Kill switch blokeerib teie printeri? Kolm kontrolli, mida esimesena teha
Kill switch blokeerib printeri liiklust meelega. Tehke kolm kontrolli, et otsustada, kas piiratud LAN-erand on õigustatud, ja hoidke see ühel aadressil.
Teie printer töötas tund aega tagasi. Seejärel lülitasite VPN-i sisse ja nüüd seisavad tööd järjekorras, kuni need ebaõnnestuvad. Tõenäoline põhjus on kill switch, mitte printer: see viskab kõrvale liikluse, mis väljuks masinast väljaspool tunnelit, ja LAN-printer on täpselt selline liiklus. Tegelik otsus ei ole, kuidas printimist parandada, vaid kas see seade peaks üldse kohalikku võrku jõudma. Kolm tingimust otsustavad selle ja ükskõik milline neist võib arutelu varakult lõpetada.
Mida kill switch kõrvale viskab ja miks
Kill switch on marsruutimisreegel, millele on lisatud tõrkerežiim. Kui tunnel on üleval, väljuvad sobivad paketid krüpteeritult; kui tunnel kukub, suunab klient vaikimisi marsruudi musta auku, et midagi ei läheks välja avatekstina. Samas alamvõrgus olev printer ei vasta kunagi tunneli marsruudile, seega koheldakse seda põgenemiskatsena, kuigi liiklus ei lahku kunagi hoonest.
Avastamine muudab sümptomi segadusttekitavaks. Printerid teatavad endast multicast-DNS-i kaudu pordil 5353 ja printeri lisamise dialoogis näidatav järjekord ehitatakse nendest teadaannetest. Kui blokeering on aktiivne, ei pruugi teadaanne kohale jõuda, nii et printer kaob loendist, kuigi selle aadress vastab endiselt. IPP pordil 631, toorprintimine pordil 9100 ja SMB pordil 445 on tavalised LAN-teenused, millel pole tunneliteed üldse.
Tõestage esmalt, et printer on kättesaadav
Enne mis tahes poliitika muutmist kinnitage, et printer on terve, ja kinnitage aadress, mis teie arvates sellel on. Lugege aadress printeri paneelilt või selle enda veebilehelt. Operatsioonisüsteemi loendis olev vananenud kirje võib osutada aadressile, mille DHCP andis nädalaid tagasi teisele seadmele.
Ühendage VPN lahti ja seejärel testige aadressi ja kahte tavalist printimispordi:
nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631Windowsis on ekvivalent Test-NetConnection 192.168.1.50 -Port 9100. Ühendage VPN uuesti ja korrake. Kui pordid vastavad VPN-i väljas olles ja aeguvad selle sees olles, olete blokeeringu taastanud ja ülejäänu on poliitika küsimus. Kui need ebaõnnestuvad mõlemas olekus, peatuge: süüdi on printer, Wi-Fi segment või kliendiisolatsioon, ja VPN-erand lisaks ainult kokkupuudet.
Kolm tingimust, mis otsustavad lubamise või blokeerimise
Täitke need järjekorras. Esimene ebaõnnestuv tingimus otsustab tulemuse, seega hilisemaid ei pea testima.
| Condition | Allow a scoped exception | Keep the block |
|---|---|---|
| Who owns the network | Home or single-tenant office where you control the segment | Hotel, cafe or shared Wi-Fi where the printer is not yours |
| Who owns the device policy | Personal device with no enforced profile | Managed profile that enforces always-on VPN |
| What the device carries | Nothing another LAN peer must not reach | Client data that must not touch an untrusted segment |
Külalisvõrgud on kõige selgem ei. Hotellisegmendis on kohalik vahemik kõik teised külalised, seega erand, mis jõuab teie printerini, jõuab ka nende sülearvutitesse. Printer, mis ei ole teie oma, ei ole põhjus selle segmendi avamiseks.
Hallatavad seadmed on teine ei. Kui administraatori profiil kehtestab alati sisse lülitatud VPN-i koos lukustusega, taastab klient blokeeringu pärast iga kohalikku muudatust ja mööravi võib rikkuda poliitikat, mille te vastu võtsite. Küsige toetatud tee kohaliku ressursini, selle asemel et muuta seadeid, mis kirjutatakse üle.
Väikseim erand, mida teie klient toetab
Te soovite sihtkohaga piiratud reeglit ühe printeri aadressi jaoks, mitte üldist kohaliku lubamise lülitit. Üldine lüliti katab tavaliselt kogu privaatse vahemiku ja link-local liikluse, mis on palju rohkem, kui üks printimisjärjekord vajab, ja see muudab segmendi iga seadme vastaspooleks, mille te vastu võtsite.
Windows pakub split tunnellingut ja mõned buildid pakuvad ka kohaliku võrgu valikut. Kui ainus toetatud tee on hostikirje, lisage pärast tunneli tõusmist füüsilise lüüsi kaudu üks aadress, näiteks route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, ja kustutage see seansi lõppedes. WireGuard töötab teisiti: AllowedIPs otsustab, mis tunnelisse siseneb, seega täistunneli profiil 0.0.0.0/0 viib printimistöö lõpp-punkti, kui just täpsem marsruut seda ei mööda, ja wg-quick saab paigaldada tulemüürireeglid, mis blokeerivad kõik muu.
Androidis on alati sisse lülitatud säte, mis blokeerib ühendused ilma VPN-ita, kill switch, ja printeri avastamisel sellest blokeeringust sees oleval rakendusel pole LAN-teed. Rakendusepõhise ja erandite mudel on dokumenteeritud Androidi VPN-lehel ja seal tuleks enne millegi muutmist vaadata: Androidi VPN-ühenduvuse juhend. Viimased macOS-i versioonid küsivad kohaliku võrgu luba tunnelist eraldi ja iOS teeb sama kohaliku võrgu juurdepääsu jaoks, kuid järjekord võib tunneliga ikka ebaõnnestuda, sest tarnija klient suunab alamvõrgu sellesse.
Ükskõik millist klienti te kasutate, hoidke erand ühel aadressil ja kahel või kolmel pordil, mida printer tegelikult kasutab. Broneerige DHCP-liising, mitte ärge laiendage reeglit kogu alamvõrgule, sest aadress võib liikuda.
Kontrollige erandit ja teadke, millal see tagasi võtta
Pärast muudatust ühendage uuesti ja kontrollige kolme asja järjekorras. Printer vastab oma portidel, kahjutu testleht prinditakse ja aadressiotsing tagastab endiselt VPN-i lõpp-punkti, mitte teie ISP. Kui printimine töötab, kuid otsing näitab teie ISP-d, avasite rohkem kui printeri ja peaksite tagasi pöörduma.
Korrake testi pärast taaskäivitust ja pärast iga kliendi- või profiiliuuendust, sest uuendused taastavad vaikeväärtused piisavalt sageli, et olla olulised. Erand, mis püsib ainult järgmise taasühenduseni, ei ole otsus, vaid ajutine auk. Kirjutage täpne reegel üles, et saaksite selle teadlikult eemaldada.
Kui seade on mõeldud ainult tunneliks, reisisülearvuti või kliendiandmeid hoidv masin, on õige vastus hoida blokeering ja printida mujal: salvestage PDF-ina ja printige telefonist või teisest masinast, või jõudke printserverini, mille tunnel suudab marsruutida. Kill switchi väljalülitamine ühe töö jaoks vahetab tõelise kaitse väikese mugavuse vastu.