Kill switch memblokir printer Anda? Tiga pemeriksaan yang harus dilakukan dulu

Printer Anda berfungsi satu jam yang lalu. Lalu Anda menyalakan VPN, dan sekarang tugas mengantre sampai gagal. Kill switch adalah penyebab yang mungkin, bukan printer: ia membuang lalu lintas yang akan meninggalkan mesin di luar terowongan, dan printer LAN persis jenis lalu lintas itu. Keputusan sebenarnya bukan bagaimana memperbaiki pencetakan, melainkan apakah perangkat ini seharusnya menjangkau jaringan lokal sama sekali. Tiga kondisi menentukan itu, dan salah satunya bisa mengakhiri diskusi lebih awal.

Apa yang dibuang kill switch dan mengapa

Kill switch adalah aturan perutean dengan mode kegagalan yang menempel. Saat terowongan aktif, paket yang cocok keluar terenkripsi; saat terowongan putus, klien mengarahkan rute default ke lubang hitam agar tidak ada yang keluar dalam teks biasa. Printer di subnet yang sama tidak pernah cocok dengan rute terowongan, jadi diperlakukan sebagai upaya melarikan diri meskipun lalu lintasnya tidak pernah meninggalkan gedung.

Penemuan membuat gejalanya membingungkan. Printer mengiklankan diri melalui DNS multicast pada port 5353, dan antrean di dialog tambah printer dibangun dari iklan tersebut. Selama blokir aktif, iklan mungkin tidak sampai, sehingga printer hilang dari daftar meskipun alamatnya masih menjawab. IPP pada 631, pencetakan mentah pada 9100, dan SMB pada 445 adalah layanan LAN biasa tanpa jalur terowongan sama sekali.

Buktikan dulu printer dapat dijangkau

Sebelum mengubah kebijakan apa pun, pastikan printer sehat dan pastikan alamat yang Anda anggap dimilikinya. Baca alamat dari panel printer atau halaman webnya sendiri. Entri lama di daftar sistem operasi bisa menunjuk alamat yang diberikan DHCP ke perangkat lain berminggu-minggu lalu.

Putuskan VPN, lalu uji alamat dan dua port cetak yang umum:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

Di Windows padanannya adalah Test-NetConnection 192.168.1.50 -Port 9100. Sambungkan kembali VPN dan ulangi. Jika port menjawab saat VPN mati dan kehabisan waktu saat menyala, Anda telah mereproduksi blokir dan sisanya adalah pertanyaan kebijakan. Jika keduanya gagal di kedua keadaan, berhenti: printer, segmen Wi-Fi, atau isolasi klien yang bermasalah, dan pengecualian VPN hanya akan menambah paparan.

Tiga kondisi yang menentukan izinkan atau blokir

Jalankan berurutan. Kondisi pertama yang gagal menentukan hasilnya, jadi yang berikutnya tidak perlu diuji.

Jaringan tamu adalah 'tidak' yang paling jelas. Di segmen hotel, rentang lokal adalah semua tamu lain, jadi pengecualian yang mencapai printer Anda juga mencapai laptop mereka. Printer yang bukan milik Anda bukan alasan membuka segmen itu.

Perangkat terkelola adalah 'tidak' kedua. Saat profil administrator memberlakukan VPN selalu aktif dengan penguncian, klien menegakkan kembali blokir setelah setiap perubahan lokal, dan akal-akalan itu bisa melanggar kebijakan yang Anda terima. Mintalah jalur sumber daya lokal yang didukung alih-alih mengedit pengaturan yang akan ditimpa.

Pengecualian terkecil yang didukung klien Anda

Yang Anda inginkan adalah aturan terbatas tujuan untuk satu alamat printer, bukan tombol izinkan-lokal menyeluruh. Tombol menyeluruh biasanya mencakup seluruh rentang pribadi dan lalu lintas link-local, jauh lebih banyak daripada yang dibutuhkan satu antrean cetak, dan membuat setiap perangkat di segmen menjadi rekan yang Anda terima.

Windows menyediakan split tunnelling, dan beberapa build juga menyediakan opsi jaringan lokal. Jika satu-satunya rute yang didukung adalah entri host, tambahkan satu alamat melalui gateway fisik setelah terowongan aktif, misalnya route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, lalu hapus saat sesi berakhir. WireGuard bekerja berbeda: AllowedIPs menentukan apa yang masuk ke terowongan, jadi profil terowongan penuh 0.0.0.0/0 membawa tugas cetak ke titik akhir kecuali rute yang lebih spesifik melewatinya, dan wg-quick dapat memasang aturan firewall yang memblokir semua hal lain.

Di Android, pengaturan selalu aktif yang memblokir koneksi tanpa VPN adalah kill switch, dan penemuan printer dari aplikasi di dalam blokir itu tidak punya jalur LAN. Model per aplikasi dan pengecualian didokumentasikan di halaman VPN Android, dan di situlah tempat memeriksa sebelum mengubah apa pun: Panduan konektivitas VPN Android. Rilis macOS terbaru meminta izin jaringan lokal terpisah dari terowongan, dan iOS melakukan hal yang sama untuk akses jaringan lokal, namun antrean tetap bisa gagal dengan terowongan aktif karena klien vendor merutekan subnet ke dalamnya.

Klien apa pun yang Anda pakai, pertahankan pengecualian pada satu alamat dan dua atau tiga port yang benar-benar dipakai printer. Pesan sewa DHCP daripada memperluas aturan ke seluruh subnet karena alamatnya bisa berpindah.

Verifikasi pengecualian dan ketahui kapan membatalkannya

Setelah perubahan, sambungkan kembali dan periksa tiga hal berurutan. Printer menjawab di port-nya, halaman uji yang tidak berbahaya tercetak, dan pencarian alamat masih mengembalikan titik akhir VPN alih-alih ISP Anda. Jika pencetakan berhasil tetapi pencarian menunjukkan ISP Anda, Anda membuka lebih dari printer dan sebaiknya kembalikan.

Ulangi uji setelah reboot dan setelah pembaruan klien atau profil apa pun, karena pembaruan cukup sering memulihkan bawaan. Pengecualian yang hanya bertahan sampai penyambungan berikutnya bukan keputusan, itu lubang sementara. Catat aturan persisnya agar bisa dihapus dengan sengaja.

Jika perangkat dimaksudkan hanya untuk terowongan, laptop perjalanan atau mesin berisi data klien, jawaban yang benar adalah mempertahankan blokir dan mencetak di tempat lain: simpan sebagai PDF dan cetak dari ponsel atau mesin lain, atau jangkau server cetak yang bisa dirutekan terowongan. Menonaktifkan kill switch untuk satu tugas menukar perlindungan nyata dengan sedikit kenyamanan.