Kill switch estää tulostimesi? Kolme tarkistusta ensin
Kill switch estää tulostimen liikennettä tarkoituksella. Tee kolme tarkistusta päättääksesi, onko rajattu lähiverkkopoikkeus perusteltu, ja pidä se yhdessä osoitteessa.
Tulostimesi toimi tunti sitten. Sitten kytkit VPN:n päälle, ja nyt työt istuvat jonossa, kunnes ne epäonnistuvat. Todennäköinen syy on kill switch, ei tulostin: se pudottaa liikenteen, joka poistuisi koneesta tunnelin ulkopuolelle, ja lähiverkon tulostin on juuri sellaista liikennettä. Varsinainen päätös ei ole, miten tulostus korjataan, vaan pitäisikö tämän laitteen ylipäätään päästä lähiverkkoon. Kolme ehtoa ratkaisee sen, ja mikä tahansa niistä voi päättää keskustelun aikaisin.
Mitä kill switch pudottaa ja miksi
Kill switch on reitityssääntö, johon on liitetty vikatila. Kun tunneli on pystyssä, täsmäävät paketit lähtevät salattuina; kun tunneli kaatuu, asiakas ohjaa oletusreitin mustaan aukkoon, jottei mitään mene ulos selkokielisenä. Saman aliverkon tulostin ei koskaan vastaa tunnelin reittiä, joten sitä kohdellaan pako-yrityksenä, vaikka liikenne ei koskaan poistu rakennuksesta.
Löytäminen tekee oireesta hämmentävän. Tulostimet ilmoittautuvat multicast DNS:llä portissa 5353, ja tulostimen lisäämisikkunassa näkyvä jono rakennetaan näistä ilmoituksista. Kun esto on aktiivinen, ilmoitus ei ehkä saavu, joten tulostin katoaa listalta, vaikka sen osoite vastaa edelleen. IPP portissa 631, raakatulostus portissa 9100 ja SMB portissa 445 ovat tavallisia lähiverkkopalveluja ilman minkäänlaista tunnelireittiä.
Todista ensin, että tulostin on tavoitettavissa
Ennen kuin muutat mitään käytäntöä, varmista että tulostin on kunnossa ja varmista osoite, jonka uskot sillä olevan. Lue osoite tulostimen paneelista tai sen omalta verkkosivulta. Käyttöjärjestelmän listassa oleva vanhentunut merkintä voi osoittaa osoitteeseen, jonka DHCP antoi toiselle laitteelle viikkoja sitten.
Katkaise VPN ja testaa sitten osoite ja kaksi yleistä tulostusporttia:
nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631Windowsissa vastine on Test-NetConnection 192.168.1.50 -Port 9100. Yhdistä VPN uudelleen ja toista. Jos portit vastaavat VPN:n ollessa pois ja aikakatkaisevat sen ollessa päällä, olet toistanut eston ja loput on käytäntökysymys. Jos ne epäonnistuvat molemmissa tiloissa, lopeta: syy on tulostimessa, Wi-Fi-segmentissä tai asiakaseristyksessä, ja VPN-poikkeus lisäisi vain altistusta.
Kolme ehtoa, jotka ratkaisevat sallimisen tai estämisen
Suorita ne järjestyksessä. Ensimmäinen epäonnistuva ehto ratkaisee tuloksen, joten myöhempiä ei tarvitse testata.
| Condition | Allow a scoped exception | Keep the block |
|---|---|---|
| Who owns the network | Home or single-tenant office where you control the segment | Hotel, cafe or shared Wi-Fi where the printer is not yours |
| Who owns the device policy | Personal device with no enforced profile | Managed profile that enforces always-on VPN |
| What the device carries | Nothing another LAN peer must not reach | Client data that must not touch an untrusted segment |
Vierasverkot ovat selvin ei. Hotellisegmentissä paikallinen alue on kaikki muut vieraat, joten poikkeus, joka tavoittaa tulostimesi, tavoittaa myös heidän kannettavansa. Tulostin, joka ei ole sinun, ei ole syy avata sitä segmenttiä.
Hallitut laitteet ovat toinen ei. Kun järjestelmänvalvojan profiili pakottaa aina päällä olevan VPN:n lukituksella, asiakas palauttaa eston jokaisen paikallisen muutoksen jälkeen, ja kiertotie voi rikkoa hyväksymääsi käytäntöä. Pyydä tuettu reitti paikalliseen resurssiin sen sijaan, että muokkaisit asetuksia, jotka ylikirjoitetaan.
Pienin poikkeus, jota asiakkaasi tukee
Haluat kohdekohtaisen säännön yhdelle tulostinosoitteelle, et yleistä paikallisen sallinnan kytkintä. Yleinen kytkin kattaa yleensä koko yksityisen alueen ja link-local-liikenteen, mikä on paljon enemmän kuin yksi tulostusjono tarvitsee, ja se tekee jokaisesta segmentin laitteesta vertaiskumppanin, jonka hyväksyit.
Windows tarjoaa split tunnellingin, ja jotkin versiot tarjoavat myös lähiverkkovaihtoehdon. Kun ainoa tuettu reitti on isäntämerkintä, lisää yksi osoite fyysisen yhdyskäytävän kautta tunnelin noustua, esimerkiksi route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, ja poista se istunnon lopussa. WireGuard toimii eri tavalla: AllowedIPs päättää, mikä tulee tunneliin, joten täystunneliprofiili 0.0.0.0/0 vie tulostustyön päätepisteeseen, ellei tarkempi reitti ohita sitä, ja wg-quick voi asentaa palomuurisäännöt, jotka estävät kaiken muun.
Androidissa aina päällä oleva asetus, joka estää yhteydet ilman VPN:ää, on kill switch, eikä tuon eston sisällä olevalle sovellukselle ole lähiverkkoreittiä tulostinten löytämiseen. Sovelluskohtaisen ja poikkeusten malli on dokumentoitu Androidin VPN-sivulla, ja siellä kannattaa tarkistaa ennen kuin muutat mitään: Androidin VPN-yhteysohje. Viimeisimmät macOS-versiot pyytävät lähiverkkoluvan erikseen tunnelista, ja iOS tekee saman lähiverkkokäytölle, mutta jono voi silti epäonnistua tunnelin ollessa pystyssä, koska toimittajan asiakas reitittää aliverkon sen sisään.
Mikä asiakasta käytätkin, pidä poikkeus yhdessä osoitteessa ja niissä kahdessa tai kolmessa portissa, joita tulostin todella käyttää. Varaa DHCP-vuokraus sen sijaan, että laajentaisit säännön koko aliverkkoon, koska osoite voi vaihtua.
Varmista poikkeus ja tiedä, milloin se perutaan
Yhdistä muutoksen jälkeen uudelleen ja tarkista kolme asiaa järjestyksessä. Tulostin vastaa porteissaan, harmiton testisivu tulostuu ja osoitehaku palauttaa edelleen VPN:n päätepisteen eikä operaattoriasi. Jos tulostus toimii mutta haku näyttää operaattorisi, avasit enemmän kuin tulostimen ja sinun kannattaa palata takaisin.
Toista testi uudelleenkäynnistyksen jälkeen ja jokaisen asiakas- tai profiilipäivityksen jälkeen, koska päivitykset palauttavat oletukset riittävän usein ollakseen merkityksellisiä. Poikkeus, joka kestää vain seuraavaan uudelleenyhdistämiseen, ei ole päätös vaan väliaikainen reikä. Kirjoita tarkka sääntö muistiin, jotta voit poistaa sen tarkoituksella.
Jos laite on tarkoitettu vain tunnelikäyttöön, matkakannettava tai asiakastietoja sisältävä kone, oikea vastaus on pitää esto ja tulostaa muualla: tallenna PDF:ksi ja tulosta puhelimesta tai toisesta koneesta, tai tavoita tulostuspalvelin, johon tunneli voi reitittää. Kill switchin sammuttaminen yhden työn takia vaihtaa todellisen suojan pieneen mukavuuteen.