Kill switch menyekat pencetak anda? Tiga semakan yang perlu dibuat dahulu

Pencetak anda berfungsi sejam lalu. Kemudian anda menghidupkan VPN, dan kini kerja-kerja menunggu dalam baris gilir sehingga gagal. Punca yang mungkin bukan pencetak, tetapi kill switch: ia menggugurkan trafik yang akan keluar dari mesin di luar terowong, dan pencetak LAN memang trafik seperti itu. Keputusan sebenar bukan bagaimana membaiki percetakan, tetapi sama ada peranti ini patut mencapai rangkaian setempat sama sekali. Tiga syarat menentukan perkara itu, dan mana-mana satu daripadanya boleh menamatkan perbincangan lebih awal.

Apa yang digugurkan oleh kill switch dan mengapa

Kill switch ialah peraturan penghalaan dengan mod kegagalan yang terpasang. Semasa terowong aktif, paket yang sepadan keluar dalam bentuk disulitkan; apabila terowong tumbang, klien menyekat laluan lalai supaya tiada apa keluar dalam teks biasa. Pencetak pada subnet yang sama tidak pernah sepadan dengan laluan terowong, jadi ia dianggap cubaan melarikan diri walaupun trafik itu tidak pernah meninggalkan bangunan.

Penemuan menjadikan gejala itu mengelirukan. Pencetak mengiklankan diri melalui DNS multicast pada port 5353, dan baris gilir yang dipaparkan dalam dialog tambah pencetak dibina daripada iklan tersebut. Semasa sekatan aktif, iklan itu mungkin tidak tiba, jadi pencetak hilang daripada senarai walaupun alamatnya masih menjawab. IPP pada 631, percetakan mentah pada 9100 dan SMB pada 445 ialah perkhidmatan LAN biasa tanpa laluan terowong langsung.

Buktikan pencetak boleh dicapai dahulu

Sebelum menukar apa-apa dasar, pastikan pencetak sihat dan sahkan alamat yang anda fikir ia miliki. Baca alamat itu dari panel pencetak atau halaman webnya sendiri. Entri lapuk dalam senarai sistem pengendalian boleh menunjuk ke alamat yang diberikan DHCP kepada peranti lain beberapa minggu lalu.

Putuskan sambungan VPN, kemudian uji alamat itu dan dua port cetak biasa:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

Pada Windows, persamaannya ialah Test-NetConnection 192.168.1.50 -Port 9100. Sambung semula VPN dan ulangi. Jika port menjawab dengan VPN dimatikan dan tamat masa dengannya dihidupkan, anda telah menghasilkan semula sekatan itu dan selebihnya ialah persoalan dasar. Jika kedua-duanya gagal dalam kedua-dua keadaan, berhenti: pencetak, segmen Wi-Fi atau pengasingan klien yang bersalah, dan pengecualian VPN hanya akan menambah pendedahan.

Tiga syarat yang menentukan benarkan atau sekat

Jalankan semuanya mengikut urutan. Syarat pertama yang gagal menetapkan hasilnya, jadi yang seterusnya tidak perlu diuji.

Rangkaian tetamu ialah ‘tidak’ yang paling jelas. Pada segmen hotel, julat setempat ialah setiap tetamu lain, jadi pengecualian yang mencapai pencetak anda juga mencapai komputer riba mereka. Pencetak yang bukan milik anda bukan alasan untuk membuka segmen itu.

Peranti terurus ialah ‘tidak’ yang kedua. Apabila profil pentadbir menguatkuasakan VPN sentiasa aktif dengan kunci, klien menegaskan semula sekatan itu selepas apa-apa perubahan setempat, dan jalan pintas itu mungkin melanggar dasar yang anda terima. Mintalah laluan sumber setempat yang disokong dan bukan mengedit tetapan yang akan ditulis semula.

Pengecualian terkecil yang disokong oleh klien anda

Apa yang anda mahukan ialah peraturan terhad destinasi untuk satu alamat pencetak, bukan togol ‘benarkan setempat’ yang menyeluruh. Togol menyeluruh cenderung meliputi seluruh julat persendirian dan trafik pautan setempat, yang jauh lebih banyak daripada keperluan satu baris gilir cetak, dan ia menjadikan setiap peranti pada segmen itu sebagai rakan yang anda terima.

Windows menyediakan terowong berpisah, dan sesetengah binaan turut menyediakan pilihan rangkaian setempat. Jika satu-satunya laluan yang disokong ialah entri hos, tambah satu alamat melalui get laluan fizikal selepas terowong naik, contohnya route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, kemudian padamkannya apabila sesi tamat. WireGuard berbeza: AllowedIPs menentukan apa yang masuk ke terowong, jadi profil terowong penuh 0.0.0.0/0 membawa kerja cetak ke titik akhir melainkan laluan yang lebih khusus memintasnya, dan wg-quick boleh memasang peraturan firewall yang menyekat segala-galanya.

Pada Android, tetapan sentiasa aktif yang menyekat sambungan tanpa VPN ialah kill switch, dan penemuan pencetak daripada aplikasi di dalam sekatan itu tiada laluan LAN. Model setiap aplikasi dan pengecualian didokumenkan pada halaman Android VPN, iaitu tempat untuk diperiksa sebelum anda menukar apa-apa:Panduan sambungan Android VPN. Versi macOS terkini meminta kebenaran rangkaian setempat secara berasingan daripada terowong, dan iOS berbuat demikian untuk akses rangkaian setempat, namun baris gilir masih boleh gagal dengan terowong naik kerana klien vendor menghalakan subnet itu ke dalamnya.

Walau apa pun klien yang anda gunakan, hadkan pengecualian itu kepada satu alamat dan dua atau tiga port yang benar-benar digunakan oleh pencetak. Tempah pajakan DHCP dan bukan meluaskan peraturan kepada seluruh subnet kerana alamat itu mungkin berpindah.

Sahkan pengecualian itu dan tahu bila untuk membatalkannya

Selepas perubahan, sambung semula dan semak tiga perkara mengikut urutan. Pencetak menjawab pada portnya, halaman ujian yang tidak berbahaya dicetak, dan carian alamat masih mengembalikan titik akhir VPN dan bukan ISP anda. Jika percetakan berfungsi tetapi carian menunjukkan ISP anda, anda telah membuka lebih daripada pencetak dan patut kembali.

Ulangi ujian selepas but semula dan selepas apa-apa kemas kini klien atau profil, kerana kemas kini cukup kerap memulihkan tetapan lalai. Pengecualian yang kekal hanya sehingga sambungan seterusnya bukan keputusan, ia lubang sementara. Tuliskan peraturan tepat itu supaya anda boleh mengeluarkannya dengan sengaja.

Jika peranti itu bertujuan khas untuk terowong — komputer riba perjalanan atau mesin yang menyimpan data klien — jawapan yang betul ialah kekalkan sekatan itu dan cetak di tempat lain: simpan sebagai PDF dan cetak dari telefon atau mesin lain, atau capai pelayan cetak yang boleh dihalakan oleh terowong. Mematikan kill switch untuk satu kerja menukar perlindungan sebenar dengan sedikit kemudahan.