Kill switch-ek zure inprimagailua blokeatzen du? Hiru egiaztapen lehenengo
Kill switch-ek inprimagailuaren trafikoa nahita blokeatzen du. Egin hiru egiaztapen LAN-eremu mugatu bat justifikatuta dagoen erabakitzeko, eta eutsi helbide bakarrari.
Zure inprimagailuak ordubete lehenago funtzionatzen zuen. Gero VPN-a piztu zenuen, eta orain lanak ilaran geratzen dira huts egin arte. Kill switch-a da ziurrenik arrazoia, ez inprimagailua: tunelatik kanpo makina utziko lukeen trafikoa botatzen du, eta LAN inprimagailua hain zuzen ere horrelako trafikoa da. Benetako erabakia ez da inprimatzea nola konpondu, baizik eta gailu honek tokiko sarera iritsi behar duen ala ez. Hiru baldintzak erabakitzen dute, eta horietako edozeinek eztabaida goiz amaitu dezake.
Zer botatzen duen kill switch-ek eta zergatik
Kill switch bat hutsegite-modu bat duen bideratze-araua da. Tunela martxan dagoenean, pakete egokiek zifratuta irteten dute; tunela erortzen denean, bezeroak bide lehenetsia zulo beltzera bidaltzen du, ezer testu arruntean atera ez dadin. Azpisare bereko inprimagailu bat ez dator inoiz bat tunelaren bidearekin, beraz, ihes-saiakera gisa tratatzen da, trafikoak inoiz eraikina uzten ez badu ere.
Aurkikuntzak sintoma nahasgarria egiten du. Inprimagailuek multicast DNS bidez iragartzen dute 5353 portuan, eta inprimagailua gehitzeko elkarrizketan erakusten den ilara iragarki horietatik eraikitzen da. Blokeoa aktibo dagoen bitartean, iragarkia agian ez da iritsiko, beraz inprimagailua desagertu egiten da zerrendatik, bere helbideak oraindik erantzuten badu ere. 631 portuko IPP, 9100eko inprimaketa gordina eta 445eko SMB ohiko LAN zerbitzuak dira, tunel-biderik batere gabe.
Frogatu lehenengo inprimagailua irisgarria dela
Politikaren bat aldatu aurretik, berretsi inprimagailua ondo dagoela eta berretsi duela uste duzun helbidea. Irakurri helbidea inprimagailuaren paneletik edo bere web orritik. Sistema eragilearen zerrendako sarrera zaharkitu batek DHCP-k duela aste beste gailu bati eman zion helbide batera seinala dezake.
Deskonektatu VPN-a, eta gero probatu helbidea eta bi inprimaketa portu ohikoenak:
nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631Windows-en baliokidea Test-NetConnection 192.168.1.50 -Port 9100 da. Berriro konektatu VPN-a eta errepikatu. Portuek VPN itzalita erantzuten badute eta piztuta denbora-muga gainditzen badute, blokeoa erreproduzitu duzu eta gainerakoa politika kontua da. Bi egoeretan huts egiten badute, gelditu: inprimagailua, Wi-Fi segmentua edo bezero isolamendua da erruduna, eta VPN salbuespen batek esposizioa baino ez luke gehituko.
Baimena edo blokeoa erabakitzen duten hiru baldintza
Exekutatu hauek ordenan. Huts egiten duen lehen baldintzak erabakitzen du emaitza, beraz, ondorengoak ez dira probatu behar.
| Condition | Allow a scoped exception | Keep the block |
|---|---|---|
| Who owns the network | Home or single-tenant office where you control the segment | Hotel, cafe or shared Wi-Fi where the printer is not yours |
| Who owns the device policy | Personal device with no enforced profile | Managed profile that enforces always-on VPN |
| What the device carries | Nothing another LAN peer must not reach | Client data that must not touch an untrusted segment |
Gonbidatuen sareak 'ez' argiena dira. Hotel segmentu batean tokiko barrutia beste gonbidatu guztiak dira, beraz zure inprimagailura iristen den salbuespena haien eramangarrietara ere iristen da. Zurea ez den inprimagailua ez da segmentu hori irekitzeko arrazoia.
Kudeatutako gailuak bigarren 'ez' dira. Administratzaile profil batek beti piztutako VPN-a blokeoarekin inposatzen duenean, bezeroak blokeoa berrezartzen du edozein aldaketa lokalaren ondoren, eta alternatibak onartu duzun politika urra dezake. Eskatu tokiko baliabiderako bide onartu bat, gainidatziko diren ezarpenak editatu beharrean.
Zure bezeroak onartzen duen salbuespen txikiena
Helbide bakarrerako helmuga-mugatutako araua nahi duzu, ez tokiko baimen etengailu orokorra. Etengailu orokorrak normalean barruti pribatu osoa eta link-local trafikoa hartzen ditu, inprimaketa ilara batek behar duena baino askoz gehiago, eta segmentuko gailu bakoitza onartu duzun kide bihurtzen du.
Windows-ek split tunnelling eskaintzen du, eta build batzuek tokiko sarearen aukera ere bai. Bide onartu bakarra host sarrera denean, gehitu helbide bakarra ataka fisikoaren bidez tunela altxatu ondoren, adibidez route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, eta ezabatu saioa amaitzean. WireGuard-ek beste modu batean egiten du: AllowedIPs-ek erabakitzen du zer sartzen den tunelera, beraz tunel osoko 0.0.0.0/0 profil batek inprimaketa lana eramaten du helmugara, bide zehatzago batek saihesten ez badu, eta wg-quick-ek gainerako guztia blokeatzen duten suebaki arauak instala ditzake.
Android-en, VPN-rik gabe konexioak blokeatzen dituen beti aktibo ezarpena kill switch-a da, eta blokeo horren barruko aplikazio batetik inprimagailuak aurkitzeak ez du LAN biderik. Aplikazio bakoitzeko eta salbuespenen eredua Android VPN orrian dokumentatuta dago, eta horra jo behar duzu ezer aldatu aurretik: Android VPN konektibitate gida. macOS bertsio berriek tokiko sarearen baimena tunelatik bereiz eskatzen dute, eta iOS-ek gauza bera egiten du tokiko sarerako sarbiderako, baina ilarak huts egin dezake tunela martxan dagoela, hornitzailearen bezeroak azpisarea bertara bideratzen duelako.
Erabiltzen duzun bezeroa edozein dela ere, eutsi salbuespenari helbide bakarrean eta inprimagailuak benetan erabiltzen dituen bi edo hiru portuetan. Erreserbatu DHCP maizter bat araua azpisare osora zabaldu beharrean, helbidea mugi baitaiteke.
Egiaztatu salbuespena eta jakin noiz desegin
Aldaketaren ondoren, berriro konektatu eta egiaztatu hiru gauza ordenan. Inprimagailuak bere portuetan erantzuten du, proba-orri kaltegabe bat inprimatzen da, eta helbide bilaketa batek oraindik VPN helmuga itzultzen du zure ISP-ren ordez. Inprimatzeak funtzionatzen badu baina bilaketak zure ISP erakusten badu, inprimagailua baino gehiago ireki duzu eta atzera egin beharko zenuke.
Errepikatu proba berrabiarazten ondoren eta bezeroaren edo profilaren edozein eguneraketaren ondoren, eguneraketek askotan nahikoa lehenetsitako balioak berrezartzen baitituzte garrantzia izateko. Hurrengo berrikonexiora arte soilik irauten duen salbuespena ez da erabakia, behin-behineko zulo bat baizik. Idatzi arau zehatza nahita kendu ahal izateko.
Gailua tunelera soilik bideratuta badago, bidaia eramangarri bat edo bezero datuak dituen makina bat, erantzun zuzena blokeoa mantentzea eta beste nonbait inprimatzea da: gorde PDF gisa eta inprimatu telefono edo beste makina batetik, edo iritsi tunelak bidera dezakeen inprimaketa zerbitzari batera. Kill switch-a lan baterako desaktibatzeak benetako babesa komoditate txiki baten truke aldatzen du.