A kill switch blokkolja a nyomtatóját? Három ellenőrzés, amit először végezzen el

A nyomtatója egy órával ezelőtt még működött. Aztán bekapcsolta a VPN-t, és most a feladatok sorban állnak, amíg meg nem hiúsulnak. A valószínű ok a kill switch, nem a nyomtató: eldobja a forgalmat, amely elhagyná a gépet az alagúton kívül, az LAN-nyomtató pedig éppen ilyen forgalom. A valódi döntés nem az, hogyan javítsuk a nyomtatást, hanem hogy egyáltalán elérje-e ez az eszköz a helyi hálózatot. Három feltétel dönti el ezt, és bármelyikük korán lezárhatja a vitát.

Mit dob el a kill switch, és miért

A kill switch egy útválasztási szabály hozzá kapcsolt hibaállapottal. Ha az alagút áll, az illeszkedő csomagok titkosítva mennek ki; ha az alagút leesik, a kliens a fekete lyukba küldi az alapértelmezett útvonalat, hogy semmi ne menjen ki nyílt szövegben. Az azonos alhálózaton lévő nyomtató soha nem illeszkedik az alagút útvonalára, ezért szökési kísérletnek tekintik, pedig a forgalom soha nem hagyja el az épületet.

A felderítés zavaróvá teszi a tünetet. A nyomtatók multicast DNS-sel hirdetik magukat az 5353-as porton, és a nyomtató hozzáadása párbeszédablakban látható sor ezekből a hirdetésekből épül fel. Amíg a blokk aktív, a hirdetés esetleg nem érkezik meg, ezért a nyomtató eltűnik a listáról, pedig a címe még válaszol. Az 631-es IPP, a 9100-as nyers nyomtatás és a 445-es SMB hétköznapi LAN-szolgáltatások alagútútvonal nélkül.

Először bizonyítsa, hogy a nyomtató elérhető

Mielőtt bármilyen szabályt módosítana, erősítse meg, hogy a nyomtató egészséges, és erősítse meg a címet, amelyről azt hiszi, hogy van neki. Olvassa le a címet a nyomtató paneljéről vagy a saját weboldaláról. Az operációs rendszer listájában lévő elavult bejegyzés olyan címre mutathat, amelyet a DHCP hetekkel ezelőtt egy másik eszköznek adott.

Válassza le a VPN-t, majd tesztelje a címet és a két gyakori nyomtatási portot:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

Windows alatt az megfelelője a Test-NetConnection 192.168.1.50 -Port 9100. Csatlakozzon újra a VPN-hez, és ismételje meg. Ha a portok a VPN kikapcsolt állapotában válaszolnak, bekapcsolva pedig időtúllépésbe futnak, reprodukálta a blokkot, és a többi szabálykérdés. Ha mindkét állapotban meghibásodnak, álljon meg: a nyomtató, a Wi-Fi szegmens vagy az ügyfélizoláció a hibás, és egy VPN-kivétel csak növelné a kitettséget.

Három feltétel, amely eldönti az engedélyezést vagy a blokkolást

Hajtsa végre ezeket sorrendben. Az elsőként meghiúsuló feltétel dönti el az eredményt, ezért a későbbieket nem kell tesztelni.

A vendéghálózatok a legvilágosabb nem. Egy szállodai szegmensben a helyi tartomány minden más vendég, ezért a nyomtatóját elérő kivétel az ő laptopjaikat is eléri. Az a nyomtató, amely nem az Öné, nem ok arra, hogy megnyissa ezt a szegmenst.

A felügyelt eszközök a második nem. Amikor egy rendszergazdai profil zárolással kényszeríti ki az always-on VPN-t, a kliens minden helyi változtatás után újra érvényesíti a blokkot, és a megkerülés megsértheti az elfogadott szabályzatot. Kérjen támogatott helyi erőforrás-útvonalat ahelyett, hogy felülírandó beállításokat szerkesztene.

A legkisebb kivétel, amelyet a kliense támogat

Egy nyomtatócímre szabott célzott szabályt szeretne, nem egy átfogó helyi engedélyező kapcsolót. Az átfogó kapcsoló általában a teljes privát tartományt és a link-local forgalmat lefedi, ami sokkal több, mint amire egy nyomtatási sor igényt tart, és a szegmens minden eszközét az Ön által elfogadott társa teszi.

A Windows split tunnellinget kínál, egyes buildjei helyi hálózati opciót is. Ahol az egyetlen támogatott útvonal egy hosztbejegyzés, adjon hozzá egyetlen címet a fizikai átjárón keresztül az alagút felállása után, például route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, majd törölje a munkamenet végén. A WireGuard másképp működik: az AllowedIPs dönti el, mi kerül az alagútba, ezért a teljes alagutas 0.0.0.0/0 profil a végpontig viszi a nyomtatási feladatot, hacsak egy konkrétabb útvonal meg nem kerüli, és a wg-quick olyan tűzfal-szabályokat telepíthet, amelyek minden mást blokkolnak.

Androidon az a mindig bekapcsolt beállítás, amely a VPN nélküli kapcsolatokat blokkolja, a kill switch, és az adott blokkon belüli alkalmazásból történő nyomtatófelderítésnek nincs LAN-útvonala. Az alkalmazásonkénti és kivételi modellt az Android VPN oldala dokumentálja, és ott érdemes megnézni, mielőtt bármit módosítana: Android VPN-kapcsolat útmutató. Az újabb macOS-verziók az alagúttól külön kérik a helyi hálózat engedélyét, az iOS ugyanezt teszi a helyi hálózati hozzáféréshez, a sor azonban az alagút állapotában is meghiúsulhat, mert a gyártó kliense az alhálózatot az alagútba irányítja.

Bármelyik klienst használja is, tartsa a kivételt egyetlen címen és azon a két vagy három porton, amelyet a nyomtató valóban használ. Foglaljon le DHCP-bérletet ahelyett, hogy a szabályt az egész alhálózatra kiterjesztené, mert a cím elmozdulhat.

Ellenőrizze a kivételt, és tudja, mikor kell visszavonni

A módosítás után csatlakozzon újra, és ellenőrizzen három dolgot sorrendben. A nyomtató válaszol a portjain, kinyomtatódik egy ártalmatlan tesztoldal, és a címkeresés továbbra is a VPN végpontját adja vissza a szolgáltatója helyett. Ha a nyomtatás működik, de a keresés a szolgáltatóját mutatja, többet nyitott meg a nyomtatónál, és vissza kellene lépnie.

Ismételje meg a tesztet újraindítás után és minden ügyfél- vagy profilfrissítés után, mert a frissítések elég gyakran állítják vissza az alapértékeket ahhoz, hogy számítsanak. Egy kivétel, amely csak a következő újracsatlakozásig él, nem döntés, hanem ideiglenes lyuk. Írja le a pontos szabályt, hogy tudatosan eltávolíthassa.

Ha az eszköz csak alagútra való, egy utazólaptop vagy ügyféladatokat tartalmazó gép, a helyes válasz a blokk megtartása és a máshol nyomtatás: mentse PDF-be, és nyomtasson telefonról vagy másik gépről, vagy érjen el egy nyomtatószervert, amelyre az alagút tud útvonalat adni. A kill switch kikapcsolása egyetlen feladatért valódi védelmet cserél egy kis kényelemre.