Kill-Switch blockiert Ihren Drucker? Drei Prüfungen, die Sie zuerst machen sollten

Ihr Drucker lief vor einer Stunde noch. Dann haben Sie das VPN eingeschaltet, und jetzt hängen Aufträge in der Warteschlange, bis sie scheitern. Der Kill-Switch ist die wahrscheinliche Ursache, nicht der Drucker: Er verwirft Traffic, der den Rechner außerhalb des Tunnels verlassen würde, und ein LAN-Drucker ist genau solche Traffic. Die eigentliche Entscheidung ist nicht, wie man das Drucken repariert, sondern ob dieses Gerät überhaupt das lokale Netz erreichen soll. Drei Bedingungen klären das, und jede davon kann die Diskussion früh beenden.

Was der Kill-Switch verwirft und warum

Ein Kill-Switch ist eine Routingregel mit angehängtem Fehlermodus. Bei stehendem Tunnel verlassen passende Pakete verschlüsselt den Rechner; fällt der Tunnel aus, leitet der Client die Standardroute ins Leere, damit nichts im Klartext hinausgeht. Ein Drucker im selben Subnetz passt nie zur Tunnelroute, also wird er als Ausbruchsversuch behandelt, obwohl der Traffic das Gebäude nie verlässt.

Die Erkennung macht das Symptom verwirrend. Drucker kündigen sich per Multicast-DNS auf Port 5353 an, und die Warteschlange im Dialog Drucker hinzufügen entsteht aus diesen Ankündigungen. Solange die Sperre aktiv ist, kommt die Ankündigung möglicherweise nicht an, sodass der Drucker aus der Liste verschwindet, obwohl seine Adresse noch antwortet. IPP auf 631, Rohdruck auf 9100 und SMB auf 445 sind gewöhnliche LAN-Dienste ganz ohne Tunnelpfad.

Beweisen Sie zuerst, dass der Drucker erreichbar ist

Bevor Sie eine Richtlinie ändern, bestätigen Sie, dass der Drucker in Ordnung ist, und bestätigen Sie die Adresse, die er Ihrer Meinung nach hat. Lesen Sie die Adresse am Druckerpanel oder auf seiner eigenen Webseite ab. Ein veralteter Eintrag in der Liste des Betriebssystems kann auf eine Adresse zeigen, die DHCP vor Wochen einem anderen Gerät zugewiesen hat.

Trennen Sie das VPN, und testen Sie dann die Adresse und die zwei üblichen Druckports:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

Unter Windows ist das Äquivalent Test-NetConnection 192.168.1.50 -Port 9100. Verbinden Sie das VPN wieder, und wiederholen Sie den Test. Antworten die Ports bei ausgeschaltetem VPN und laufen bei eingeschaltetem in eine Zeitüberschreitung, haben Sie die Sperre reproduziert, und der Rest ist eine Richtlinienfrage. Scheitern sie in beiden Zuständen, hören Sie auf: Der Drucker, das WLAN-Segment oder die Client-Isolierung ist schuld, und eine VPN-Ausnahme würde nur die Angriffsfläche vergrößern.

Drei Bedingungen, die über Erlauben oder Blockieren entscheiden

Führen Sie sie der Reihe nach aus. Die erste Bedingung, die scheitert, entscheidet das Ergebnis, sodass die späteren nicht geprüft werden müssen.

Gastnetze sind das klarste Nein. In einem Hotelsegment ist der lokale Bereich jeder andere Gast, eine Ausnahme, die Ihren Drucker erreicht, erreicht also auch deren Laptops. Ein Drucker, der nicht Ihnen gehört, ist kein Grund, dieses Segment zu öffnen.

Verwaltete Geräte sind das zweite Nein. Wenn ein Administratorprofil Always-On-VPN mit Sperre erzwingt, setzt der Client die Blockierung nach jeder lokalen Änderung wieder durch, und der Workaround kann die Richtlinie verletzen, die Sie akzeptiert haben. Bitten Sie um einen unterstützten Weg zu lokalen Ressourcen, statt Einstellungen zu bearbeiten, die überschrieben werden.

Die kleinste Ausnahme, die Ihr Client unterstützt

Sie wollen eine zielgerichtete Regel für eine Druckeradresse, keinen pauschalen Schalter für lokales Netz. Ein pauschaler Schalter deckt meist den gesamten privaten Bereich und Link-Local-Traffic ab, was weit mehr ist, als eine Druckwarteschlange braucht, und er macht jedes Gerät im Segment zu einem Peer, den Sie akzeptiert haben.

Windows bietet Split-Tunnelling, und manche Builds bieten auch eine Option für das lokale Netz. Wo die einzige unterstützte Route ein Hosteintrag ist, fügen Sie nach dem Aufbau des Tunnels eine einzelne Adresse über das physische Gateway hinzu, zum Beispiel route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, und löschen Sie sie am Sitzungsende wieder. WireGuard funktioniert anders: AllowedIPs entscheidet, was in den Tunnel gelangt, ein Volltunnelprofil 0.0.0.0/0 trägt den Druckauftrag also bis zum Endpunkt, sofern keine spezifischere Route ihn umgeht, und wg-quick kann Firewallregeln installieren, die alles andere blockieren.

Unter Android ist die Always-On-Einstellung, die Verbindungen ohne VPN blockiert, der Kill-Switch, und die Druckererkennung aus einer App innerhalb dieser Sperre hat keinen LAN-Pfad. Das Modell mit Pro-App-Regeln und Ausnahmen ist auf der Android-VPN-Seite dokumentiert, und dort sollten Sie nachsehen, bevor Sie etwas ändern: Android-VPN-Konnektivitätshandbuch. Neuere macOS-Versionen fragen die Berechtigung für das lokale Netz getrennt vom Tunnel ab, und iOS tut dasselbe für den Zugriff auf das lokale Netz, doch die Warteschlange kann bei stehendem Tunnel weiterhin scheitern, weil der Client des Herstellers das Subnetz in ihn hineinroutet.

Welchen Client Sie auch verwenden, beschränken Sie die Ausnahme auf eine Adresse und die zwei oder drei Ports, die der Drucker tatsächlich nutzt. Reservieren Sie eine DHCP-Lease, statt die Regel auf das gesamte Subnetz auszuweiten, weil sich die Adresse ändern kann.

Prüfen Sie die Ausnahme und wissen Sie, wann Sie sie zurücknehmen

Verbinden Sie sich nach der Änderung neu, und prüfen Sie drei Dinge der Reihe nach. Der Drucker antwortet auf seinen Ports, eine harmlose Testseite wird gedruckt, und eine Adressabfrage liefert weiterhin den VPN-Endpunkt statt Ihres ISP. Wenn das Drucken funktioniert, die Abfrage aber Ihren ISP zeigt, haben Sie mehr als den Drucker geöffnet und sollten zurückrudern.

Wiederholen Sie den Test nach einem Neustart und nach jedem Client- oder Profilupdate, denn Updates stellen Standardwerte oft genug wieder her, um eine Rolle zu spielen. Eine Ausnahme, die nur bis zur nächsten Neuverbindung hält, ist keine Entscheidung, sondern ein temporäres Loch. Schreiben Sie die genaue Regel auf, damit Sie sie bewusst entfernen können.

Wenn das Gerät nur für den Tunnel gedacht ist, ein Reiselaptop oder eine Maschine mit Kundendaten, ist die richtige Antwort, die Sperre zu behalten und woanders zu drucken: als PDF speichern und von einem Telefon oder einem anderen Rechner drucken, oder einen Druckserver erreichen, den der Tunnel routen kann. Den Kill-Switch für einen Auftrag abzuschalten tauscht einen echten Schutz gegen eine kleine Bequemlichkeit.