El kill switch bloqueja la impressora? Tres comprovacions per fer primer
El kill switch bloqueja el trànsit de la impressora a propòsit. Feu tres comprovacions per decidir si una excepció d'LAN limitada està justificada i manteniu-la en una sola adreça.
La impressora funcionava fa una hora. Després vau activar la VPN i ara les feines s'acumulen a la cua fins que fallen. La causa probable és el kill switch, no la impressora: descarta el trànsit que sortiria de la màquina fora del túnel, i una impressora d'LAN és exactament aquest tipus de trànsit. La decisió real no és com arreglar la impressió, sinó si aquest dispositiu ha d'arribar a la xarxa local. Tres condicions ho resolen, i qualsevol d'elles pot acabar la discussió aviat.
Què descarta el kill switch i per què
Un kill switch és una regla d'encaminament amb una manera de fallar associada. Amb el túnel actiu, els paquets coincidents surten xifrats; quan el túnel cau, el client envia la ruta per defecte a un forat negre perquè res no surti en text pla. Una impressora a la mateixa subxarxa no coincideix mai amb la ruta del túnel, així que es tracta com un intent d'escapament encara que el trànsit no surti mai de l'edifici.
El descobriment fa que el símptoma sigui confús. Les impressores s'anuncien per DNS multicast al port 5353, i la cua que es mostra al diàleg d'afegir impressora es construeix amb aquests anuncis. Mentre el bloc és actiu, l'anunci pot no arribar, així que la impressora desapareix de la llista encara que la seva adreça encara respongui. IPP al 631, impressió crua al 9100 i SMB al 445 són serveis d'LAN corrents sense cap camí pel túnel.
Primer demostreu que la impressora és accessible
Abans de canviar cap política, confirmeu que la impressora està bé i confirmeu l'adreça que creieu que té. Llegiu l'adreça del panell de la impressora o de la seva pròpia pàgina web. Una entrada obsoleta a la llista del sistema operatiu pot apuntar a una adreça que el DHCP va donar a un altre dispositiu fa setmanes.
Desconnecteu la VPN i després proveu l'adreça i els dos ports d'impressió habituals:
nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631A Windows l'equivalent és Test-NetConnection 192.168.1.50 -Port 9100. Torneu a connectar la VPN i repetiu. Si els ports responen amb la VPN desactivada i donen temps d'espera amb ella activada, heu reproduït el bloc i la resta és una qüestió de política. Si fallen en tots dos estats, atureu-vos: la culpa és de la impressora, del segment Wi-Fi o de l'aïllament de clients, i una excepció de VPN només afegiria exposició.
Tres condicions que decideixen permetre o bloquejar
Executeu-les en ordre. La primera condició que falla resol el resultat, així que les següents no cal provar-les.
| Condition | Allow a scoped exception | Keep the block |
|---|---|---|
| Who owns the network | Home or single-tenant office where you control the segment | Hotel, cafe or shared Wi-Fi where the printer is not yours |
| Who owns the device policy | Personal device with no enforced profile | Managed profile that enforces always-on VPN |
| What the device carries | Nothing another LAN peer must not reach | Client data that must not touch an untrusted segment |
Les xarxes de convidats són el no més clar. En un segment d'hotel, el rang local és tots els altres convidats, així que una excepció que arriba a la vostra impressora també arriba als seus portàtils. Una impressora que no és vostra no és motiu per obrir aquest segment.
Els dispositius gestionats són el segon no. Quan un perfil d'administrador imposa VPN sempre activa amb bloqueig, el client torna a imposar el bloc després de qualsevol canvi local, i la solució alternativa pot incomplir la política que vau acceptar. Demaneu un camí recolzat cap al recurs local en lloc d'editar paràmetres que se sobreescriuran.
L'excepció més petita que admet el vostre client
El que voleu és una regla limitada a destinació per a una adreça d'impressora, no un commutador general de permetre local. Un commutador general sol cobrir tot el rang privat i el trànsit link-local, que és molt més del que necessita una cua d'impressió, i converteix cada dispositiu del segment en un company que vau acceptar.
Windows ofereix split tunnelling, i algunes compilacions també ofereixen una opció de xarxa local. Quan l'única ruta suportada és una entrada d'host, afegiu una sola adreça a través de la passarel·la física després d'aixecar el túnel, per exemple route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, i suprimiu-la quan acabi la sessió. WireGuard funciona diferent: AllowedIPs decideix què entra al túnel, així que un perfil de túnel complet 0.0.0.0/0 porta la feina d'impressió al punt final tret que una ruta més específica la bypassi, i wg-quick pot instal·lar regles de tallafocs que bloquegin la resta.
A Android, el paràmetre sempre actiu que bloqueja les connexions sense la VPN és el kill switch, i el descobriment d'impressores des d'una aplicació dins d'aquest bloc no té cap camí d'LAN. El model per aplicació i d'exclusions està documentat a la pàgina de VPN d'Android, que és on cal mirar abans de canviar res: Guia de connectivitat VPN d'Android. Les versions recents de macOS demanen permís de xarxa local per separat del túnel, i iOS fa el mateix per a l'accés a la xarxa local, però la cua encara pot fallar amb el túnel actiu perquè el client del proveïdor encamina la subxarxa cap a dins.
Sigueu quin sigueu el client que feu servir, manteniu l'excepció en una sola adreça i els dos o tres ports que la impressora fa servir realment. Reserveu una concessió DHCP en lloc d'ampliar la regla a tota la subxarxa perquè l'adreça pot canviar.
Verifiqueu l'excepció i sapigueu quan desfer-la
Després del canvi, torneu a connectar i comproveu tres coses en ordre. La impressora respon als seus ports, s'imprimeix una pàgina de prova innòcua i una consulta d'adreça encara retorna el punt final de la VPN en lloc del vostre ISP. Si la impressió funciona però la consulta mostra el vostre ISP, heu obert més que la impressora i hauríeu de revertir.
Repetiu la prova després d'un reinici i després de qualsevol actualització del client o del perfil, perquè les actualitzacions restableixen els valors per defecte amb prou freqüència per importar. Una excepció que només sobreviu fins a la propera reconnexió no és una decisió, és un forat temporal. Escriviu la regla exacta per poder-la treure deliberadament.
Si el dispositiu ha de ser només de túnel, un portàtil de viatge o una màquina amb dades de clients, la resposta correcta és mantenir el bloc i imprimir en un altre lloc: deseu a PDF i imprimiu des d'un telèfon o una altra màquina, o arribeu a un servidor d'impressió que el túnel pugui encaminar. Desactivar el kill switch per a una feina canvia una protecció real per una petita comoditat.