Wyłącznik awaryjny blokuje Twoją drukarkę? Trzy testy, które warto wykonać najpierw

Twoja drukarka działała godzinę temu. Potem włączyłeś VPN i teraz zadania stoją w kolejce, aż w końcu zawodzą. Prawdopodobną przyczyną nie jest drukarka, lecz wyłącznik awaryjny: przepuszcza on ruch, który opuściłby komputer poza tunelem, a drukarka w sieci LAN jest dokładnie takim ruchem. Prawdziwa decyzja nie dotyczy tego, jak naprawić drukowanie, ale tego, czy to urządzenie w ogóle powinno docierać do sieci lokalnej. Rozstrzygają to trzy warunki, a każdy z nich może zakończyć dyskusję wcześniej.

Co odrzuca wyłącznik awaryjny i dlaczego

Wyłącznik awaryjny to reguła routingu z dołączonym trybem awaryjnym. Gdy tunel działa, pasujące pakiety wychodzą zaszyfrowane; gdy tunel pada, klient blokuje trasę domyślną, aby nic nie wychodziło jawnym tekstem. Drukarka w tej samej podsieci nigdy nie pasuje do trasy tunelu, więc jest traktowana jako próba ucieczki, choć ruch nigdy nie opuszcza budynku.

Wykrywanie sprawia, że objaw jest mylący. Drukarki rozgłaszają się przez multicast DNS na porcie 5353, a kolejka widoczna w oknie dodawania drukarki jest budowana z tych ogłoszeń. Gdy blokada jest aktywna, ogłoszenie może nie dotrzeć, więc drukarka znika z listy, mimo że jej adres nadal odpowiada. IPP na porcie 631, drukowanie surowe na 9100 i SMB na 445 to zwykłe usługi sieci LAN bez żadnej drogi przez tunel.

Najpierw udowodnij, że drukarka jest osiągalna

Przed zmianą jakichkolwiek zasad potwierdź, że drukarka jest sprawna, i potwierdź adres, który jej przypisujesz. Odczytaj adres z panelu drukarki lub z jej własnej strony internetowej. Nieaktualny wpis na liście systemu operacyjnego może wskazywać adres, który DHCP przydzielił innemu urządzeniu tygodnie temu.

Odłącz VPN, a następnie przetestuj adres i dwa typowe porty drukowania:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

W systemie Windows odpowiednikiem jest Test-NetConnection 192.168.1.50 -Port 9100. Połącz się ponownie z VPN i powtórz test. Jeśli porty odpowiadają przy wyłączonym VPN i przekraczają limit czasu przy włączonym, odtworzyłeś blokadę, a reszta jest kwestią zasad. Jeśli zawodzą w obu stanach, zatrzymaj się: winna jest drukarka, segment Wi-Fi lub izolacja klientów, a wyjątek w VPN tylko zwiększyłby ekspozycję.

Trzy warunki, które decydują o zezwoleniu lub blokadzie

Sprawdzaj je po kolei. Pierwszy warunek, który zawiedzie, rozstrzyga wynik, więc kolejnych nie trzeba testować.

Sieci gościnne to najwyraźniejsze „nie”. W segmencie hotelowym zasięg lokalny to wszyscy pozostali goście, więc wyjątek, który dociera do Twojej drukarki, dociera też do ich laptopów. Drukarka, która nie jest Twoja, nie jest powodem, by otwierać ten segment.

Urządzenia zarządzane to drugie „nie”. Gdy profil administratora wymusza VPN zawsze włączony z blokadą, klient po każdej lokalnej zmianie przywraca blokadę, a obejście może naruszyć zasady, które zaakceptowałeś. Poproś o obsługiwaną ścieżkę do zasobów lokalnych zamiast edytować ustawienia, które zostaną nadpisane.

Najmniejszy wyjątek, jaki obsługuje Twój klient

Potrzebujesz reguły ograniczonej do celu dla jednego adresu drukarki, a nie ogólnego przełącznika „zezwól na lokalne”. Ogólny przełącznik obejmuje zwykle cały zakres prywatny i ruch link-local, czyli znacznie więcej, niż potrzebuje jedna kolejka wydruku, i czyni każde urządzenie w segmencie równorzędnym, które zaakceptowałeś.

Windows udostępnia dzielenie tunelu, a niektóre kompilacje udostępniają też opcję sieci lokalnej. Gdy jedyną obsługiwaną drogą jest wpis hosta, dodaj jeden adres przez fizyczną bramę po podniesieniu tunelu, na przykład route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, a po zakończeniu sesji go usuń. WireGuard działa inaczej: AllowedIPs decyduje o tym, co wchodzi do tunelu, więc profil pełnego tunelu 0.0.0.0/0 przenosi zadanie drukowania do punktu końcowego, chyba że bardziej szczegółowa trasa je omija, a wg-quick może zainstalować reguły zapory, które blokują wszystko inne.

W Androidzie ustawienie zawsze włączone, które blokuje połączenia bez VPN, to wyłącznik awaryjny, a wykrywanie drukarki z aplikacji wewnątrz tej blokady nie ma drogi do sieci LAN. Model per-app i wykluczeń opisano na stronie VPN Androida, którą warto sprawdzić przed zmianą czegokolwiek:Przewodnik po łączności VPN w Androidzie. Najnowsze wersje macOS proszą o zgodę na sieć lokalną osobno od tunelu, a iOS robi to samo w przypadku dostępu do sieci lokalnej, jednak kolejka nadal może zawodzić przy podniesionym tunelu, ponieważ klient dostawcy kieruje podsieć do niego.

Niezależnie od tego, którego klienta używasz, ogranicz wyjątek do jednego adresu i dwóch lub trzech portów, których drukarka faktycznie używa. Zarezerwuj dzierżawę DHCP, zamiast rozszerzać regułę na całą podsieć, ponieważ adres może się zmienić.

Zweryfikuj wyjątek i wiedz, kiedy go cofnąć

Po zmianie połącz się ponownie i sprawdź trzy rzeczy po kolei. Drukarka odpowiada na swoich portach, drukowana jest nieszkodliwa strona testowa, a wyszukiwanie adresu nadal zwraca punkt końcowy VPN, a nie Twojego dostawcę. Jeśli drukowanie działa, ale wyszukiwanie pokazuje Twojego dostawcę, otworzyłeś więcej niż drukarkę i powinieneś cofnąć zmianę.

Powtórz test po restarcie oraz po każdej aktualizacji klienta lub profilu, ponieważ aktualizacje wystarczająco często przywracają ustawienia domyślne. Wyjątek, który przetrwa tylko do następnego połączenia, nie jest decyzją, lecz tymczasową dziurą. Zapisz dokładną regułę, aby móc ją świadomie usunąć.

Jeśli urządzenie ma być wyłącznie tunelowe — laptop podróżny albo maszyna z danymi klientów — właściwą odpowiedzią jest zachowanie blokady i drukowanie gdzie indziej: zapisz do pliku PDF i wydrukuj z telefonu lub innej maszyny albo dotrzyj do serwera wydruku, do którego tunel potrafi kierować. Wyłączanie wyłącznika awaryjnego dla jednego zadania wymienia realną ochronę na drobną wygodę.