מתג ההרג חוסם את המדפסת? שלוש בדיקות שכדאי לעשות קודם
מתג ההרג חוסם תעבורת מדפסת בכוונה. בצעו שלוש בדיקות כדי להחליט אם חריגה מוגבלת ברשת המקומית מוצדקת, והגבילו אותה לכתובת אחת.
המדפסת שלכם עבדה לפני שעה. אז הפעלתם את ה-VPN, וכעת העבודות ממתינות בתור עד שהן נכשלות. מתג ההרג הוא הסיבה הסבירה, לא המדפסת: הוא מפיל תעבורה שהייתה יוצאת מהמחשב מחוץ למנהרה, ומדפסת ברשת המקומית היא בדיוק סוג כזה של תעבורה. ההחלטה האמיתית אינה איך לתקן את ההדפסה אלא אם המכשיר הזה בכלל אמור להגיע לרשת המקומית. שלושה תנאים מכריעים בכך, וכל אחד מהם יכול לסיים את הדיון מוקדם.
מה מתג ההרג מפיל ולמה
מתג הרג הוא כלל ניתוב עם מצב כשל מחובר. כשהמנהרה פעילה, מנות תואמות יוצאות מוצפנות; כשהמנהרה נופלת, הלקוח מפנה את נתיב ברירת המחדל לחור שחור כדי ששום דבר לא ייצא בטקסט גלוי. מדפסת באותה תת-רשת לעולם אינה תואמת לנתיב המנהרה, ולכן היא מטופלת כניסיון בריחה למרות שהתעבורה לעולם לא עוזבת את הבניין.
הגילוי הופך את הסימפטום למבלבל. מדפסות מכריזות על עצמן דרך DNS מרובה שידור בפורט 5353, והתור שמוצג בדיאלוג הוספת מדפסת נבנה מהכרזות אלה. כל עוד החסימה פעילה ההכרזה עשויה לא להגיע, ולכן המדפסת נעלמת מהרשימה אף שכתובתה עדיין עונה. IPP בפורט 631, הדפסה גולמית בפורט 9100 ו-SMB בפורט 445 הם שירותי רשת מקומית רגילים בלי שום נתיב מנהרה.
הוכיחו קודם שהמדפסת נגישה
לפני שמשנים מדיניות כלשהי, ודאו שהמדפסת תקינה וודאו את הכתובת שאתם חושבים שיש לה. קראו את הכתובת מפאנל המדפסת או מדף האינטרנט שלה. רשומה מיושנת ברשימת מערכת ההפעלה עשויה להצביע על כתובת ש-DHCP נתן למכשיר אחר לפני שבועות.
נתקו את ה-VPN, ואז בדקו את הכתובת ואת שני פורטי ההדפסה הנפוצים:
nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631ב-Windows המקבילה היא Test-NetConnection 192.168.1.50 -Port 9100. חברו מחדש את ה-VPN וחזרו על הבדיקה. אם הפורטים עונים כשה-VPN כבוי ופוקעים כשהוא פועל, שחזרתם את החסימה והשאר הוא שאלת מדיניות. אם הם נכשלים בשני המצבים, עצרו: המדפסת, מקטע ה-Wi-Fi או בידוד לקוחות אשמים, וחריגת VPN רק תוסיף חשיפה.
שלושה תנאים שמכריעים אם לאשר או לחסום
בצעו אותם לפי הסדר. התנאי הראשון שנכשל מכריע את התוצאה, ולכן אין צורך לבדוק את הבאים.
| Condition | Allow a scoped exception | Keep the block |
|---|---|---|
| Who owns the network | Home or single-tenant office where you control the segment | Hotel, cafe or shared Wi-Fi where the printer is not yours |
| Who owns the device policy | Personal device with no enforced profile | Managed profile that enforces always-on VPN |
| What the device carries | Nothing another LAN peer must not reach | Client data that must not touch an untrusted segment |
רשתות אורחים הן ה'לא' הברור ביותר. במקטע של בית מלון הטווח המקומי הוא כל אורח אחר, ולכן חריגה שמגיעה למדפסת שלכם מגיעה גם למחשבים הניידים שלהם. מדפסת שאינה שלכם אינה סיבה לפתוח את המקטע הזה.
מכשירים מנוהלים הם ה'לא' השני. כאשר פרופיל מנהל כופה VPN תמידי עם נעילה, הלקוח מחזיר את החסימה לאחר כל שינוי מקומי, והעקיפה עלולה להפר את המדיניות שקיבלתם. בקשו נתיב נתמך למשאב מקומי במקום לערוך הגדרות שיידרסו.
החריגה הקטנה ביותר שהלקוח שלכם תומך בה
מה שאתם רוצים הוא כלל מוגבל ליעד עבור כתובת מדפסת אחת, לא מתג כללי של אישור מקומי. מתג כללי מכסה בדרך כלל את כל הטווח הפרטי ואת תעבורת link-local, שזה הרבה יותר ממה שתור הדפסה אחד צריך, והוא הופך כל מכשיר במקטע לעמית שקיבלתם.
Windows חושף split tunnelling, וחלק מהגרסאות חושפות גם אפשרות רשת מקומית. במקום שבו הנתיב הנתמך היחיד הוא רשומת מארח, הוסיפו כתובת אחת דרך השער הפיזי לאחר שהמנהרה עלתה, למשל route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, ומחקו אותה כשההפעלה מסתיימת. WireGuard פועל אחרת: AllowedIPs קובע מה נכנס למנהרה, ולכן פרופיל מנהרה מלאה 0.0.0.0/0 נושא את עבודת ההדפסה לנקודת הקצה אלא אם נתיב ספציפי יותר עוקף אותו, ו-wg-quick יכול להתקין כללי חומת אש שחוסמים כל דבר אחר.
ב-Android ההגדרה 'תמיד פעיל' שחוסמת חיבורים ללא ה-VPN היא מתג ההרג, וגילוי מדפסות מאפליקציה בתוך החסימה הזו אינו יכול להגיע לרשת המקומית. מודל האפליקציות הבודדות והחריגות מתועד בעמוד ה-VPN של Android, ושם כדאי לבדוק לפני שמשנים משהו: מדריך קישוריות VPN של Android. גרסאות macOS אחרונות מבקשות הרשאת רשת מקומית בנפרד מהמנהרה, ו-iOS עושה אותו דבר לגישה לרשת המקומית, אך התור עדיין עלול להיכשל כשהמנהרה פעילה מפני שהלקוח של היצרן מנתב את תת-הרשת לתוכה.
יהיה הלקוח אשר יהיה, הגבילו את החריגה לכתובת אחת ולשני הפורטים או השלושה שהמדפסת באמת משתמשת בהם. הקצו חכירת DHCP במקום להרחיב את הכלל לכל תת-הרשת, מפני שהכתובת עלולה לזוז.
אמתו את החריגה ודעו מתי לבטל אותה
לאחר השינוי, התחברו מחדש ובדקו שלושה דברים לפי הסדר. המדפסת עונה בפורטים שלה, נדפס דף בדיקה לא מזיק, וחיפוש כתובת עדיין מחזיר את נקודת הקצה של ה-VPN ולא את ספק האינטרנט שלכם. אם ההדפסה עובדת אבל החיפוש מציג את הספק, פתחתם יותר מהמדפסת וכדאי לחזור אחורה.
חזרו על הבדיקה לאחר אתחול ולאחר כל עדכון של לקוח או פרופיל, מפני שעדכונים משחזרים ברירות מחדל לעתים קרובות מספיק כדי להשפיע. חריגה ששורדת רק עד החיבור הבא אינה החלטה, היא חור זמני. רשמו את הכלל המדויק כדי שתוכלו להסיר אותו בכוונה.
אם המכשיר מיועד למנהרה בלבד, מחשב נייד לנסיעות או מכונה עם נתוני לקוחות, התשובה הנכונה היא להשאיר את החסימה ולהדפיס במקום אחר: שמרו כ-PDF והדפיסו מהטלפון או ממכונה אחרת, או הגיעו לשרת הדפסה שהמנהרה יכולה לנתב אליו. כיבוי מתג ההרג עבור עבודה אחת מחליף הגנה אמיתית בנוחות קטנה.