Ar ryšio nutraukimo jungiklis blokuoja jūsų spausdintuvą? Trys patikros, kurias verta atlikti pirmiausia

Jūsų spausdintuvas veikė prieš valandą. Tada įjungėte VPN, ir dabar užduotys stovi eilėje, kol galiausiai žlunga. Tikėtina priežastis – ne spausdintuvas, o ryšio nutraukimo jungiklis: jis numeta srautą, kuris išeitų iš įrenginio už tunelio ribų, o vietinio tinklo spausdintuvas yra būtent toks srautas. Tikrasis sprendimas – ne kaip sutaisyti spausdinimą, o ar šis įrenginys apskritai turi pasiekti vietinį tinklą. Tai nusprendžia trys sąlygos, ir bet kuri iš jų gali užbaigti svarstymą anksčiau.

Ką ryšio nutraukimo jungiklis numeta ir kodėl

Ryšio nutraukimo jungiklis yra maršrutizavimo taisyklė su įmontuotu gedimo scenarijumi. Kol tunelis veikia, atitinkantys paketai iškeliauja užšifruoti; kai tunelis nutrūksta, klientas užblokuoja numatytąjį maršrutą, kad niekas neišeitų atviru tekstu. Spausdintuvas tame pačiame potinklyje niekada neatitinka tunelio maršruto, todėl traktuojamas kaip bandymas ištrūkti, nors srautas niekada nepalieka pastato.

Aptikimas dar labiau painioja simptomą. Spausdintuvai skelbiasi per daugialypės transliacijos DNS 5353 prievadu, o spausdintuvo pridėjimo dialoge rodoma eilė sudaroma iš tų skelbimų. Kol blokavimas aktyvus, skelbimas gali neateiti, todėl spausdintuvas dingsta iš sąrašo, nors jo adresas vis dar atsako. IPP 631 prievadu, neapdorotas spausdinimas 9100 ir SMB 445 yra įprastos vietinio tinklo paslaugos, neturinčios jokio kelio per tunelį.

Pirmiausia įsitikinkite, kad spausdintuvas pasiekiamas

Prieš keisdami bet kokią politiką įsitikinkite, kad spausdintuvas sveikas, ir patikrinkite adresą, kurį, jūsų manymu, jis turi. Adresą nuskaitykite nuo spausdintuvo skydelio arba jo paties interneto puslapio. Pasenęs įrašas operacinės sistemos sąraše gali rodyti adresą, kurį DHCP prieš kelias savaites atidavė kitam įrenginiui.

Atjunkite VPN, tada patikrinkite adresą ir du įprastus spausdinimo prievadus:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

Windows sistemoje atitikmuo yra Test-NetConnection 192.168.1.50 -Port 9100. Vėl prisijunkite prie VPN ir pakartokite. Jei prievadai atsako išjungus VPN ir neatsako įjungus, blokavimą atkūrėte, o visa kita yra politikos klausimas. Jei jie nepavyksta abiem atvejais, sustokite: kaltas spausdintuvas, „Wi-Fi“ segmentas arba klientų izoliacija, o VPN išimtis tik padidintų riziką.

Trys sąlygos, lemiančios leisti ar blokuoti

Atlikite jas iš eilės. Pirmoji nepavykusi sąlyga nusprendžia baigtį, todėl vėlesnių tikrinti nereikia.

Svečių tinklai yra aiškiausias „ne“. Viešbučio segmente vietinis diapazonas yra visi kiti svečiai, tad išimtis, pasiekianti jūsų spausdintuvą, pasiekia ir jų nešiojamus kompiuterius. Spausdintuvas, kuris ne jums priklauso, nėra priežastis atverti tą segmentą.

Valdomi įrenginiai yra antras „ne“. Kai administratoriaus profilis reikalauja nuolatinio VPN su užraktu, klientas po bet kokio vietinio pakeitimo vėl įjungia blokavimą, o apėjimas gali pažeisti jūsų priimtą politiką. Prašykite palaikomo vietinių išteklių kelio, o ne redaguokite nustatymų, kurie bus perrašyti.

Mažiausia išimtis, kurią palaiko jūsų klientas

Jums reikia taisyklės, apribotos vienu paskirties adresu vienam spausdintuvui, o ne bendro „leisti vietinį“ jungiklio. Bendras jungiklis dažniausiai apima visą privatų diapazoną ir nuorodos vietinį srautą, ko vienai spausdinimo eilei visiškai nereikia, ir paverčia kiekvieną segmento įrenginį kolega, kurį priėmėte.

Windows siūlo atskirtą tunelizavimą, o kai kurios versijos – ir vietinio tinklo parinktį. Kai vienintelis palaikomas kelias yra pagrindinio kompiuterio įrašas, po tunelio įjungimo pridėkite vieną adresą per fizinį tinklo sietuvą, pavyzdžiui, route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, o sesijai pasibaigus jį ištrinkite. WireGuard veikia kitaip: AllowedIPs nusprendžia, kas patenka į tunelį, todėl viso tunelio 0.0.0.0/0 profilis neša spausdinimo užduotį į galinį tašką, nebent konkretesnis maršrutas jį apeina, o wg-quick gali įdiegti užkardos taisykles, blokuojančias visa kita.

Android sistemoje nuolatinis nustatymas, blokuojantis ryšius be VPN, yra ryšio nutraukimo jungiklis, o spausdintuvo aptikimas iš programos, veikiančios už to bloko, apskritai neturi kelio į vietinį tinklą. Atskirų programų ir išimčių modelis aprašytas Android VPN puslapyje, kurį verta patikrinti prieš ką nors keičiant:Android VPN ryšio vadovas. Naujausiose macOS versijose vietinio tinklo leidimas prašomas atskirai nuo tunelio, o iOS daro tą patį dėl prieigos prie vietinio tinklo, tačiau eilė vis tiek gali nepavykti, kai tunelis įjungtas, nes tiekėjo klientas nukreipia potinklį į jį.

Nesvarbu, kokį klientą naudojate, išimtį apribokite vienu adresu ir dviem ar trimis prievadais, kuriuos spausdintuvas iš tikrųjų naudoja. Rezervuokite DHCP nuomą, o ne plėskite taisyklę visam potinkliui, nes adresas gali pasikeisti.

Patikrinkite išimtį ir žinokite, kada ją atšaukti

Po pakeitimo vėl prisijunkite ir iš eilės patikrinkite tris dalykus. Spausdintuvas atsako savo prievadais, atspausdinamas nekenksmingas bandomasis puslapis, o adreso užklausa vis dar grąžina VPN galinį tašką, o ne jūsų ISP. Jei spausdinimas veikia, bet užklausa rodo jūsų ISP, atvėrėte daugiau nei spausdintuvą ir turėtumėte viską grąžinti.

Pakartokite bandymą po perkrovimo ir po bet kokio kliento ar profilio atnaujinimo, nes atnaujinimai pakankamai dažnai grąžina numatytuosius nustatymus. Išimtis, kuri išlieka tik iki kito prisijungimo, yra ne sprendimas, o laikina spraga. Užsirašykite tikslią taisyklę, kad galėtumėte ją sąmoningai pašalinti.

Jei įrenginys skirtas tik tuneliui – kelioninis nešiojamasis kompiuteris arba mašina, laikanti kliento duomenis – teisingas atsakymas yra palikti blokavimą ir spausdinti kitur: išsaugoti į PDF ir spausdinti iš telefono ar kito kompiuterio arba pasiekti spausdinimo serverį, kurį tunelis gali maršrutizuoti. Išjungus ryšio nutraukimo jungiklį vienai užduočiai, tikroji apsauga iškeičiama į nedidelį patogumą.