Le kill switch bloque votre imprimante ? Trois vérifications à faire d'abord

Votre imprimante fonctionnait il y a une heure. Puis vous avez activé le VPN, et maintenant les travaux restent dans la file jusqu'à échouer. Le kill switch est la cause probable, pas l'imprimante : il rejette le trafic qui quitterait la machine hors du tunnel, et une imprimante LAN est exactement ce type de trafic. La vraie décision n'est pas comment réparer l'impression, mais si cet appareil doit atteindre le réseau local. Trois conditions tranchent, et chacune d'elles peut clore la discussion très tôt.

Ce que le kill switch rejette et pourquoi

Un kill switch est une règle de routage assortie d'un mode de défaillance. Tunnel actif, les paquets correspondants sortent chiffrés ; quand le tunnel tombe, le client envoie la route par défaut dans un trou noir pour que rien ne sorte en clair. Une imprimante sur le même sous-réseau ne correspond jamais à la route du tunnel, elle est donc traitée comme une tentative d'évasion alors que le trafic ne quitte jamais le bâtiment.

La découverte rend le symptôme déroutant. Les imprimantes s'annoncent via DNS multicast sur le port 5353, et la file affichée dans la boîte d'ajout d'imprimante est construite à partir de ces annonces. Tant que le blocage est actif, l'annonce peut ne pas arriver, si bien que l'imprimante disparaît de la liste alors que son adresse répond encore. IPP sur 631, impression brute sur 9100 et SMB sur 445 sont des services LAN ordinaires sans aucun chemin par le tunnel.

Prouvez d'abord que l'imprimante est joignable

Avant de changer une politique, confirmez que l'imprimante est en bon état et confirmez l'adresse que vous croyez qu'elle a. Lisez l'adresse sur le panneau de l'imprimante ou sur sa propre page web. Une entrée périmée dans la liste du système d'exploitation peut pointer vers une adresse que le DHCP a donnée à un autre appareil il y a des semaines.

Déconnectez le VPN, puis testez l'adresse et les deux ports d'impression courants :

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

Sous Windows, l'équivalent est Test-NetConnection 192.168.1.50 -Port 9100. Reconnectez le VPN et répétez. Si les ports répondent avec le VPN coupé et expirent avec lui activé, vous avez reproduit le blocage et le reste est une question de politique. S'ils échouent dans les deux états, arrêtez : l'imprimante, le segment Wi-Fi ou l'isolation des clients est en cause, et une exception VPN n'ajouterait que de l'exposition.

Trois conditions qui décident d'autoriser ou de bloquer

Exécutez-les dans l'ordre. La première condition qui échoue tranche le résultat, les suivantes n'ont donc pas besoin d'être testées.

Les réseaux invités sont le non le plus clair. Sur un segment d'hôtel, la plage locale est tous les autres invités, donc une exception qui atteint votre imprimante atteint aussi leurs portables. Une imprimante qui n'est pas la vôtre n'est pas une raison d'ouvrir ce segment.

Les appareils gérés sont le deuxième non. Quand un profil administrateur impose un VPN toujours actif avec verrouillage, le client rétablit le blocage après toute modification locale, et le contournement peut enfreindre la politique que vous avez acceptée. Demandez un chemin pris en charge vers la ressource locale au lieu de modifier des réglages qui seront écrasés.

La plus petite exception que votre client prend en charge

Ce que vous voulez, c'est une règle limitée à une destination pour une adresse d'imprimante, pas un interrupteur général d'autorisation locale. Un interrupteur général couvre généralement toute la plage privée et le trafic link-local, bien plus que ce dont une file d'impression a besoin, et il fait de chaque appareil du segment un pair que vous avez accepté.

Windows expose le split tunnelling, et certaines versions exposent aussi une option de réseau local. Là où la seule route prise en charge est une entrée d'hôte, ajoutez une seule adresse via la passerelle physique une fois le tunnel monté, par exemple route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, puis supprimez-la à la fin de la session. WireGuard fonctionne autrement : AllowedIPs décide de ce qui entre dans le tunnel, donc un profil tunnel complet 0.0.0.0/0 porte le travail d'impression jusqu'au point de terminaison sauf si une route plus spécifique le contourne, et wg-quick peut installer des règles de pare-feu qui bloquent tout le reste.

Sur Android, le réglage toujours actif qui bloque les connexions sans le VPN est le kill switch, et la découverte d'imprimantes depuis une application à l'intérieur de ce blocage n'a aucun chemin LAN. Le modèle par application et par exclusions est documenté sur la page VPN d'Android, et c'est là qu'il faut vérifier avant de changer quoi que ce soit : Guide de connectivité VPN Android. Les versions récentes de macOS demandent l'autorisation de réseau local séparément du tunnel, et iOS fait de même pour l'accès au réseau local, mais la file peut encore échouer avec le tunnel actif parce que le client du fournisseur route le sous-réseau à l'intérieur.

Quel que soit le client que vous utilisez, limitez l'exception à une seule adresse et aux deux ou trois ports que l'imprimante utilise réellement. Réservez un bail DHCP plutôt que d'élargir la règle à tout le sous-réseau, car l'adresse peut changer.

Vérifiez l'exception et sachez quand l'annuler

Après le changement, reconnectez-vous et vérifiez trois choses dans l'ordre. L'imprimante répond sur ses ports, une page de test inoffensive s'imprime, et une recherche d'adresse renvoie toujours le point de terminaison du VPN plutôt que votre FAI. Si l'impression fonctionne mais que la recherche affiche votre FAI, vous avez ouvert plus que l'imprimante et vous devriez revenir en arrière.

Répétez le test après un redémarrage et après toute mise à jour du client ou du profil, car les mises à jour restaurent assez souvent les valeurs par défaut pour que cela compte. Une exception qui ne survit que jusqu'à la prochaine reconnexion n'est pas une décision, c'est un trou temporaire. Notez la règle exacte pour pouvoir la retirer délibérément.

Si l'appareil est destiné au tunnel uniquement, un portable de voyage ou une machine contenant des données clients, la bonne réponse est de garder le blocage et d'imprimer ailleurs : enregistrez en PDF et imprimez depuis un téléphone ou une autre machine, ou atteignez un serveur d'impression que le tunnel peut router. Désactiver le kill switch pour un seul travail échange une vraie protection contre un petit confort.