Kill switch blokuje vaši tiskárnu? Tři kontroly, které je třeba provést nejdřív
Kill switch záměrně blokuje provoz tiskárny. Proveďte tři kontroly, abyste rozhodli, zda je omezená výjimka pro místní síť opodstatněná, a nechte ji jen na jedné adrese.
Vaše tiskárna fungovala před hodinou. Pak jste zapnuli VPN a teď úlohy stojí ve frontě, dokud neselžou. Pravděpodobnou příčinou je kill switch, ne tiskárna: zahazuje provoz, který by opustil stroj mimo tunel, a tiskárna v místní síti je přesně takový provoz. Skutečné rozhodnutí není, jak opravit tisk, ale zda má toto zařízení vůbec dosáhnout na místní síť. Rozhodují o tom tři podmínky a kterákoli z nich může diskusi ukončit brzy.
Co kill switch zahazuje a proč
Kill switch je pravidlo směrování s přidruženým režimem selhání. Když je tunel nahoře, odpovídající pakety odcházejí šifrovaně; když tunel spadne, klient pošle výchozí trasu do černé díry, aby nic neodešlo v otevřeném textu. Tiskárna ve stejné podsíti nikdy neodpovídá trase tunelu, takže se s ní zachází jako s pokusem o útěk, i když provoz nikdy neopustí budovu.
Zjišťování činí symptom matoucím. Tiskárny se ohlašují přes multicast DNS na portu 5353 a fronta v dialogu přidání tiskárny se staví z těchto oznámení. Dokud je blok aktivní, oznámení nemusí dorazit, takže tiskárna zmizí ze seznamu, i když její adresa stále odpovídá. IPP na 631, surový tisk na 9100 a SMB na 445 jsou běžné služby místní sítě úplně bez cesty tunelem.
Nejprve dokažte, že je tiskárna dostupná
Než změníte jakoukoli politiku, ověřte, že je tiskárna v pořádku, a ověřte adresu, kterou si myslíte, že má. Přečtěte adresu z panelu tiskárny nebo z její vlastní webové stránky. Zastaralý záznam v seznamu operačního systému může ukazovat na adresu, kterou DHCP přidělil jinému zařízení před týdny.
Odpojte VPN a potom otestujte adresu a dva běžné tiskové porty:
nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631Ve Windows je ekvivalentem Test-NetConnection 192.168.1.50 -Port 9100. Znovu připojte VPN a opakujte. Pokud porty odpovídají s vypnutou VPN a s vypršeným časovým limitem s zapnutou, reprodukovali jste blok a zbytek je otázka politiky. Pokud selžou v obou stavech, zastavte se: vinna je tiskárna, segment Wi-Fi nebo izolace klientů a výjimka pro VPN by jen přidala expozici.
Tři podmínky, které rozhodují o povolení nebo blokování
Proveďte je v pořadí. První podmínka, která selže, určí výsledek, takže další už testovat nemusíte.
| Condition | Allow a scoped exception | Keep the block |
|---|---|---|
| Who owns the network | Home or single-tenant office where you control the segment | Hotel, cafe or shared Wi-Fi where the printer is not yours |
| Who owns the device policy | Personal device with no enforced profile | Managed profile that enforces always-on VPN |
| What the device carries | Nothing another LAN peer must not reach | Client data that must not touch an untrusted segment |
Hostitelské sítě jsou nejjasnější ne. V hotelovém segmentu je místní rozsah každý další host, takže výjimka, která dosáhne na vaši tiskárnu, dosáhne i na jejich notebooky. Tiskárna, která není vaše, není důvod ten segment otevírat.
Spravovaná zařízení jsou druhé ne. Když administrátorský profil vynucuje always-on VPN se zámkem, klient po každé místní změně blok znovu prosadí a obejití může porušit politiku, kterou jste přijali. Požádejte o podporovanou cestu k místnímu prostředku místo úprav nastavení, která budou přepsána.
Nejmenší výjimka, kterou váš klient podporuje
Chcete pravidlo omezené na cíl pro jednu adresu tiskárny, ne plošný přepínač povolení místní sítě. Plošný přepínač obvykle pokrývá celý soukromý rozsah a link-local provoz, což je mnohem víc, než jedna tisková fronta potřebuje, a promění každé zařízení v segmentu v protějšek, který jste přijali.
Windows nabízí split tunnelling a některé buildy nabízejí i volbu místní sítě. Kde je jedinou podporovanou cestou položka hostitele, přidejte jednu adresu přes fyzickou bránu po navázání tunelu, například route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, a po skončení relace ji smažte. WireGuard funguje jinak: AllowedIPs rozhoduje, co vstoupí do tunelu, takže profil s plným tunelem 0.0.0.0/0 nese tiskovou úlohu až ke koncovému bodu, pokud ji neobchází konkrétnější trasa, a wg-quick může nainstalovat pravidla firewallu, která zablokují vše ostatní.
V Androidu je nastavení vždy zapnuto, které blokuje připojení bez VPN, kill switch, a zjišťování tiskáren z aplikace uvnitř tohoto bloku nemá cestu do místní sítě. Model pro jednotlivé aplikace a výjimky je zdokumentován na stránce Android VPN, kde je třeba se podívat, než cokoli změníte: Průvodce připojením VPN v Androidu. Nedávné verze macOS žádají o povolení místní sítě odděleně od tunelu a iOS dělá totéž pro přístup k místní síti, přesto fronta může selhat s tunelem nahoře, protože klientský software výrobce směruje podsíť dovnitř.
Ať už používáte jakéhokoli klienta, držte výjimku na jedné adrese a dvou nebo třech portech, které tiskárna skutečně používá. Rezervujte DHCP lease, místo abyste pravidlo rozšiřovali na celou podsíť, protože adresa se může změnit.
Ověřte výjimku a vězte, kdy ji zrušit
Po změně se znovu připojte a zkontrolujte tři věci v pořadí. Tiskárna odpovídá na svých portech, vytiskne se neškodná testovací stránka a vyhledání adresy stále vrací koncový bod VPN, ne vašeho ISP. Pokud tisk funguje, ale vyhledávání ukazuje vašeho ISP, otevřeli jste víc než tiskárnu a měli byste to vrátit.
Test zopakujte po restartu a po každé aktualizaci klienta nebo profilu, protože aktualizace dost často obnovují výchozí hodnoty. Výjimka, která přežije jen do dalšího připojení, není rozhodnutí, je to dočasná díra. Zapište přesné pravidlo, abyste je mohli záměrně odstranit.
Pokud je zařízení určeno jen pro tunel, cestovní notebook nebo stroj s klientskými daty, správná odpověď je ponechat blok a tisknout jinde: uložte do PDF a tiskněte z telefonu nebo jiného stroje, nebo se dostanete na tiskový server, který tunel umí směrovat. Vypnutí kill switch kvůli jedné úloze vymění skutečnou ochranu za malé pohodlí.