Kill switch blokira vaš printer? Tri provjere koje prvo treba izvesti
Kill switch namjerno blokira promet printera. Izvedite tri provjere da odlučite je li ograničena iznimka za lokalnu mrežu opravdana i zadržite je na jednoj adresi.
Vaš je printer radio prije sat vremena. Zatim ste uključili VPN i sada poslovi stoje u redu čekanja dok ne propadnu. Vjerojatni je uzrok kill switch, a ne printer: on odbacuje promet koji bi napustio računalo izvan tunela, a LAN printer je upravo takav promet. Prava odluka nije kako popraviti ispis nego treba li ovaj uređaj uopće dosezati lokalnu mrežu. Tri uvjeta to rješavaju i bilo koji od njih može rano završiti raspravu.
Što kill switch odbacuje i zašto
Kill switch je pravilo usmjeravanja s pridruženim načinom kvara. Dok je tunel aktivan, odgovarajući paketi izlaze šifrirani; kad tunel padne, klijent usmjerava zadanu rutu u crnu rupu kako ništa ne bi izašlo u čistom tekstu. Printer na istoj podmreži nikad ne odgovara ruti tunela, pa se tretira kao pokušaj bijega iako promet nikad ne napušta zgradu.
Otkrivanje čini simptom zbunjujućim. Printeri se oglašavaju putem multicast DNS-a na portu 5353, a red čekanja u dijalogu za dodavanje printera gradi se iz tih oglasa. Dok je blok aktivan, oglas možda ne stigne, pa printer nestaje s popisa iako njegova adresa još odgovara. IPP na 631, sirovi ispis na 9100 i SMB na 445 obične su LAN usluge bez ikakvog puta kroz tunel.
Prvo dokažite da je printer dostupan
Prije promjene bilo koje politike potvrdite da je printer ispravan i potvrdite adresu za koju mislite da je njegova. Pročitajte adresu s ploče printera ili s njegove web stranice. Zastario unos na popisu operacijskog sustava može pokazivati na adresu koju je DHCP dodijelio drugom uređaju prije nekoliko tjedana.
Isključite VPN, zatim testirajte adresu i dva uobičajena porta za ispis:
nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631Na Windowsu je ekvivalent Test-NetConnection 192.168.1.50 -Port 9100. Ponovno povežite VPN i ponovite. Ako portovi odgovaraju s isključenim VPN-om i istječu s uključenim, reproducirali ste blok i ostatak je pitanje politike. Ako ne rade u oba stanja, zaustavite se: krivi su printer, Wi-Fi segment ili izolacija klijenata, a iznimka za VPN samo bi dodala izloženost.
Tri uvjeta koja odlučuju dopuštenje ili blokadu
Izvedite ih redom. Prvi uvjet koji ne prođe rješava ishod, pa ostale ne treba testirati.
| Condition | Allow a scoped exception | Keep the block |
|---|---|---|
| Who owns the network | Home or single-tenant office where you control the segment | Hotel, cafe or shared Wi-Fi where the printer is not yours |
| Who owns the device policy | Personal device with no enforced profile | Managed profile that enforces always-on VPN |
| What the device carries | Nothing another LAN peer must not reach | Client data that must not touch an untrusted segment |
Gostujuće mreže najjasnije su ne. Na hotelskom segmentu lokalni raspon čine svi ostali gosti, pa iznimka koja doseže vaš printer doseže i njihove prijenosnike. Printer koji nije vaš nije razlog da otvorite taj segment.
Upravljani uređaji drugo su ne. Kada administratorski profil nameće stalno uključen VPN sa zaključavanjem, klijent ponovno potvrđuje blokadu nakon svake lokalne promjene, a zaobilazno rješenje može prekršiti politiku koju ste prihvatili. Zatražite podržan put do lokalnog resursa umjesto uređivanja postavki koje će biti prepisane.
Najmanja iznimka koju vaš klijent podržava
Želite pravilo ograničeno na odredište za jednu adresu printera, a ne općenitu sklopku dopuštanja lokalne mreže. Općenita sklopka obično pokriva cijeli privatni raspon i link-local promet, što je mnogo više nego što treba jednom redu ispisa, i pretvara svaki uređaj u segmentu u sugovornika kojeg ste prihvatili.
Windows nudi split tunnelling, a neke ga verzije nude i opciju lokalne mreže. Gdje je jedini podržani put unos hosta, dodajte jednu adresu kroz fizički pristupnik nakon podizanja tunela, na primjer route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, pa je izbrišite kad sesija završi. WireGuard radi drukčije: AllowedIPs odlučuje što ulazi u tunel, pa profil s punim tunelom 0.0.0.0/0 nosi posao ispisa do krajnje točke osim ako ga zaobilazi konkretnija ruta, a wg-quick može postaviti pravila vatrozida koja blokiraju sve ostalo.
Na Androidu je postavka stalnog uključivanja koja blokira veze bez VPN-a kill switch, a otkrivanje printera iz aplikacije unutar te blokade nema put do LAN-a. Model po aplikacijama i iznimkama dokumentiran je na stranici Android VPN i tamo treba provjeriti prije bilo kakve promjene: Vodič za VPN povezivost na Androidu. Novije macOS verzije traže dopuštenje za lokalnu mrežu odvojeno od tunela, a iOS čini isto za pristup lokalnoj mreži, no red čekanja ipak može propasti s podignutim tunelom jer proizvođačev klijent usmjerava podmrežu u njega.
Koji god klijent koristili, zadržite iznimku na jednoj adresi i dva ili tri porta koje printer stvarno koristi. Rezervirajte DHCP lease umjesto širenja pravila na cijelu podmrežu jer se adresa može promijeniti.
Provjerite iznimku i znajte kada je opozvati
Nakon promjene ponovno se povežite i provjerite tri stvari redom. Printer odgovara na svojim portovima, bezopasna probna stranica se ispisuje, a pretraga adrese još vraća VPN krajnju točku umjesto vašeg ISP-a. Ako ispis radi, ali pretraga pokazuje vaš ISP, otvorili ste više od printera i trebate se vratiti.
Ponovite test nakon ponovnog pokretanja i nakon svakog ažuriranja klijenta ili profila, jer ažuriranja dovoljno često vraćaju zadane postavke. Iznimka koja preživi samo do sljedećeg povezivanja nije odluka, to je privremena rupa. Zapišite točno pravilo kako biste ga mogli namjerno ukloniti.
Ako je uređaj namijenjen samo tunelu, putni prijenosnik ili računalo s podacima klijenata, ispravan je odgovor zadržati blokadu i ispisivati drugdje: spremite u PDF i ispišite s telefona ili drugog računala, ili dosegnite poslužitelj ispisa kojem tunel može usmjeriti promet. Isključivanje kill switcha za jedan posao mijenja stvarnu zaštitu za malo praktičnosti.