VPN 経由の印刷に Bonjour 検出は不要です

AirPrint のペイロードはアドレス、パス、ポートでプリンタを指定するため、検出がトンネルを越える必要はありません。ルート、そのポート、TLS は依然として機能している必要があります。

おそらく、VPN 経由で iPhone から印刷するには Bonjour 検出がトンネルを越える必要があると聞かされたでしょう。その思い込みは、何も解決しない TAP ブリッジやマルチキャストリレーへ人々を向かわせます。AirPrint は明示的な宛先を受け入れ、構成プロファイルはプリンタのアドレス、リソースパス、ポートを端末に渡せます。その項目がプリントシートに現れるために検出が行われる必要はありません。ペイロードがしないのは、ルートを作ること、AirPrint でないプリンタに IPP を話させること、ジョブを許可することです。

神話は真実の観察から始まる

Bonjour は設計上リンクローカルマルチキャストです。ルーティングされたポイントツーポイントトンネルはそのグループを運ばないため、VPN 上の端末は遠隔 LAN のプリンタを閲覧できず、同じトンネル上のノート PC も同様です。正しい結論は、印刷にブリッジが必要だということではなく、閲覧には別の配信手段が必要だということであり、明示的なリストがその手段です。

マルチキャストリレーは存在し、うまく運用しているネットワークもありますが、それはあなたにないかもしれない検出要件を解決します。配備が承認済みの一台にだけ印刷すればよいなら、その機器を公開する方が小さく、試験可能で、トンネルを越えてブロードキャストドメインを広げるよりはるかに撤回しやすいです。

ペイロードが実際に運ぶもの

ペイロード com.apple.airprint はプリンタ辞書の配列を保持します。各辞書は IPAddress（リテラルアドレスまたはホスト名）、ResourcePath、省略可能な Port、省略可能な ForceTLS を取ります。Apple は iOS 11 以降 Port と ForceTLS を文書化しているため、混在する環境では展開前にそれを明確にする必要があります。

パスは人が推測するフィールドです。ResourcePath はプリンタの _ipps._tcp または _ipp._tcp の Bonjour レコードにある rp の値を反映します。最近のドライバレスプリンタでは ipp/print であることが多く、古い機種ではベンダー固有であることが多いです。別のモデルからパスをコピーすると、現れてからすべてのジョブを拒否するキューができます。

配列の項目は次のとおりです（プレースホルダ値はテスト済みのエンドポイントではありません）：

<dict>
    <key>ResourcePath</key>
    <string>ipp/print</string>
    <key>IPAddress</key>
    <string>printer-07.office.example</string>
    <key>Port</key>
    <integer>8631</integer>
    <key>ForceTLS</key>
    <true/>
</dict>

その断片はプロファイルではありません。ペイロード内の AirPrint 配列の一要素であり、ペイロードには独自のメタデータと署名または MDM 配信が依然として必要です。フィールドの意味については AirPrint プリンタ辞書 が参照先です。

値は検索結果ではなくプリンタから集める

すでにその機器に印刷している Mac では、ippfind または dns-sd -B _ipp._tcp が広告されたインスタンスを表示し、プリンタ自身の Web インターフェースが通常 IPP パスとポートを一覧します。四つの値すべてを展開メモに記録し、次の担当者がスクリーンショットから再び導き出さなくて済むようにします。

次に TLS について意図的に決めます。ForceTLS が真の場合、端末はプリンタが提示する証明書を信頼しなければならず、自己署名証明書は信頼アンカーも配備しない限り失敗します。キューを動かすために TLS を切るのはネットワークパスについての決定であり、不便な証明書の回避策ではありません。

配信、そして二つの正反対の失敗

デバイス管理チャネルがある場合はそれを通じてペイロードを配信し、業務用端末に手動でインストールされたプロファイルは、それが本来の例外として扱います。インストールされれば、プリンタは検出トラフィックなしでプリントシートに現れるはずです。その出現だけが、ペイロードが保証すべき唯一のことでした。

現れるがすべてのジョブで失敗するプリンタには、ルート、ポート、パス、TLS のいずれかの問題があり、どれもペイロードでは解決されません。

決して現れないプリンタには、代わりに配信またはペイロードの問題があります：プロファイルがインストールされていない、配列が壊れている、値が機器と一致しない、のいずれかです。VPN に触れる前に値と対象機器を読み直してください。一覧の問題を直すために検出リレーを追加するのは、一覧がそもそも検出に依存していなかったため、高くつく誤りです。

項目を保守可能に保つ

ゾーンを管理している場所では、アドレス変更でインストール済みのプロファイルがすべて無効にならないよう、リテラルアドレスよりホスト名を優先してください。そのホスト名はトンネルが上がっている間に端末から解決できる必要があり、それは印刷ではなく分割 DNS の話に戻ります。

プリンタの所有者とプロファイルの所有者を展開記録に書きます。キューが移ったら、古い項目は自然に期限切れにならず廃止された機器へ利用者を導き続けるため、公開先を意図的に更新してください。

これらのどれもプリンタを AirPrint 対応にはしません。ペイロードは宛先を公開するだけで、機器は依然として IPP を話す必要があります。

関連記事