¿El kill switch bloquea tu impresora? Tres comprobaciones que hacer primero

Tu impresora funcionaba hace una hora. Luego activaste la VPN y ahora los trabajos se quedan en la cola hasta que fallan. El kill switch es la causa probable, no la impresora: descarta el tráfico que saldría del equipo fuera del túnel, y una impresora de LAN es exactamente ese tipo de tráfico. La decisión real no es cómo arreglar la impresión, sino si este dispositivo debería llegar a la red local. Tres condiciones lo resuelven, y cualquiera de ellas puede terminar la discusión antes de tiempo.

Qué descarta el kill switch y por qué

Un kill switch es una regla de enrutamiento con un modo de fallo asociado. Con el túnel activo, los paquetes coincidentes salen cifrados; cuando el túnel cae, el cliente manda la ruta predeterminada a un agujero negro para que nada salga en texto plano. Una impresora en la misma subred nunca coincide con la ruta del túnel, así que se trata como un intento de fuga aunque el tráfico nunca salga del edificio.

El descubrimiento hace que el síntoma sea confuso. Las impresoras se anuncian por DNS multicast en el puerto 5353, y la cola del diálogo de añadir impresora se construye con esos anuncios. Mientras el bloqueo está activo, puede que el anuncio no llegue, así que la impresora desaparece de la lista aunque su dirección siga respondiendo. IPP en 631, impresión cruda en 9100 y SMB en 445 son servicios de LAN corrientes sin ningún camino por el túnel.

Primero demuestra que la impresora es accesible

Antes de cambiar cualquier política, confirma que la impresora está bien y confirma la dirección que crees que tiene. Lee la dirección del panel de la impresora o de su propia página web. Una entrada obsoleta en la lista del sistema operativo puede apuntar a una dirección que DHCP dio a otro dispositivo hace semanas.

Desconecta la VPN y luego prueba la dirección y los dos puertos de impresión habituales:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

En Windows el equivalente es Test-NetConnection 192.168.1.50 -Port 9100. Vuelve a conectar la VPN y repite. Si los puertos responden con la VPN desactivada y agotan el tiempo con ella activada, has reproducido el bloqueo y el resto es una cuestión de política. Si fallan en ambos estados, detente: la culpa es de la impresora, del segmento Wi-Fi o del aislamiento de clientes, y una excepción de VPN solo añadiría exposición.

Tres condiciones que deciden permitir o bloquear

Ejecútalas en orden. La primera condición que falla decide el resultado, así que las siguientes no hace falta probarlas.

Las redes de invitados son el no más claro. En un segmento de hotel, el rango local es todos los demás invitados, así que una excepción que llega a tu impresora también llega a sus portátiles. Una impresora que no es tuya no es motivo para abrir ese segmento.

Los dispositivos gestionados son el segundo no. Cuando un perfil de administrador impone VPN siempre activa con bloqueo, el cliente vuelve a imponer el bloqueo tras cualquier cambio local, y el rodeo puede infringir la política que aceptaste. Pide una vía admitida hacia el recurso local en lugar de editar ajustes que se sobrescribirán.

La excepción más pequeña que admite tu cliente

Lo que quieres es una regla limitada al destino para una dirección de impresora, no un interruptor general de permitir local. Un interruptor general suele cubrir todo el rango privado y el tráfico link-local, que es mucho más de lo que necesita una cola de impresión, y convierte cada dispositivo del segmento en un par que has aceptado.

Windows expone el split tunnelling, y algunas compilaciones también exponen una opción de red local. Donde la única ruta admitida es una entrada de host, añade una sola dirección a través de la puerta de enlace física después de levantar el túnel, por ejemplo route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, y bórrala cuando acabe la sesión. WireGuard funciona distinto: AllowedIPs decide qué entra en el túnel, así que un perfil de túnel completo 0.0.0.0/0 lleva el trabajo de impresión al extremo salvo que una ruta más específica lo evite, y wg-quick puede instalar reglas de cortafuegos que bloqueen todo lo demás.

En Android, el ajuste siempre activo que bloquea las conexiones sin la VPN es el kill switch, y el descubrimiento de impresoras desde una aplicación dentro de ese bloqueo no tiene camino de LAN. El modelo por aplicación y de exclusiones está documentado en la página de VPN de Android, que es donde hay que mirar antes de cambiar nada: Guía de conectividad VPN de Android. Las versiones recientes de macOS piden permiso de red local por separado del túnel, y iOS hace lo mismo para el acceso a la red local, pero la cola aún puede fallar con el túnel activo porque el cliente del fabricante enruta la subred dentro de él.

Sea cual sea el cliente que uses, mantén la excepción en una sola dirección y los dos o tres puertos que la impresora usa realmente. Reserva una concesión DHCP en lugar de ampliar la regla a toda la subred, porque la dirección puede cambiar.

Verifica la excepción y sabe cuándo deshacerla

Tras el cambio, vuelve a conectar y comprueba tres cosas en orden. La impresora responde en sus puertos, se imprime una página de prueba inofensiva y una consulta de dirección sigue devolviendo el extremo de la VPN en lugar de tu ISP. Si la impresión funciona pero la consulta muestra tu ISP, has abierto más que la impresora y deberías revertir.

Repite la prueba tras un reinicio y tras cualquier actualización del cliente o del perfil, porque las actualizaciones restauran los valores predeterminados con la suficiente frecuencia como para importar. Una excepción que solo sobrevive hasta la próxima reconexión no es una decisión, es un agujero temporal. Escribe la regla exacta para poder quitarla a propósito.

Si el dispositivo está pensado solo para el túnel, un portátil de viaje o una máquina con datos de clientes, la respuesta correcta es mantener el bloqueo e imprimir en otro sitio: guarda en PDF e imprime desde un teléfono u otra máquina, o llega a un servidor de impresión que el túnel pueda enrutar. Desactivar el kill switch para un trabajo cambia una protección real por una pequeña comodidad.