K tisku přes VPN nepotřebujete objevování Bonjour

Pravděpodobně vám bylo řečeno, že tisk z iPhonu přes VPN vyžaduje, aby tunelem prošlo objevování Bonjour. Toto přesvědčení žene lidi k TAP mostům a multicastovým přeposílačům, které nic neřeší. AirPrint přijímá explicitní cíl: konfigurační profil může telefonu předat adresu tiskárny, cestu ke zdroji a port. Objevování nemusí nikdy proběhnout, aby se tato položka objevila v tiskovém listu. Co profil nedělá, je vytvoření trasy, přimění tiskárny bez AirPrint mluvit IPP nebo autorizace úlohy.

Mýtus začíná pravdivým pozorováním

Bonjour je už ze své podstaty link-local multicast. Směrovaný tunel bod-bod tyto skupiny nepřenáší, takže telefon na VPN nemůže procházet tiskárny ve vzdálené LAN a notebook ve stejném tunelu také ne. Správný závěr není, že tisk potřebuje most; správný závěr je, že procházení potřebuje jiný mechanismus doručení, a explicitní seznam je tím mechanismem.

Multicastové přeposílače existují a některé sítě je dobře provozují, ale řeší požadavek na objevování, který mít nemusíte. Pokud má nasazení tisknout jen na jedno schválené zařízení, publikování tohoto zařízení je menší, testovatelné a mnohem snáze odvolatelné než rozšiřování broadcastové domény přes tunel.

Co profil ve skutečnosti nese

Profil com.apple.airprint obsahuje pole slovníků tiskáren. Každý slovník přebírá IPAddress, což může být doslovná adresa nebo název hostitele, dále ResourcePath, volitelný Port a volitelný ForceTLS. Apple dokumentuje Port a ForceTLS od iOS 11, takže smíšená flotila to musí mít vyjasněné před zavedením.

Cesta je pole, které lidé hádají. ResourcePath zrcadlí hodnotu rp v záznamu Bonjour tiskárny _ipps._tcp nebo _ipp._tcp. U moderních tiskáren bez ovladačů bývá často ipp/print, u starších často specifická pro výrobce. Zkopírování cesty z jiného modelu vytvoří frontu, která se objeví a pak odmítne každou úlohu.

Položka v poli vypadá takto, se zástupnými hodnotami, které nejsou otestovaným koncovým bodem:

<dict>
    <key>ResourcePath</key>
    <string>ipp/print</string>
    <key>IPAddress</key>
    <string>printer-07.office.example</string>
    <key>Port</key>
    <integer>8631</integer>
    <key>ForceTLS</key>
    <true/>
</dict>

Tento fragment není profil. Je to jeden prvek pole AirPrint uvnitř profilu a profil stále potřebuje vlastní metadata plus podepisování nebo doručení přes MDM. Slovník tiskárny AirPrint je referencí k významům polí.

Sesbírejte hodnoty z tiskárny, ne z výsledku vyhledávání

Na Macu, který už na zařízení tiskne, ippfind nebo dns-sd -B _ipp._tcp zobrazí inzerovanou instanci a webové rozhraní tiskárny obvykle uvádí cestu IPP a port. Zapište všechny čtyři hodnoty do poznámky k nasazení, aby je příští člověk nemusel znovu odvozovat ze snímku obrazovky.

Poté se vědomě rozhodněte o TLS. Když je ForceTLS pravda, telefon musí důvěřovat certifikátu, který tiskárna předkládá, a certifikát podepsaný sám sebou selže, pokud také nenasadíte kořen důvěry. Vypnutí TLS, aby fronta fungovala, je rozhodnutí o síťové trase, ne obejití nepohodlného certifikátu.

Doručení, pak dvě opačné poruchy

Doručte profil svým kanálem správy zařízení, kde existuje, a ručně nainstalovaný profil na pracovním telefonu berte jako výjimku, kterou je. Po instalaci by se tiskárna měla objevit v tiskovém listu zcela bez provozu objevování. Toto objevení je jediná věc, kterou měl profil kdy zaručit.

Tiskárna, která se objeví, ale každou úlohu odmítne, má problém s trasou, portem, cestou nebo TLS, a žádný z nich profil neřeší.

Tiskárna, která se neobjeví nikdy, má místo toho problém s doručením nebo profilem: profil se nenainstaloval, pole je poškozené nebo hodnota neodpovídá zařízení. Znovu si přečtěte hodnoty a cílové zařízení, než se dotknete VPN. Přidání přeposílače objevování k opravě problému se seznamem je drahá chyba, protože seznam nikdy na objevování nezávisel.

Udržujte položku udržovatelnou

Upřednostněte název hostitele před doslovnou adresou tam, kde kontrolujete zónu, aby změna adresy nezneplatnila každý nainstalovaný profil. Tento název hostitele se musí z telefonu přeložit, dokud je tunel aktivní, což ho vrací do rozhovoru o split-DNS, nikoli o tisku.

Zapište vlastníka tiskárny a vlastníka profilu do záznamu o nasazení. Když se fronta přesune, cíleně aktualizujte publikovaný cíl, protože stará položka sama nevyprší a dál nasměrovává uživatele na vyřazené zařízení.

Nic z toho neudělá tiskárnu schopnou AirPrint. Profil publikuje cíl a zařízení stále musí mluvit IPP.