Vai savienojuma pārtraukšanas slēdzis bloķē jūsu printeri? Trīs pārbaudes, kas jāveic vispirms

Jūsu printeris darbojās pirms stundas. Tad jūs ieslēdzāt VPN, un tagad darbi stāv rindā, līdz tie neizdodas. Visticamākais iemesls ir nevis printeris, bet savienojuma pārtraukšanas slēdzis: tas nomet datplūsmu, kas no ierīces izietu ārpus tuneļa, un vietējā tīkla printeris ir tieši šāda datplūsma. Īstais lēmums nav par to, kā salabot drukāšanu, bet par to, vai šai ierīcei vispār jāsasniedz vietējais tīkls. To izšķir trīs nosacījumi, un jebkurš no tiem var pārtraukt diskusiju agrāk.

Ko savienojuma pārtraukšanas slēdzis nomet un kāpēc

Savienojuma pārtraukšanas slēdzis ir maršrutēšanas noteikums ar iebūvētu atteices režīmu. Kad tunelis ir aktīvs, atbilstošie paketi iziet šifrēti; kad tunelis nokrīt, klients bloķē noklusējuma maršrutu, lai nekas neizietu atklātā tekstā. Printeris tajā pašā apakštīklā nekad neatbilst tuneļa maršrutam, tāpēc tas tiek uzskatīts par bēgšanas mēģinājumu, lai gan datplūsma nekad neatstāj ēku.

Atklāšana padara simptomu mulsinošu. Printeri reklamējas ar multiraides DNS portā 5353, un printera pievienošanas dialogā redzamā rinda tiek veidota no šīm reklāmām. Kamēr bloķēšana ir aktīva, reklāma var nenākt, tāpēc printeris pazūd no saraksta, lai gan tā adrese joprojām atbild. IPP portā 631, neapstrādāta drukāšana portā 9100 un SMB portā 445 ir parasti vietējā tīkla pakalpojumi bez jebkāda ceļa caur tuneli.

Vispirms pārliecinieties, ka printeris ir sasniedzams

Pirms jebkuras politikas maiņas pārliecinieties, ka printeris ir vesels, un pārbaudiet adresi, kāda tam, jūsuprāt, ir. Nolasiet adresi no printera paneļa vai tā paša tīmekļa lapas. Novecojis ieraksts operētājsistēmas sarakstā var norādīt uz adresi, ko DHCP pirms vairākām nedēļām piešķīra citai ierīcei.

Atvienojiet VPN, pēc tam pārbaudiet adresi un divus ierastos drukāšanas portus:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

Operētājsistēmā Windows atbilstošā komanda ir Test-NetConnection 192.168.1.50 -Port 9100. Atkal pievienojieties VPN un atkārtojiet. Ja porti atbild ar izslēgtu VPN un neatbild ar ieslēgtu, jūs esat atkārtojuši bloķēšanu, un viss pārējais ir politikas jautājums. Ja tie neizdodas abos stāvokļos, apstājieties: vainīgs ir printeris, Wi-Fi segments vai klientu izolācija, un VPN izņēmums tikai palielinātu risku.

Trīs nosacījumi, kas izšķir atļaut vai bloķēt

Veiciet tos pēc kārtas. Pirmais nosacījums, kas neizdodas, izšķir iznākumu, tāpēc pārējie nav jāpārbauda.

Viesu tīkli ir visskaidrākais „nē”. Viesnīcas segmentā vietējais diapazons ir visi pārējie viesi, tāpēc izņēmums, kas sasniedz jūsu printeri, sasniedz arī viņu portatīvos datorus. Printeris, kas nepieder jums, nav iemesls atvērt šo segmentu.

Pārvaldītās ierīces ir otrais „nē”. Kad administratora profils pieprasa pastāvīgu VPN ar bloķēšanu, klients pēc jebkuras vietējas izmaiņas atkal ieslēdz bloķēšanu, un apiešanas risinājums var pārkāpt jūsu pieņemto politiku. Lūdziet atbalstītu vietējo resursu ceļu, nevis rediģējiet iestatījumus, kas tiks pārrakstīti.

Mazākais izņēmums, ko atbalsta jūsu klients

Jums vajag noteikumu, kas ierobežots ar vienu galamērķa adresi vienam printerim, nevis vispārīgu „atļaut vietējo” slēdzi. Vispārīgs slēdzis parasti aptver visu privāto diapazonu un saites vietējo datplūsmu, kas vienai drukas rindai ir krietni par daudz, un tas pārvērš katru segmenta ierīci par pieņemtu partneri.

Windows piedāvā atdalītu tunelēšanu, un dažas versijas piedāvā arī vietējā tīkla opciju. Ja vienīgais atbalstītais ceļš ir resursdatora ieraksts, pēc tuneļa ieslēgšanas pievienojiet vienu adresi caur fizisko vārteju, piemēram, route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, un pēc sesijas beigām to izdzēsiet. WireGuard darbojas citādi: AllowedIPs izlemj, kas nonāk tunelī, tāpēc pilna tuneļa 0.0.0.0/0 profils aiznes drukas darbu uz galapunktu, ja vien to neapiet konkrētāks maršruts, un wg-quick var uzstādīt ugunsmūra noteikumus, kas bloķē visu pārējo.

Operētājsistēmā Android pastāvīgais iestatījums, kas bloķē savienojumus bez VPN, ir savienojuma pārtraukšanas slēdzis, un printera atklāšanai no lietotnes aiz šī bloka nav nekāda ceļa uz vietējo tīklu. Atsevišķu lietotņu un izņēmumu modelis ir aprakstīts Android VPN lapā, kurā jāielūkojas pirms jebkādu izmaiņu veikšanas:Android VPN savienojamības rokasgrāmata. Jaunākajās macOS versijās vietējā tīkla atļauja tiek prasīta atsevišķi no tuneļa, un iOS dara to pašu attiecībā uz piekļuvi vietējam tīklam, taču rinda joprojām var neizdoties ar ieslēgtu tuneli, jo piegādātāja klients novirza apakštīklu tajā.

Lai kādu klientu jūs izmantotu, ierobežojiet izņēmumu ar vienu adresi un diviem vai trim portiem, ko printeris faktiski izmanto. Rezervējiet DHCP nomu, nevis paplašiniet noteikumu uz visu apakštīklu, jo adrese var mainīties.

Pārbaudiet izņēmumu un ziniet, kad to atcelt

Pēc izmaiņām atkal pievienojieties un pēc kārtas pārbaudiet trīs lietas. Printeris atbild savos portos, tiek izdrukāta nekaitīga pārbaudes lapa, un adreses vaicājums joprojām atgriež VPN galapunktu, nevis jūsu ISP. Ja drukāšana darbojas, bet vaicājums rāda jūsu ISP, jūs atvērāt vairāk nekā printeri, un jums vajadzētu visu atgriezt.

Atkārtojiet pārbaudi pēc pārstartēšanas un pēc jebkura klienta vai profila atjauninājuma, jo atjauninājumi pietiekami bieži atjauno noklusējuma iestatījumus. Izņēmums, kas pastāv tikai līdz nākamajai pievienošanai, nav lēmums, bet gan īslaicīga bedre. Pierakstiet precīzo noteikumu, lai to varētu apzināti noņemt.

Ja ierīce ir paredzēta tikai tunelim — ceļojumu portatīvais dators vai mašīna ar klienta datiem — pareizā atbilde ir saglabāt bloķēšanu un drukāt citur: saglabājiet PDF un drukājiet no tālruņa vai citas mašīnas, vai sasniedziet drukas serveri, uz kuru tunelis var maršrutēt. Savienojuma pārtraukšanas slēdža izslēgšana vienam darbam apmaina reālu aizsardzību pret nelielu ērtību.