Το kill switch μπλοκάρει τον εκτυπωτή σας; Τρεις έλεγχοι που πρέπει να κάνετε πρώτα

Ο εκτυπωτής σας δούλευε πριν από μία ώρα. Μετά ενεργοποιήσατε το VPN, και τώρα οι εργασίες κάθονται στην ουρά μέχρι να αποτύχουν. Το kill switch είναι η πιθανή αιτία, όχι ο εκτυπωτής: ρίχνει την κίνηση που θα άφηνε το μηχάνημα έξω από τη σήραγγα, και ένας εκτυπωτής LAN είναι ακριβώς τέτοια κίνηση. Η πραγματική απόφαση δεν είναι πώς θα διορθώσετε την εκτύπωση αλλά αν αυτή η συσκευή πρέπει να φτάνει καθόλου στο τοπικό δίκτυο. Τρεις προϋποθέσεις το κρίνουν, και οποιαδήποτε από αυτές μπορεί να τελειώσει τη συζήτηση νωρίς.

Τι ρίχνει το kill switch και γιατί

Ένα kill switch είναι ένας κανόνας δρομολόγησης με συνδεδεμένη μια λειτουργία αποτυχίας. Όταν η σήραγγα είναι ενεργή, τα πακέτα που ταιριάζουν βγαίνουν κρυπτογραφημένα· όταν πέσει η σήραγγα, ο πελάτης στέλνει την προεπιλεγμένη διαδρομή σε μαύρη τρύπα ώστε να μη βγει τίποτα σε απλό κείμενο. Ένας εκτυπωτής στο ίδιο υποδίκτυο δεν ταιριάζει ποτέ με τη διαδρομή της σήραγγας, οπότε αντιμετωπίζεται ως απόπειρα διαφυγής ακόμη κι αν η κίνηση δεν φεύγει ποτέ από το κτίριο.

Η ανακάλυψη κάνει το σύμπτωμα μπερδεμένο. Οι εκτυπωτές διαφημίζονται μέσω multicast DNS στη θύρα 5353, και η ουρά στο παράθυρο προσθήκης εκτυπωτή χτίζεται από αυτές τις διαφημίσεις. Όσο ο αποκλεισμός είναι ενεργός, η διαφήμιση μπορεί να μη φτάσει, οπότε ο εκτυπωτής εξαφανίζεται από τη λίστα παρόλο που η διεύθυνσή του ακόμη απαντά. Το IPP στη 631, η ακατέργαστη εκτύπωση στο 9100 και το SMB στο 445 είναι συνηθισμένες υπηρεσίες LAN χωρίς κανένα μονοπάτι σήραγγας.

Αποδείξτε πρώτα ότι ο εκτυπωτής είναι προσβάσιμος

Πριν αλλάξετε οποιαδήποτε πολιτική, επιβεβαιώστε ότι ο εκτυπωτής είναι υγιής και επιβεβαιώστε τη διεύθυνση που νομίζετε ότι έχει. Διαβάστε τη διεύθυνση από τον πίνακα του εκτυπωτή ή από τη δική του ιστοσελίδα. Μια παλιά καταχώριση στη λίστα του λειτουργικού συστήματος μπορεί να δείχνει σε διεύθυνση που το DHCP έδωσε σε άλλη συσκευή πριν από εβδομάδες.

Αποσυνδέστε το VPN και μετά δοκιμάστε τη διεύθυνση και τις δύο συνήθεις θύρες εκτύπωσης:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

Στα Windows το αντίστοιχο είναι Test-NetConnection 192.168.1.50 -Port 9100. Επανασυνδέστε το VPN και επαναλάβετε. Αν οι θύρες απαντούν με το VPN κλειστό και λήγουν με αυτό ανοιχτό, αναπαράγατε τον αποκλεισμό και το υπόλοιπο είναι ζήτημα πολιτικής. Αν αποτυγχάνουν και στις δύο καταστάσεις, σταματήστε: φταίει ο εκτυπωτής, το τμήμα Wi-Fi ή η απομόνωση πελατών, και μια εξαίρεση VPN θα πρόσθετε μόνο έκθεση.

Τρεις προϋποθέσεις που αποφασίζουν αποδοχή ή αποκλεισμό

Εκτελέστε τις με σειρά. Η πρώτη προϋπόθεση που αποτυγχάνει καθορίζει το αποτέλεσμα, οπότε οι επόμενες δεν χρειάζεται να δοκιμαστούν.

Τα δίκτυα επισκεπτών είναι το πιο ξεκάθαρο όχι. Σε ένα τμήμα ξενοδοχείου η τοπική περιοχή είναι κάθε άλλος επισκέπτης, οπότε μια εξαίρεση που φτάνει στον εκτυπωτή σας φτάνει και στα φορητά τους. Ένας εκτυπωτής που δεν είναι δικός σας δεν είναι λόγος να ανοίξετε αυτό το τμήμα.

Οι διαχειριζόμενες συσκευές είναι το δεύτερο όχι. Όταν ένα προφίλ διαχειριστή επιβάλλει always-on VPN με κλείδωμα, ο πελάτης επαναφέρει τον αποκλεισμό μετά από κάθε τοπική αλλαγή, και η παράκαμψη μπορεί να παραβιάσει την πολιτική που αποδεχτήκατε. Ζητήστε μια υποστηριζόμενη διαδρομή προς τον τοπικό πόρο αντί να επεξεργάζεστε ρυθμίσεις που θα αντικατασταθούν.

Η μικρότερη εξαίρεση που υποστηρίζει ο πελάτης σας

Θέλετε έναν κανόνα περιορισμένο στον προορισμό για μία διεύθυνση εκτυπωτή, όχι έναν γενικό διακόπτη τοπικής άδειας. Ένας γενικός διακόπτης συνήθως καλύπτει όλο το ιδιωτικό εύρος και την κίνηση link-local, που είναι πολύ περισσότερα από όσα χρειάζεται μία ουρά εκτύπωσης, και μετατρέπει κάθε συσκευή στο τμήμα σε ομότιμο που αποδεχτήκατε.

Τα Windows εκθέτουν split tunnelling, και μερικές εκδόσεις εκθέτουν επίσης μια επιλογή τοπικού δικτύου. Όπου η μόνη υποστηριζόμενη διαδρομή είναι μια καταχώριση host, προσθέστε μία μόνο διεύθυνση μέσω της φυσικής πύλης αφού ανέβει η σήραγγα, για παράδειγμα route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, και διαγράψτε την όταν τελειώσει η συνεδρία. Το WireGuard λειτουργεί διαφορετικά: το AllowedIPs αποφασίζει τι μπαίνει στη σήραγγα, οπότε ένα προφίλ πλήρους σήραγγας 0.0.0.0/0 μεταφέρει την εργασία εκτύπωσης στο τελικό σημείο εκτός αν μια πιο συγκεκριμένη διαδρομή την παρακάμπτει, και το wg-quick μπορεί να εγκαταστήσει κανόνες τείχους προστασίας που μπλοκάρουν όλα τα άλλα.

Στο Android η ρύθμιση always-on που μπλοκάρει συνδέσεις χωρίς το VPN είναι το kill switch, και η ανακάλυψη εκτυπωτών από εφαρμογή μέσα σε αυτόν τον αποκλεισμό δεν έχει μονοπάτι LAN. Το μοντέλο ανά εφαρμογή και εξαιρέσεων τεκμηριώνεται στη σελίδα VPN του Android, και εκεί πρέπει να κοιτάξετε πριν αλλάξετε οτιδήποτε: Οδηγός συνδεσιμότητας VPN Android. Οι πρόσφατες εκδόσεις macOS ζητούν άδεια τοπικού δικτύου ξεχωριστά από τη σήραγγα, και το iOS κάνει το ίδιο για την πρόσβαση στο τοπικό δίκτυο, όμως η ουρά μπορεί ακόμη να αποτύχει με τη σήραγγα ενεργή επειδή ο πελάτης του κατασκευαστή δρομολογεί το υποδίκτυο μέσα σε αυτή.

Όποιον πελάτη κι αν χρησιμοποιείτε, κρατήστε την εξαίρεση σε μία διεύθυνση και τις δύο ή τρεις θύρες που χρησιμοποιεί πραγματικά ο εκτυπωτής. Δεσμεύστε ένα DHCP lease αντί να διευρύνετε τον κανόνα σε όλο το υποδίκτυο, γιατί η διεύθυνση μπορεί να μετακινηθεί.

Επαληθεύστε την εξαίρεση και μάθετε πότε να την αναιρέσετε

Μετά την αλλαγή, επανασυνδεθείτε και ελέγξτε τρία πράγματα με σειρά. Ο εκτυπωτής απαντά στις θύρες του, μια ακίνδυνη δοκιμαστική σελίδα εκτυπώνεται, και μια αναζήτηση διεύθυνσης επιστρέφει ακόμη το τελικό σημείο του VPN αντί για τον πάροχό σας. Αν η εκτύπωση λειτουργεί αλλά η αναζήτηση δείχνει τον πάροχό σας, ανοίξατε περισσότερα από τον εκτυπωτή και πρέπει να επιστρέψετε.

Επαναλάβετε τη δοκιμή μετά από επανεκκίνηση και μετά από κάθε ενημέρωση πελάτη ή προφίλ, γιατί οι ενημερώσεις επαναφέρουν τις προεπιλογές αρκετά συχνά ώστε να έχει σημασία. Μια εξαίρεση που επιβιώνει μόνο μέχρι την επόμενη επανασύνδεση δεν είναι απόφαση, είναι προσωρινή τρύπα. Γράψτε τον ακριβή κανόνα για να μπορείτε να τον αφαιρέσετε σκόπιμα.

Αν η συσκευή προορίζεται μόνο για σήραγγα, ένα φορητό ταξιδιού ή ένα μηχάνημα με δεδομένα πελατών, η σωστή απάντηση είναι να κρατήσετε τον αποκλεισμό και να εκτυπώσετε αλλού: αποθηκεύστε σε PDF και εκτυπώστε από τηλέφωνο ή άλλο μηχάνημα, ή φτάστε σε έναν διακομιστή εκτύπωσης που η σήραγγα μπορεί να δρομολογήσει. Το να απενεργοποιήσετε το kill switch για μία εργασία ανταλλάσσει πραγματική προστασία με μια μικρή ευκολία.