Kill switch принтериңизди тосуп жатабы? Алгач жүргүзүлүүчү үч текшерүү

Принтериңиз бир саат мурун иштеп турган. Анан VPN күйгүздүңүз, эми тапшырмалар ишке ашпайынча кезекте турат. Ыктымал себеп — kill switch, принтер эмес: ал машинаны туннелден тышкары калтыра турган трафикти таштайт, ал эми LAN принтери так ушундай трафик. Чыныгы чечим — басып чыгарууну кантип оңдоо эмес, бул түзмөк жалпы жергиликтүү тармакка жетүүбү. Муну үч шарт чечет жана алардын кайсынысы болбосун талкууну эрте бүтүрө алат.

Kill switch эмнени таштайт жана эмне үчүн

Kill switch — бузулуу режими тиркелген маршруттоо эрежеси. Туннел турганда дал келген пакеттер шифрленип чыгат; туннел кулаганда клиент демейки маршрутту кара көңдөйгө жиберет, ошондо эч нерсе ачык текст менен чыкпайт. Ошол эле субтармактагы принтер туннелдин маршрутуна эч качан дал келбейт, ошондуктан трафик имараттан эч качан чыкпаса да, ал качуу аракети катары каралат.

Табуу симптомду чаташтырат. Принтерлер 5353 портунда multicast DNS аркылуу өздөрүн жарыялашат, ал эми принтер кошуу диалогундагы кезек ошол жарыялардан түзүлөт. Блок активдүү кезде жарыя келбеши мүмкүн, ошондуктан дареги дагы эле жооп берсе да принтер тизмеден жоголот. 631деги IPP, 9100дөгү чийки басып чыгаруу жана 445теги SMB — туннел жолу жок кадимки LAN кызматтары.

Алгач принтерге жетүү мүмкүн экенин далилдеңиз

Кандайдыр бир саясатты өзгөртүүдөн мурун принтердин соо экенин жана анын дареги деп ойлогонуңузду ырастаңыз. Даректи принтердин панелинен же өзүнүн веб-барагынан окуңуз. Операциялык системанын тизмесиндеги эскирген жазуу DHCP апталар мурун башка түзмөккө берген даректи көрсөтүшү мүмкүн.

VPNди ажыратып, анан даректи жана эки кадимки басып чыгаруу портун текшериңиз:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

Windowsта барабардыгы — Test-NetConnection 192.168.1.50 -Port 9100. VPNди кайра туташтырып, кайталаңыз. Порттор VPN өчүк кезде жооп берип, күйүк кезде убакыт бүтсө, блокту кайра жараттыңыз, ал эми калганы саясат маселеси. Эки абалда тең ишке ашпаса, токтоңуз: күнөө принтерде, Wi-Fi сегментинде же кардар изоляциясында, ал эми VPN өзгөчөлүгү таасирди гана көбөйтөт.

Уруксат же блок тууралуу чечкен үч шарт

Аларды ирети менен аткарыңыз. Биринчи ишке ашпаган шарт натыйжаны чечет, ошондуктан кийинкилерин текшерүүнүн кереги жок.

Конок тармактары — эң ачык «жок». Мейманкана сегментинде жергиликтүү диапазон — бардык башка коноктор, ошондуктан принтериңизге жеткен өзгөчөлүк алардын ноутбуктарына да жетет. Сиздин эмес принтер ошол сегментти ачууга себеп эмес.

Башкарылуучу түзмөктөр — экинчи «жок». Администратор профили кулпулоо менен дайыма күйүк VPNди талап кылса, клиент ар кандай жергиликтүү өзгөрүүдөн кийин блокту кайра орнотот, ал эми айланып өтүү сиз кабыл алган саясатты бузушу мүмкүн. Кайра жазылуучу параметрлерди оңдоонун ордуна колдоого алынган жергиликтүү ресурс жолун сураңыз.

Клиентиңиз колдогон эң кичине өзгөчөлүк

Сизге бир принтер дареги үчүн багыт менен чектелген эреже керек, жалпы allow-local которуштуруучу эмес. Жалпы которуштуруучу адатта бүт жеке диапазонду жана link-local трафигин камтыйт, бул бир басып чыгаруу кезегине керектүүдөн алда канча көп, жана сегменттеги ар бир түзмөктү сиз кабыл алган өнөктөшкө айландырат.

Windows split tunnelling сунуштайт, айрым build'дер жергиликтүү тармак опциясын да сунуштайт. Жалгыз колдоого алынган жол хост жазуусу болсо, туннел көтөрүлгөндөн кийин физикалык шлюз аркылуу бир дарек кошуңуз, мисалы route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, анан сессия бүткөндө аны өчүрүңүз. WireGuard башкача иштейт: AllowedIPs туннелге эмне кирерин чечет, ошондуктан толук туннел 0.0.0.0/0 профили басып чыгаруу тапшырмасын акыркы чекитке чейин жеткирет, эгер андан такыраак маршрут айланып өтпөсө, ал эми wg-quick калган нерселердин баарын тоскон firewall эрежелерин орното алат.

Android'до VPNсиз туташууларды тоскон дайыма күйүк жөндөө — kill switch, ал эми ошол блоктун ичиндеги колдонмодон принтерлерди табуунун LAN жолу жок. «Ар бир колдонмо» жана өзгөчөлүктөр модели Android VPN барагында документтелген, ошондуктан бир нерсени өзгөртүүдөн мурун ошол жерден текшерүү керек: Android VPN туташуу колдонмосу. macOSтин акыркы версиялары жергиликтүү тармак уруксатын туннелден өзүнчө сурашат, iOS да жергиликтүү тармакка кирүү үчүн ошентет, бирок жеткирүүчүнүн клиенти субтармакты туннелдин ичине багыттагандыктан кезек туннел күйүк кезде да ишке ашпашы мүмкүн.

Кайсы клиентти колдонсоңуз да, өзгөчөлүктү бир дарек менен чектеңиз жана принтер чындап колдонгон эки же үч порт менен. Дарек жылышы мүмкүн болгондуктан, эрежени бүт субтармакка кеңейтүүнүн ордуна DHCP жалдоосун ээлеңиз.

Өзгөчөлүктү текшериңиз жана качан кайтарып алууну билиңиз

Өзгөртүүдөн кийин кайра туташып, үч нерсени ирети менен текшериңиз. Принтер өз портторунда жооп берет, зыянсыз сыноо барагы басылат, ал эми даректи издөө дагы эле ISPңиздин ордуна VPNдин акыркы чекитин кайтарат. Басып чыгаруу иштесе, бирок издөө ISPңизди көрсөтсө, сиз принтерден көбүрөөк ачтыңыз жана артка кайтышыңыз керек.

Кайра жүктөөдөн кийин жана ар кандай клиент же профиль жаңыртуусунан кийин тестти кайталаңыз, анткени жаңыртуулар демейкилерди жетиштүү тез-тез калыбына келтирет. Кийинки кайра туташууга чейин гана турган өзгөчөлүк — чечим эмес, убактылуу тешик. Так эрежени жазып коюңуз, ошондо аны атайын жок кыла аласыз.

Эгер түзмөк туннелге гана арналса, сапар ноутбугу же кардар маалыматтары бар машина, туура жооп — блокту кармап, башка жерде басып чыгаруу: PDF кылып сактап, телефондон же башка машинадан басып чыгарыңыз, же туннел маршруттай алган басып чыгаруу серверине жетиңиз. Бир тапшырма үчүн kill switchти өчүрүү чыныгы коргоону кичине ыңгайлуулукка алмаштырат.