O kill switch está bloqueando sua impressora? Três verificações para fazer primeiro

Sua impressora funcionava há uma hora. Então você ligou a VPN, e agora os trabalhos ficam na fila até falharem. A causa provável não é a impressora, mas o kill switch: ele descarta o tráfego que sairia da máquina fora do túnel, e uma impressora na LAN é exatamente esse tipo de tráfego. A decisão real não é como consertar a impressão, mas se este dispositivo deve alcançar a rede local. Três condições resolvem isso, e qualquer uma delas pode encerrar a discussão cedo.

O que o kill switch descarta e por quê

O kill switch é uma regra de rota com um modo de falha acoplado. Com o túnel ativo, os pacotes correspondentes saem criptografados; quando o túnel cai, o cliente bloqueia a rota padrão para que nada saia em texto simples. Uma impressora na mesma sub-rede nunca corresponde à rota do túnel, então é tratada como tentativa de fuga, ainda que o tráfego nunca deixe o prédio.

A descoberta torna o sintoma confuso. As impressoras anunciam por DNS multicast na porta 5353, e a fila mostrada na caixa de diálogo de adicionar impressora é montada a partir desses anúncios. Enquanto o bloqueio está ativo, o anúncio pode não chegar, então a impressora some da lista mesmo que o endereço ainda responda. IPP na 631, impressão bruta na 9100 e SMB na 445 são serviços comuns de LAN sem nenhum caminho pelo túnel.

Primeiro prove que a impressora está acessível

Antes de mudar qualquer política, confirme que a impressora está saudável e confirme o endereço que você acha que ela tem. Leia o endereço no painel da impressora ou na página web dela. Uma entrada obsoleta na lista do sistema operacional pode apontar para um endereço que o DHCP entregou a outro dispositivo semanas atrás.

Desconecte a VPN e teste o endereço e as duas portas de impressão comuns:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

No Windows, o equivalente é Test-NetConnection 192.168.1.50 -Port 9100. Reconecte a VPN e repita. Se as portas responderem com a VPN desligada e derem tempo esgotado com ela ligada, você reproduziu o bloqueio e o resto é uma questão de política. Se falharem nos dois estados, pare: a impressora, o segmento Wi-Fi ou o isolamento de clientes é o culpado, e uma exceção na VPN só aumentaria a exposição.

Três condições que decidem permitir ou bloquear

Execute-as em ordem. A primeira condição que falhar resolve o resultado, então as seguintes não precisam ser testadas.

Redes de hóspedes são o ‘não’ mais claro. Em um segmento de hotel, o intervalo local é todo outro hóspede, então uma exceção que alcança sua impressora também alcança os notebooks deles. Uma impressora que não é sua não é motivo para abrir esse segmento.

Dispositivos gerenciados são o segundo ‘não’. Quando um perfil de administrador impõe VPN sempre ativa com lockdown, o cliente restabelece o bloqueio após qualquer mudança local, e a gambiarra pode violar a política que você aceitou. Peça um caminho de recurso local suportado em vez de editar configurações que serão sobrescritas.

A menor exceção que seu cliente suporta

O que você quer é uma regra limitada ao destino para um endereço de impressora, não um botão geral de ‘permitir local’. Um botão geral costuma cobrir toda a faixa privada e o tráfego link-local, o que é muito mais do que uma fila de impressão precisa, e transforma cada dispositivo do segmento em um par que você aceitou.

O Windows expõe tunelamento dividido, e algumas compilações também expõem uma opção de rede local. Onde a única rota suportada é uma entrada de host, adicione um endereço pelo gateway físico depois que o túnel estiver ativo, por exemplo route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, e exclua-o quando a sessão terminar. O WireGuard funciona de outro jeito: AllowedIPs decide o que entra no túnel, então um perfil de túnel completo 0.0.0.0/0 leva o trabalho de impressão até o endpoint, a menos que uma rota mais específica o contorne, e o wg-quick pode instalar regras de firewall que bloqueiam todo o resto.

No Android, a configuração sempre ativa que bloqueia conexões sem a VPN é o kill switch, e a descoberta de impressoras a partir de um app dentro desse bloqueio não tem caminho para a LAN. O modelo por app e de exclusões está documentado na página de VPN do Android, que é o lugar a consultar antes de mudar qualquer coisa:Guia de conectividade VPN do Android. Versões recentes do macOS pedem permissão de rede local separadamente do túnel, e o iOS faz o mesmo para acesso à rede local, mas a fila ainda pode falhar com o túnel ativo porque o cliente do fornecedor encaminha a sub-rede para dentro dele.

Seja qual for o cliente que você use, mantenha a exceção em um único endereço e nas duas ou três portas que a impressora realmente usa. Reserve uma concessão DHCP em vez de ampliar a regra para toda a sub-rede, porque o endereço pode mudar.

Verifique a exceção e saiba quando desfazê-la

Depois da mudança, reconecte e verifique três coisas em ordem. A impressora responde nas portas, uma página de teste inofensiva é impressa, e uma consulta de endereço ainda retorna o endpoint da VPN em vez do seu provedor. Se a impressão funciona mas a consulta mostra seu provedor, você abriu mais do que a impressora e deve reverter.

Repita o teste após reiniciar e após qualquer atualização de cliente ou perfil, porque as atualizações restauram padrões com frequência suficiente para importar. Uma exceção que dura só até a próxima conexão não é uma decisão, é um buraco temporário. Anote a regra exata para poder removê-la de propósito.

Se o dispositivo é para ser somente túnel, um notebook de viagem ou uma máquina com dados de clientes, a resposta certa é manter o bloqueio e imprimir em outro lugar: salve em PDF e imprima de um telefone ou de outra máquina, ou alcance um servidor de impressão para o qual o túnel consiga rotear. Desligar o kill switch para um trabalho troca uma proteção real por um pequeno conforto.