Аварийният прекъсвач блокира ли принтера ви? Три проверки, които да направите първо

Принтерът ви работеше преди час. После включихте VPN и сега задачите стоят в опашката, докато не се провалят. Вероятната причина е аварийният прекъсвач, а не принтерът: той изхвърля трафика, който би напуснал машината извън тунела, а LAN принтерът е точно такъв трафик. Истинското решение не е как да поправите печатането, а дали това устройство изобщо трябва да достига локалната мрежа. Три условия решават това и всяко едно от тях може да приключи разговора рано.

Какво изхвърля аварийният прекъсвач и защо

Аварийният прекъсвач е правило за маршрутизация с прикачен режим на отказ. Когато тунелът е активен, съответстващите пакети излизат криптирани; когато тунелът падне, клиентът насочва маршрута по подразбиране към черна дупка, за да не излиза нищо в открит вид. Принтер в същата подмрежа никога не съвпада с маршрута на тунела, затова се третира като опит за бягство, дори трафикът никога да не напуска сградата.

Откриването прави симптома объркващ. Принтерите се анонсират чрез multicast DNS на порт 5353 и опашката в диалога за добавяне на принтер се изгражда от тези анонси. Докато блокът е активен, анонсът може да не пристигне, затова принтерът изчезва от списъка, въпреки че адресът му още отговаря. IPP на 631, суров печат на 9100 и SMB на 445 са обикновени LAN услуги без никакъв път през тунела.

Първо докажете, че принтерът е достъпен

Преди да променяте каквато и да е политика, потвърдете, че принтерът е изправен, и потвърдете адреса, който смятате, че има. Прочетете адреса от панела на принтера или от собствената му уеб страница. Остарял запис в списъка на операционната система може да сочи адрес, който DHCP е дал на друго устройство преди седмици.

Изключете VPN, след което проверете адреса и двата обичайни порта за печат:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

В Windows еквивалентът е Test-NetConnection 192.168.1.50 -Port 9100. Свържете VPN отново и повторете. Ако портовете отговарят с изключен VPN и изтичат с включен, възпроизвели сте блока и останалото е въпрос на политика. Ако се провалят и в двете състояния, спрете: виновни са принтерът, Wi-Fi сегментът или изолацията на клиентите, а изключение за VPN само ще добави излагане.

Три условия, които решават разрешаване или блокиране

Изпълнете ги по ред. Първото условие, което се провали, определя изхода, така че следващите не е нужно да се тестват.

Гост мрежите са най-ясното не. В хотелски сегмент локалният диапазон е всеки друг гост, така че изключение, което стига до вашия принтер, стига и до техните лаптопи. Принтер, който не е ваш, не е причина да отваряте този сегмент.

Управляваните устройства са второто не. Когато администраторски профил налага always-on VPN със заключване, клиентът възстановява блока след всяка локална промяна и заобикалянето може да наруши политиката, която сте приели. Поискайте поддържан път до локален ресурс, вместо да редактирате настройки, които ще бъдат презаписани.

Най-малкото изключение, което клиентът ви поддържа

Искате правило, ограничено до местоназначение, за един адрес на принтер, а не общ превключвател за разрешаване на локалната мрежа. Общият превключвател обикновено покрива целия частен диапазон и link-local трафика, което е много повече от нуждите на една опашка за печат, и превръща всяко устройство в сегмента в партньор, който сте приели.

Windows предлага split tunnelling, а някои сборки предлагат и опция за локална мрежа. Когато единственият поддържан път е запис за хост, добавете един адрес през физическия шлюз след вдигане на тунела, например route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, и го изтрийте при края на сесията. WireGuard работи различно: AllowedIPs решава какво влиза в тунела, така че профил с пълен тунел 0.0.0.0/0 носи задачата за печат до крайната точка, освен ако по-конкретен маршрут не я заобиколи, а wg-quick може да инсталира правила на защитната стена, които блокират всичко останало.

На Android настройката за постоянно включване, която блокира връзки без VPN, е аварийният прекъсвач и откриването на принтер от приложение в този блок няма път към локалната мрежа. Моделът за отделни приложения и изключения е документиран на страницата за Android VPN и там трябва да проверите, преди да промените нещо: Ръководство за VPN връзки в Android. Последните версии на macOS искат разрешение за локална мрежа отделно от тунела и iOS прави същото за достъп до локалната мрежа, но опашката все още може да се провали при вдигнат тунел, защото клиентът на доставчика маршрутизира подмрежата в него.

Който и клиент да използвате, дръжте изключението до един адрес и двата или трите порта, които принтерът наистина използва. Резервирайте DHCP наем, вместо да разширявате правилото към цялата подмрежа, защото адресът може да се премести.

Проверете изключението и знайте кога да го отмените

След промяната се свържете отново и проверете три неща по ред. Принтерът отговаря на портовете си, безвредна тестова страница се отпечатва и проверката на адреса все още връща крайната точка на VPN, а не вашия доставчик. Ако печатането работи, но проверката показва доставчика ви, отворили сте повече от принтера и трябва да се върнете назад.

Повторете теста след рестарт и след всяка актуализация на клиента или профила, защото актуализациите достатъчно често връщат настройките по подразбиране. Изключение, което оцелява само до следващото свързване, не е решение, а временна дупка. Запишете точното правило, за да можете да го премахнете нарочно.

Ако устройството е само за тунела — пътуващ лаптоп или машина с клиентски данни — правилният отговор е да запазите блока и да печатате другаде: запазете като PDF и печатайте от телефон или друга машина, или достигнете до сървър за печат, към който тунелът може да маршрутизира. Изключването на аварийния прекъсвач за една задача заменя истинска защита срещу малко удобство.