Blokkeert de killswitch uw printer? Drie controles die u eerst moet doen

Uw printer werkte een uur geleden nog. Toen zette u de VPN aan, en nu blijven taken in de wachtrij staan tot ze mislukken. De waarschijnlijke oorzaak is niet de printer, maar de killswitch: die laat verkeer vallen dat de machine buiten de tunnel zou verlaten, en een LAN-printer is precies zulk verkeer. De echte beslissing is niet hoe u het afdrukken repareert, maar of dit apparaat het lokale netwerk überhaupt mag bereiken. Drie voorwaarden beslechten dat, en elk daarvan kan de discussie vroegtijdig beëindigen.

Wat de killswitch laat vallen en waarom

Een killswitch is een routeringsregel met een faalmodus eraan vast. Zolang de tunnel actief is, verlaten overeenkomende pakketten de machine versleuteld; valt de tunnel weg, dan blokkeert de client de standaardroute volledig zodat er niets in platte tekst naar buiten gaat. Een printer op hetzelfde subnet matcht nooit de tunnelroute, dus wordt hij als ontsnappingspoging behandeld, ook al verlaat het verkeer nooit het gebouw.

Detectie maakt het symptoom verwarrend. Printers adverteren via multicast-DNS op poort 5353, en de wachtrij in het dialoogvenster voor printers toevoegen wordt uit die advertenties opgebouwd. Zolang de blokkade actief is, komt de advertentie mogelijk niet aan, waardoor de printer uit de lijst verdwijnt terwijl het adres nog steeds antwoordt. IPP op 631, raw printing op 9100 en SMB op 445 zijn gewone LAN-diensten zonder enige tunnelroute.

Bewijs eerst dat de printer bereikbaar is

Bevestig voordat u beleid wijzigt dat de printer gezond is en bevestig het adres waarvan u denkt dat hij het heeft. Lees het adres van het printerpaneel of de eigen webpagina. Een verouderde vermelding in de lijst van het besturingssysteem kan wijzen naar een adres dat DHCP weken geleden aan een ander apparaat gaf.

Koppel de VPN los en test dan het adres en de twee gangbare afdrukpoorten:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

Op Windows is het equivalent Test-NetConnection 192.168.1.50 -Port 9100. Maak opnieuw verbinding met de VPN en herhaal. Antwoorden de poorten met de VPN uit en lopen ze met de VPN aan in een time-out, dan hebt u de blokkade gereproduceerd en is de rest een beleidsvraag. Mislukken ze in beide toestanden, stop dan: de printer, het Wi-Fi-segment of clientisolatie is de oorzaak, en een VPN-uitzondering zou alleen blootstelling toevoegen.

Drie voorwaarden die toestaan of blokkeren beslissen

Voer ze in volgorde uit. De eerste voorwaarde die faalt beslist de uitkomst, dus de latere hoeven niet te worden getest.

Gastnetwerken zijn het duidelijkste nee. Op een hotelsegment is het lokale bereik elke andere gast, dus een uitzondering die uw printer bereikt, bereikt ook hun laptops. Een printer die niet van u is, is geen reden om dat segment te openen.

Beheerde apparaten zijn het tweede nee. Wanneer een beheerdersprofiel altijd-aan-VPN met lockdown afdwingt, herstelt de client de blokkade na elke lokale wijziging, en de omweg kan het beleid schenden dat u hebt geaccepteerd. Vraag om een ondersteunde route voor lokale bronnen in plaats van instellingen te bewerken die worden overschreven.

De kleinste uitzondering die uw client ondersteunt

Wat u wilt is een op bestemming begrensde regel voor één printeradres, niet een algemene schakelaar 'lokaal toestaan'. Een algemene schakelaar dekt doorgaans het hele privébereik en link-local verkeer, wat veel meer is dan één afdrukwachtrij nodig heeft, en hij maakt elk apparaat op het segment tot een peer die u hebt geaccepteerd.

Windows biedt split tunnelling, en sommige builds bieden ook een lokale-netwerkoptie. Waar de enige ondersteunde route een hostvermelding is, voegt u één adres via de fysieke gateway toe nadat de tunnel actief is, bijvoorbeeld route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, en verwijdert u het weer als de sessie eindigt. WireGuard werkt anders: AllowedIPs bepaalt wat de tunnel in gaat, dus een full-tunnelprofiel met 0.0.0.0/0 draagt de afdruktaak naar het eindpunt, tenzij een specifiekere route eromheen gaat, en wg-quick kan firewallregels installeren die al het overige blokkeren.

Op Android is de altijd-aan-instelling die verbindingen zonder de VPN blokkeert de killswitch, en printerdetectie vanuit een app binnen die blokkade heeft geen LAN-route. Het model met per-app en uitsluitingen staat gedocumenteerd op de Android-VPN-pagina, de plek om te controleren voordat u iets wijzigt:Gids voor Android-VPN-connectiviteit. Recente macOS-versies vragen lokale-netwerkmachtiging apart van de tunnel, en iOS doet hetzelfde voor toegang tot het lokale netwerk, toch kan de wachtrij nog falen met de tunnel actief omdat de client van de leverancier het subnet erin routeert.

Welke client u ook gebruikt, houd de uitzondering bij één adres en de twee of drie poorten die de printer daadwerkelijk gebruikt. Reserveer een DHCP-lease in plaats van de regel te verbreden naar het hele subnet, omdat het adres kan verschuiven.

Controleer de uitzondering en weet wanneer u haar moet terugdraaien

Maak na de wijziging opnieuw verbinding en controleer drie dingen in volgorde. De printer antwoordt op zijn poorten, er wordt een onschuldige testpagina afgedrukt, en een adresopzoeking levert nog steeds het VPN-eindpunt op in plaats van uw provider. Als afdrukken werkt maar de opzoeking uw provider toont, hebt u meer geopend dan de printer en moet u terugdraaien.

Herhaal de test na een herstart en na elke client- of profielupdate, omdat updates de standaardwaarden vaak genoeg herstellen om ertoe te doen. Een uitzondering die alleen tot de volgende verbinding standhoudt is geen beslissing, het is een tijdelijk gat. Schrijf de exacte regel op zodat u haar bewust kunt verwijderen.

Als het apparaat bedoeld is als tunnel-only, een reislaptop of een machine met klantgegevens, dan is het juiste antwoord de blokkade te behouden en elders af te drukken: sla op als PDF en druk af vanaf een telefoon of een andere machine, of bereik een afdrukserver waar de tunnel naartoe kan routeren. De killswitch voor één taak uitschakelen ruilt echte bescherming in voor een klein gemak.