킬 스위치가 프린터를 막고 있나요? 먼저 할 세 가지 확인
킬 스위치는 프린터 트래픽을 의도적으로 차단합니다. 제한된 LAN 예외가 정당한지 세 가지 확인으로 판단하고, 예외는 한 주소로만 한정하세요.
프린터는 한 시간 전까지 작동했습니다. 그런데 VPN을 켠 뒤로 작업이 실패할 때까지 대기열에 남아 있습니다. 원인은 프린터가 아니라 킬 스위치일 가능성이 큽니다. 터널 밖으로 나갈 트래픽을 버리는 기능이고, LAN 프린터가 바로 그런 트래픽입니다. 진짜 결정은 인쇄를 어떻게 고치느냐가 아니라 이 기기가 로컬 네트워크에 도달해야 하는지입니다. 세 가지 조건이 이를 판단하며, 어느 하나만으로도 논의를 일찍 끝낼 수 있습니다.
킬 스위치가 버리는 것과 그 이유
킬 스위치는 실패 모드가 붙은 라우팅 규칙입니다. 터널이 올라가 있으면 일치하는 패킷은 암호화되어 나갑니다. 터널이 끊기면 클라이언트는 기본 경로를 블랙홀로 보내 아무것도 평문으로 나가지 않게 합니다. 같은 서브넷의 프린터는 터널 경로와 결코 일치하지 않으므로, 트래픽이 건물을 떠나지 않는데도 탈출 시도로 취급됩니다.
검색 방식이 증상을 혼란스럽게 만듭니다. 프린터는 포트 5353의 멀티캐스트 DNS로 자신을 알리고, 프린터 추가 대화상자의 대기열은 그 알림으로 만들어집니다. 차단이 활성인 동안 알림이 도착하지 않을 수 있어, 주소는 여전히 응답하는데도 프린터가 목록에서 사라집니다. 631의 IPP, 9100의 원시 인쇄, 445의 SMB는 터널 경로가 전혀 없는 평범한 LAN 서비스입니다.
먼저 프린터에 도달할 수 있는지 증명하세요
어떤 정책을 바꾸기 전에 프린터가 정상인지, 그리고 생각하는 주소가 맞는지 확인하세요. 주소는 프린터 패널이나 자체 웹 페이지에서 읽으세요. 운영 체제 목록의 오래된 항목은 DHCP가 몇 주 전에 다른 기기에 준 주소를 가리킬 수 있습니다.
VPN을 끊고 주소와 일반적인 두 인쇄 포트를 시험하세요:
nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631Windows에서는 Test-NetConnection 192.168.1.50 -Port 9100이 같은 역할을 합니다. VPN을 다시 연결하고 반복하세요. VPN이 꺼져 있을 때 포트가 응답하고 켜져 있을 때 시간 초과가 나면 차단을 재현한 것이며 나머지는 정책 문제입니다. 두 상태 모두 실패하면 멈추세요. 프린터, Wi-Fi 세그먼트, 클라이언트 격리 중 하나가 원인이고 VPN 예외는 노출만 늘립니다.
허용 또는 차단을 결정하는 세 가지 조건
순서대로 실행하세요. 처음 실패하는 조건이 결과를 정하므로 이후 조건은 시험할 필요가 없습니다.
| Condition | Allow a scoped exception | Keep the block |
|---|---|---|
| Who owns the network | Home or single-tenant office where you control the segment | Hotel, cafe or shared Wi-Fi where the printer is not yours |
| Who owns the device policy | Personal device with no enforced profile | Managed profile that enforces always-on VPN |
| What the device carries | Nothing another LAN peer must not reach | Client data that must not touch an untrusted segment |
게스트 네트워크는 가장 분명한 '아니요'입니다. 호텔 세그먼트에서 로컬 범위는 다른 모든 투숙객이므로, 프린터에 도달하는 예외는 그들의 노트북에도 도달합니다. 내 것이 아닌 프린터는 그 세그먼트를 열 이유가 아닙니다.
관리형 기기는 두 번째 '아니요'입니다. 관리자 프로필이 잠금이 있는 상시 VPN을 강제하면, 클라이언트는 로컬 변경이 있을 때마다 차단을 다시 적용하고, 우회 방법은 수락한 정책을 위반할 수 있습니다. 덮어써질 설정을 편집하는 대신 지원되는 로컬 리소스 경로를 요청하세요.
클라이언트가 지원하는 가장 작은 예외
필요한 것은 프린터 주소 하나에 대한 대상 한정 규칙이지, 로컬 전체 허용 토글이 아닙니다. 전체 토글은 보통 사설 범위 전체와 링크 로컬 트래픽을 덮어 인쇄 대기열 하나에 필요한 양을 훨씬 넘고, 세그먼트의 모든 기기를 수락한 동료로 만듭니다.
Windows는 분할 터널링을 제공하고 일부 빌드는 로컬 네트워크 옵션도 제공합니다. 지원되는 유일한 경로가 호스트 항목이라면, 터널이 올라온 뒤 실제 게이트웨이를 통해 주소 하나를 추가하고(예: route add 192.168.1.50 mask 255.255.255.255 192.168.1.1), 세션이 끝나면 삭제하세요. WireGuard는 다릅니다. AllowedIPs가 터널에 들어갈 것을 정하므로 전체 터널 0.0.0.0/0 프로필은 더 구체적인 경로가 우회하지 않는 한 인쇄 작업을 종점까지 가져가며, wg-quick은 나머지 전부를 차단하는 방화벽 규칙을 설치할 수 있습니다.
Android에서 VPN 없이 연결을 차단하는 상시 설정이 킬 스위치이며, 그 차단 안의 앱에서 프린터를 찾는 데는 LAN 경로가 없습니다. 앱별 및 예외 모델은 Android VPN 페이지에 문서화되어 있고, 무엇이든 바꾸기 전에 그곳을 확인해야 합니다: Android VPN 연결 가이드. 최근 macOS 버전은 터널과 별도로 로컬 네트워크 권한을 요청하고, iOS도 로컬 네트워크 접근에 대해 같은 방식을 쓰지만, 공급업체 클라이언트가 서브넷을 터널 안으로 라우팅하므로 터널이 켜져 있어도 대기열이 실패할 수 있습니다.
어떤 클라이언트를 쓰든, 예외를 한 주소로 유지하고 프린터가 실제로 쓰는 두세 개 포트로 한정하세요. 주소가 이동할 수 있으므로 규칙을 서브넷 전체로 넓히는 대신 DHCP 예약을 하세요.
예외를 검증하고 언제 되돌릴지 아세요
변경 후 다시 연결해 세 가지를 순서대로 확인하세요. 프린터가 자기 포트에서 응답하고, 무해한 테스트 페이지가 인쇄되고, 주소 조회가 여전히 ISP가 아니라 VPN 종점을 반환해야 합니다. 인쇄는 되는데 조회가 ISP를 보여 준다면 프린터보다 더 많이 연 것이므로 되돌려야 합니다.
재부팅 후, 그리고 클라이언트나 프로필 업데이트 후마다 시험을 반복하세요. 업데이트는 기본값을 되돌리는 일이 적지 않습니다. 다음 재연결까지만 유지되는 예외는 결정이 아니라 임시 구멍입니다. 정확한 규칙을 적어 두어 의도적으로 제거할 수 있게 하세요.
기기가 터널 전용이라면, 출장용 노트북이나 고객 데이터가 있는 기기라면 정답은 차단을 유지하고 다른 곳에서 인쇄하는 것입니다. PDF로 저장해 휴대폰이나 다른 기기에서 인쇄하거나, 터널이 라우팅할 수 있는 인쇄 서버에 접근하세요. 한 작업을 위해 킬 스위치를 끄는 것은 실제 보호를 작은 편의와 맞바꾸는 일입니다.