Kill switch თქვენს პრინტერს ბლოკავს? სამი შემოწმება, რომელიც ჯერ უნდა გააკეთოთ
Kill switch განზრახ ბლოკავს პრინტერის ტრაფიკს. გააკეთეთ სამი შემოწმება, რომ გადაწყვიტოთ, გამართლებულია თუ არა შეზღუდული LAN გამონაკლისი, და შეინარჩუნეთ ის ერთ მისამართზე.
თქვენი პრინტერი ერთი საათის წინ მუშაობდა. შემდეგ ჩართეთ VPN და ახლა დავალებები რიგში დგანან, სანამ ვერ შესრულდებიან. სავარაუდო მიზეზი kill switch-ია და არა პრინტერი: ის ყრის იმ ტრაფიკს, რომელიც მანქანას გვირაბის გარეთ დატოვებდა, ხოლო LAN პრინტერი ზუსტად ასეთი ტრაფიკია. ნამდვილი გადაწყვეტილება არ არის როგორ გამოვასწოროთ ბეჭდვა, არამედ უნდა მიაღწიოს თუ არა ამ მოწყობილობამ საერთოდ ლოკალურ ქსელს. სამი პირობა წყვეტს ამას და ნებისმიერმა მათგანმა შეიძლება დისკუსია ადრე დაასრულოს.
რას ყრის kill switch და რატომ
Kill switch არის მარშრუტიზაციის წესი, რომელსაც მიმაგრებული აქვს წარუმატებლობის რეჟიმი. როცა გვირაბი აწეულია, შესაბამისი პაკეტები დაშიფრულად გადის; როცა გვირაბი ვარდება, კლიენტი ნაგულისხმევ მარშრუტს შავ ხვრელში აგზავნის, რომ არაფერი გავიდეს ღია ტექსტით. ერთი და იმავე ქვექსელის პრინტერი არასოდეს ემთხვევა გვირაბის მარშრუტს, ამიტომ მას გაქცევის მცდელობად განიხილავენ, თუმცა ტრაფიკი შენობას არასოდეს ტოვებს.
აღმოჩენა სიმპტომს დამაბნეველს ხდის. პრინტერები თავს აცხადებენ multicast DNS-ით 5353 პორტზე და პრინტერის დამატების დიალოგში ნაჩვენები რიგი სწორედ ამ განცხადებებისგან იგება. სანამ ბლოკი აქტიურია, განცხადება შეიძლება არ მოვიდეს, ამიტომ პრინტერი სიიდან ქრება, თუმცა მისი მისამართი კვლავ პასუხობს. IPP 631-ზე, ნედლი ბეჭდვა 9100-ზე და SMB 445-ზე ჩვეულებრივი LAN სერვისებია გვირაბის გზის გარეშე.
ჯერ დაამტკიცეთ, რომ პრინტერი ხელმისაწვდომია
სანამ რაიმე პოლიტიკას შეცვლით, დაადასტურეთ, რომ პრინტერი ჯანსაღია და დაადასტურეთ ის მისამართი, რომელიც გგონიათ, რომ აქვს. წაიკითხეთ მისამართი პრინტერის პანელიდან ან მისივე ვებგვერდიდან. ოპერაციული სისტემის სიაში მოძველებული ჩანაწერი შეიძლება მიუთითებდეს მისამართზე, რომელიც DHCP-მ კვირების წინ სხვა მოწყობილობას მისცა.
გათიშეთ VPN და შემდეგ შეამოწმეთ მისამართი და ბეჭდვის ორი ჩვეულებრივი პორტი:
nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631Windows-ში ეკვივალენტია Test-NetConnection 192.168.1.50 -Port 9100. ხელახლა დაუკავშირდით VPN-ს და გაიმეორეთ. თუ პორტები პასუხობენ VPN-ის გამორთვისას და დრო ეწურებათ ჩართვისას, თქვენ აღადგინეთ ბლოკი და დარჩენილი პოლიტიკის საკითხია. თუ ისინი ორივე მდგომარეობაში ვერ მუშაობენ, გაჩერდით: დამნაშავეა პრინტერი, Wi-Fi სეგმენტი ან კლიენტების იზოლაცია, და VPN გამონაკლისი მხოლოდ ექსპოზიციას გაზრდის.
სამი პირობა, რომელიც წყვეტს დაშვებას ან ბლოკირებას
შეასრულეთ ისინი თანმიმდევრობით. პირველი წარუმატებელი პირობა წყვეტს შედეგს, ამიტომ დანარჩენების შემოწმება არ არის საჭირო.
| Condition | Allow a scoped exception | Keep the block |
|---|---|---|
| Who owns the network | Home or single-tenant office where you control the segment | Hotel, cafe or shared Wi-Fi where the printer is not yours |
| Who owns the device policy | Personal device with no enforced profile | Managed profile that enforces always-on VPN |
| What the device carries | Nothing another LAN peer must not reach | Client data that must not touch an untrusted segment |
სასტუმრო ქსელები ყველაზე ნათელი „არა“ არის. სასტუმროს სეგმენტში ლოკალური დიაპაზონი ყველა სხვა სტუმარია, ამიტომ გამონაკლისი, რომელიც თქვენს პრინტერს აღწევს, მათ ლეპტოპებსაც აღწევს. პრინტერი, რომელიც თქვენი არ არის, არ არის ამ სეგმენტის გახსნის მიზეზი.
მართული მოწყობილობები მეორე „არა“ არის. როცა ადმინისტრატორის პროფილი აიძულებს მუდამ ჩართულ VPN-ს ჩაკეტვით, კლიენტი ბლოკს ყოველი ლოკალური ცვლილების შემდეგ აღადგენს და გვერდის ავლა შეიძლება დაარღვიოს პოლიტიკა, რომელიც მიიღეთ. მოითხოვეთ მხარდაჭერილი ლოკალური რესურსის გზა იმ პარამეტრების რედაქტირების ნაცვლად, რომლებიც გადაიწერება.
უმცირესი გამონაკლისი, რომელსაც თქვენი კლიენტი მხარს უჭერს
გსურთ დანიშნულებით შეზღუდული წესი ერთი პრინტერის მისამართისთვის და არა ყოვლისმომცველი ლოკალური დაშვების გადამრთველი. ყოვლისმომცველი გადამრთველი ჩვეულებრივ ფარავს მთელ კერძო დიაპაზონს და link-local ტრაფიკს, რაც ბევრად მეტია, ვიდრე ერთ ბეჭდვის რიგს სჭირდება, და ის სეგმენტის ყველა მოწყობილობას თქვენ მიერ მიღებულ პარტნიორად აქცევს.
Windows გვაძლევს split tunnelling-ს და ზოგიერთი build ასევე გვთავაზობს ლოკალური ქსელის ვარიანტს. სადაც ერთადერთი მხარდაჭერილი გზა ჰოსტის ჩანაწერია, გვირაბის აწევის შემდეგ დაამატეთ ერთი მისამართი ფიზიკური კარიბჭის გავლით, მაგალითად route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, და წაშალეთ სესიის დასრულებისას. WireGuard სხვაგვარად მუშაობს: AllowedIPs წყვეტს, რა შევა გვირაბში, ამიტომ სრული გვირაბის 0.0.0.0/0 პროფილი ბეჭდვის დავალებას ბოლო წერტილამდე მიიტანს, თუ უფრო კონკრეტული მარშრუტი არ აუარებს გვერდს, და wg-quick-ს შეუძლია დააყენოს firewall წესები, რომლებიც ყველაფერ დანარჩენს ბლოკავს.
Android-ზე ის „ყოველთვის ჩართული“ პარამეტრი, რომელიც VPN-ის გარეშე კავშირებს ბლოკავს, სწორედ kill switch-ია, და ამ ბლოკის შიგნით აპიდან პრინტერების აღმოჩენას LAN გზა არ აქვს. „თითო აპის“ და გამონაკლისების მოდელი აღწერილია Android VPN გვერდზე, და სწორედ იქ უნდა შეამოწმოთ, სანამ რამეს შეცვლით: Android VPN კავშირის სახელმძღვანელო. macOS-ის ბოლო ვერსიები ლოკალური ქსელის ნებართვას გვირაბისგან ცალკე ითხოვენ და iOS-იც იგივეს აკეთებს ლოკალურ ქსელზე წვდომისთვის, მაგრამ რიგი მაინც შეიძლება ჩავარდეს გვირაბის აწეულ მდგომარეობაში, რადგან მომწოდებლის კლიენტი ქვექსელს მის შიგნით მარშრუტიზაციას უკეთებს.
რომელი კლიენტიც არ უნდა გამოიყენოთ, შეინარჩუნეთ გამონაკლისი ერთ მისამართზე და იმ ორ ან სამ პორტზე, რომლებსაც პრინტერი რეალურად იყენებს. დაჯავშნეთ DHCP იჯარა ნაცვლად იმისა, რომ წესი მთელ ქვექსელზე გაავრცელოთ, რადგან მისამართი შეიძლება გადაინაცვლოს.
გადაამოწმეთ გამონაკლისი და იცოდეთ, როდის გააუქმოთ ის
ცვლილების შემდეგ ხელახლა დაუკავშირდით და თანმიმდევრობით შეამოწმეთ სამი რამ. პრინტერი პასუხობს თავის პორტებზე, იბეჭდება უვნებელი საცდელი გვერდი და მისამართის ძებნა კვლავ VPN-ის ბოლო წერტილს აბრუნებს და არა თქვენს ISP-ს. თუ ბეჭდვა მუშაობს, მაგრამ ძებნა თქვენს ISP-ს აჩვენებს, პრინტერზე მეტი გახსენით და უნდა უკან დაბრუნდეთ.
გაიმეორეთ ტესტი გადატვირთვის შემდეგ და ნებისმიერი კლიენტის ან პროფილის განახლების შემდეგ, რადგან განახლებები საკმარისად ხშირად აღადგენს ნაგულისხმევს, რომ ამას მნიშვნელობა ჰქონდეს. გამონაკლისი, რომელიც მხოლოდ შემდეგ ხელახალ დაკავშირებამდე ძლებს, გადაწყვეტილება არ არის, ეს დროებითი ხვრელია. ჩაწერეთ ზუსტი წესი, რომ შეგეძლოთ მისი განზრახ წაშლა.
თუ მოწყობილობა მხოლოდ გვირაბისთვისაა განკუთვნილი, სამოგზაურო ლეპტოპი ან კლიენტის მონაცემების მქონე მანქანა, სწორი პასუხია ბლოკის შენარჩუნება და სხვაგან ბეჭდვა: შეინახეთ PDF-ად და დაბეჭდეთ ტელეფონიდან ან სხვა მანქანიდან, ან მიაღწიეთ ბეჭდვის სერვერს, რომელზეც გვირაბს შეუძლია მარშრუტიზაცია. ერთი დავალებისთვის kill switch-ის გამორთვა ნამდვილ დაცვას ცვლის მცირე კომფორტში.