце выключэнне і ведайце, калі яго адмяніць
Пасля змены падключыцеся зноў і праверце тры рэчы па парадку. Прынтар адказвае на сваіх партах, нешкодная пробная старонка друкуецца, а пошук адраса ўсё яшчэ вяртае канчатковы пункт VPN, а не вашага правайдера. Калі друк працуе, але пошук паказвае правайдера, вы адкрылі больш за прынтар і павінны адкаціцца.
Паўтарыце тэст пасля перазагрузкі і пасля любога абнаўлення кліента або профілю, бо абнаўленні даволі часта вяртаюць налады па змаўчанні. Выключэнне, якое жыве толькі да наступнага перападключэння, — не рашэнне, а часовая дзірка. Запішыце дакладнае правіла, каб маглі свядома яго выдаліць.
Калі прылада прызначана толькі для тунеля — дарожны ноўтбук або машына з данымі кліентаў, — правільны адказ трымаць блок і друкаваць у іншым месцы: захавайце ў PDF і друкуйце з тэлефона або іншай машыны, альбо дасягніце сервера друку, да якога тунель можа пракласці маршрут. Адключэнне аварыйнага выключальніка дзеля аднаго задання мяняе сапраўдную абарону на дробную зручнасць.