Il kill switch blocca la stampante? Tre controlli da fare prima

La stampante funzionava un'ora fa. Poi hai attivato la VPN e ora i lavori restano in coda finché non falliscono. Il kill switch è la causa probabile, non la stampante: scarta il traffico che uscirebbe dalla macchina fuori dal tunnel, e una stampante LAN è esattamente quel tipo di traffico. La vera decisione non è come riparare la stampa, ma se questo dispositivo debba raggiungere la rete locale. Tre condizioni lo stabiliscono, e ciascuna può chiudere la discussione in anticipo.

Cosa scarta il kill switch e perché

Un kill switch è una regola di routing con una modalità di errore associata. Con il tunnel attivo, i pacchetti corrispondenti escono cifrati; quando il tunnel cade, il client manda la rotta predefinita in un buco nero perché nulla esca in chiaro. Una stampante sulla stessa sottorete non corrisponde mai alla rotta del tunnel, quindi viene trattata come un tentativo di fuga anche se il traffico non lascia mai l'edificio.

Il rilevamento rende il sintomo confuso. Le stampanti si annunciano via DNS multicast sulla porta 5353, e la coda nella finestra di aggiunta stampante è costruita da quegli annunci. Finché il blocco è attivo l'annuncio può non arrivare, quindi la stampante sparisce dall'elenco anche se il suo indirizzo risponde ancora. IPP sulla 631, stampa raw sulla 9100 e SMB sulla 445 sono normali servizi LAN senza alcun percorso nel tunnel.

Prima dimostra che la stampante è raggiungibile

Prima di cambiare qualsiasi criterio, conferma che la stampante sia sana e conferma l'indirizzo che pensi abbia. Leggi l'indirizzo dal pannello della stampante o dalla sua pagina web. Una voce obsoleta nell'elenco del sistema operativo può puntare a un indirizzo che il DHCP ha assegnato a un altro dispositivo settimane fa.

Disconnetti la VPN, poi prova l'indirizzo e le due porte di stampa comuni:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

Su Windows l'equivalente è Test-NetConnection 192.168.1.50 -Port 9100. Riconnetti la VPN e ripeti. Se le porte rispondono con la VPN spenta e vanno in timeout con quella accesa, hai riprodotto il blocco e il resto è una questione di criteri. Se falliscono in entrambi gli stati, fermati: la colpa è della stampante, del segmento Wi-Fi o dell'isolamento dei client, e un'eccezione VPN aggiungerebbe solo esposizione.

Tre condizioni che decidono se consentire o bloccare

Eseguile in ordine. La prima condizione che fallisce decide l'esito, quindi le successive non serve testarle.

Le reti per ospiti sono il no più chiaro. In un segmento d'albergo l'intervallo locale è ogni altro ospite, quindi un'eccezione che raggiunge la tua stampante raggiunge anche i loro portatili. Una stampante che non è tua non è un motivo per aprire quel segmento.

I dispositivi gestiti sono il secondo no. Quando un profilo amministratore impone VPN sempre attiva con blocco, il client ripristina il blocco dopo ogni modifica locale, e il workaround può violare il criterio che hai accettato. Chiedi un percorso supportato verso la risorsa locale invece di modificare impostazioni che verranno sovrascritte.

L'eccezione più piccola supportata dal tuo client

Quello che vuoi è una regola limitata alla destinazione per un indirizzo di stampante, non un interruttore generale che permette la rete locale. Un interruttore generale di solito copre l'intero intervallo privato e il traffico link-local, molto più di quanto serva a una coda di stampa, e trasforma ogni dispositivo del segmento in un peer che hai accettato.

Windows espone lo split tunnelling, e alcune build espongono anche un'opzione di rete locale. Dove l'unica rotta supportata è una voce host, aggiungi un solo indirizzo tramite il gateway fisico dopo che il tunnel è attivo, per esempio route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, poi eliminalo alla fine della sessione. WireGuard funziona diversamente: AllowedIPs decide cosa entra nel tunnel, quindi un profilo a tunnel completo 0.0.0.0/0 porta il lavoro di stampa all'endpoint a meno che una rotta più specifica lo aggiri, e wg-quick può installare regole del firewall che bloccano tutto il resto.

Su Android l'impostazione sempre attiva che blocca le connessioni senza VPN è il kill switch, e il rilevamento delle stampanti da un'app dentro quel blocco non ha alcun percorso LAN. Il modello per app ed esclusioni è documentato nella pagina VPN di Android, ed è lì che bisogna guardare prima di cambiare qualcosa: Guida alla connettività VPN di Android. Le versioni recenti di macOS chiedono il permesso di rete locale separatamente dal tunnel, e iOS fa lo stesso per l'accesso alla rete locale, ma la coda può comunque fallire con il tunnel attivo perché il client del fornitore instrada la sottorete al suo interno.

Qualunque client tu usi, mantieni l'eccezione su un solo indirizzo e sulle due o tre porte che la stampante usa davvero. Prenota un lease DHCP invece di ampliare la regola a tutta la sottorete, perché l'indirizzo può spostarsi.

Verifica l'eccezione e sappi quando annullarla

Dopo la modifica, riconnettiti e controlla tre cose in ordine. La stampante risponde sulle sue porte, si stampa una pagina di prova innocua e una ricerca dell'indirizzo restituisce ancora l'endpoint VPN invece del tuo ISP. Se la stampa funziona ma la ricerca mostra il tuo ISP, hai aperto più della stampante e dovresti tornare indietro.

Ripeti il test dopo un riavvio e dopo ogni aggiornamento del client o del profilo, perché gli aggiornamenti ripristinano i valori predefiniti abbastanza spesso da contare. Un'eccezione che sopravvive solo fino alla prossima riconnessione non è una decisione, è un buco temporaneo. Scrivi la regola esatta per poterla rimuovere deliberatamente.

Se il dispositivo è pensato solo per il tunnel, un portatile da viaggio o una macchina con dati dei clienti, la risposta giusta è mantenere il blocco e stampare altrove: salva in PDF e stampa da un telefono o un'altra macchina, oppure raggiungi un server di stampa che il tunnel può instradare. Disattivare il kill switch per un lavoro scambia una protezione reale con una piccola comodità.