Naudstoppen blokkerer skrivaren? Tre sjekkar du bør gjere først

Skrivaren din fungerte for ein time sidan. Så slo du på VPN-en, og no står jobbane i køen til dei feilar. Den sannsynlege årsaka er ikkje skrivaren, men naudstoppen: han slepp trafikk som ville gå frå maskina utanfor tunnelen, og ein LAN-skrivar er nettopp slik trafikk. Det eigentlege valet er ikkje korleis du fiksar utskrift, men om denne eininga i det heile skal nå det lokale nettverket. Tre vilkår avgjer det, og kva som helst av dei kan avslutte diskusjonen tidleg.

Kva naudstoppen slepp og kvifor

Ein naudstopp er ein ruteregel med ein feilmodus fest til seg. Når tunnelen er oppe, går samsvarande pakkar frå maskina kryptert; når tunnelen fell, svartelistar klienten standardruta slik at ingenting går ut i klartekst. Ein skrivar på same subnett samsvarar aldri med tunnelruta, så han blir handsama som eit fluktforsøk sjølv om trafikken aldri forlèt bygningen.

Oppdaginga gjer symptomet forvirrande. Skrivarar annonserer over multicast-DNS på port 5353, og køen som blir vist i dialogen for å leggje til skrivar, blir bygd frå desse annonsane. Medan blokkeringa er aktiv, kan annonsen utebli, så skrivaren forsvinn frå lista sjølv om adressa framleis svarar. IPP på 631, rå utskrift på 9100 og SMB på 445 er vanlege LAN-tenester heilt utan tunnelveg.

Prov først at skrivaren er tilgjengeleg

Før du endrar nokon policy, stadfest at skrivaren er frisk og stadfest adressa du trur han har. Les adressa frå skrivarpanelet eller den eigne nettsida hans. Ei utdatert oppføring i lista til operativsystemet kan peike på ei adresse som DHCP gav ei anna eining for veker sidan.

Kopla frå VPN-en, og test deretter adressa og dei to vanlege utskriftsportane:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

På Windows er ekvivalenten Test-NetConnection 192.168.1.50 -Port 9100. Kopla til VPN-en igjen og gjenta. Svarar portane med VPN-en av og går dei ut på tid med han på, har du gjenskapt blokkeringa, og resten er eit policy-spørsmål. Feilar dei i begge tilstandar, stopp: skrivaren, Wi-Fi-segmentet eller klientisolering er årsaka, og eit VPN-unntak ville berre auke eksponeringa.

Tre vilkår som avgjer tillate eller blokkere

Køyr dei i rekkefølgje. Det første vilkåret som feilar avgjer utfallet, så dei seinare treng ikkje testast.

Gjestenettverk er det klåraste nei. På eit hotellsegment er det lokale området alle andre gjester, så eit unntak som når skrivaren din, når også dei berbare maskinene deira. Ein skrivar du ikkje eig er ikkje grunn til å opne det segmentet.

Administrerte einingar er det andre nei. Når ein administratorprofil handhevar alltid-på VPN med låsing, gjenopprettar klienten blokkeringa etter kvar lokal endring, og omvegen kan bryte policyen du godtok. Be om ein støtta veg for lokale ressursar i staden for å redigere innstillingar som blir overskrivne.

Det minste unntaket klienten din støttar

Det du vil ha er ein destinasjonsavgrensa regel for éi skrivaradresse, ikkje ein generell «tillat lokalt»-brytar. Ein generell brytar dekkjer gjerne heile det private området og link-lokal trafikk, som er langt meir enn éin utskriftskø treng, og han gjer kvar eining på segmentet til ein likemann du har godteke.

Windows tilbyr delt tunnellering, og nokre bygg tilbyr også eit lokalnettval. Der den einaste støtta vegen er ei vertsoppføring, legg til éi adresse gjennom den fysiske gatewayen etter at tunnelen er oppe, til dømes route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, og slett ho når økta er over. WireGuard verkar annleis: AllowedIPs avgjer kva som kjem inn i tunnelen, så ein full-tunnel-profil med 0.0.0.0/0 ber utskriftsjobben til endepunktet med mindre ei meir spesifikk rute går utanom, og wg-quick kan installere brannmurreglar som blokkerer alt anna.

På Android er den alltid-på-innstillinga som blokkerer tilkoplingar utan VPN-en, naudstoppen, og skrivaroppdaging frå ein app inne i den blokkeringa har ingen LAN-veg. Modellen med per-app og unntak er dokumentert på Android VPN-sida, som er staden å sjekke før du endrar noko:Rettleiing for Android VPN-tilkopling. Nyare macOS-versjonar ber om lokalnett-løyve separat frå tunnelen, og iOS gjer det same for lokalnettsåtgang, men køen kan framleis feile med tunnelen oppe fordi klienten til leverandøren rutar subnettet inn i han.

Uansett kva klient du brukar, hald unntaket til éi adresse og dei to eller tre portane skrivaren faktisk brukar. Reserver ein DHCP-lease i staden for å utvide regelen til heile subnettet, fordi adressa kan flytte på seg.

Verifiser unntaket og vit når du skal angre det

Etter endringa, kopla til igjen og sjekk tre ting i rekkefølgje. Skrivaren svarar på portane sine, ei ufarleg testside blir skriven ut, og eit adresseoppslag returnerer framleis VPN-endepunktet i staden for ISP-en din. Viss utskrift verkar men oppslaget viser ISP-en din, opna du meir enn skrivaren og bør tilbakestille.

Gjenta testen etter ein omstart og etter kvar klient- eller profiloppdatering, sidan oppdateringar gjenopprettar standardinnstillingar ofte nok til å bety noko. Eit unntak som berre varer til neste tilkopling er ikkje ei avgjerd, det er eit mellombels hol. Skriv ned den nøyaktige regelen så du kan fjerne han med vilje.

Viss eininga er meint å vere tunnel-only, ein reiselaptop eller ei maskin som held klientdata, er det rette svaret å behalde blokkeringa og skrive ut ein annan stad: lagre som PDF og skriv ut frå ein telefon eller ei anna maskin, eller nå ein utskriftsserver tunnelen kan rute til. Å slå av naudstoppen for éin jobb byter ei reell vern mot litt komfort.