Kill switch blochează imprimanta? Trei verificări de făcut mai întâi

Imprimanta ta funcționa acum o oră. Apoi ai pornit VPN-ul, iar acum lucrările stau în coadă până eșuează. Cauza probabilă nu este imprimanta, ci kill switch-ul: acesta aruncă traficul care ar ieși din mașină în afara tunelului, iar o imprimantă din LAN este exact acel tip de trafic. Decizia reală nu este cum să repari imprimarea, ci dacă acest dispozitiv ar trebui să ajungă deloc la rețeaua locală. Trei condiții rezolvă asta, iar oricare dintre ele poate încheia discuția mai devreme.

Ce aruncă kill switch-ul și de ce

Kill switch-ul este o regulă de rutare cu un mod de eșec atașat. Când tunelul este activ, pachetele potrivite ies criptate; când tunelul cade, clientul blochează ruta implicită ca nimic să nu iasă în text simplu. O imprimantă din aceeași subrețea nu se potrivește niciodată cu ruta tunelului, așa că este tratată ca o tentativă de evadare, deși traficul nu părăsește niciodată clădirea.

Descoperirea face simptomul confuz. Imprimantele se anunță prin DNS multicast pe portul 5353, iar coada afișată în dialogul de adăugare a imprimantei este construită din acele anunțuri. Cât timp blocarea este activă, anunțul poate să nu ajungă, așa că imprimanta dispare din listă deși adresa ei încă răspunde. IPP pe 631, imprimarea brută pe 9100 și SMB pe 445 sunt servicii obișnuite de LAN fără nicio cale prin tunel.

Dovedește mai întâi că imprimanta este accesibilă

Înainte de a schimba orice politică, confirmă că imprimanta este sănătoasă și confirmă adresa pe care crezi că o are. Citește adresa de pe panoul imprimantei sau de pe pagina ei web. O intrare veche în lista sistemului de operare poate indica o adresă pe care DHCP a dat-o altui dispozitiv acum câteva săptămâni.

Deconectează VPN-ul, apoi testează adresa și cele două porturi obișnuite de imprimare:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

În Windows, echivalentul este Test-NetConnection 192.168.1.50 -Port 9100. Reconectează VPN-ul și repetă. Dacă porturile răspund cu VPN-ul oprit și expiră cu el pornit, ai reprodus blocarea, iar restul este o chestiune de politică. Dacă eșuează în ambele stări, oprește-te: imprimanta, segmentul Wi-Fi sau izolarea clienților este vinovată, iar o excepție VPN ar adăuga doar expunere.

Trei condiții care decid permiterea sau blocarea

Rulează-le în ordine. Prima condiție care eșuează decide rezultatul, așa că următoarele nu mai trebuie testate.

Rețelele de oaspeți sunt cel mai clar „nu”. Într-un segment de hotel, intervalul local este fiecare alt oaspete, așa că o excepție care ajunge la imprimanta ta ajunge și la laptopurile lor. O imprimantă care nu este a ta nu este un motiv să deschizi acel segment.

Dispozitivele administrate sunt al doilea „nu”. Când un profil de administrator impune VPN mereu pornit cu blocare, clientul reafirmă blocarea după orice modificare locală, iar ocolirea poate încălca politica pe care ai acceptat-o. Cere o cale suportată pentru resurse locale în loc să editezi setări care vor fi suprascrise.

Cea mai mică excepție pe care o suportă clientul tău

Ce vrei este o regulă limitată la destinație pentru o singură adresă de imprimantă, nu un comutator general de „permite local”. Un comutator general acoperă de obicei întregul interval privat și traficul link-local, ceea ce este mult mai mult decât are nevoie o coadă de imprimare, și transformă fiecare dispozitiv din segment într-un partener pe care l-ai acceptat.

Windows expune tunelare divizată, iar unele versiuni expun și o opțiune de rețea locală. Acolo unde singura rută suportată este o intrare de gazdă, adaugă o singură adresă prin gateway-ul fizic după ce tunelul este activ, de exemplu route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, apoi șterge-o când sesiunea se încheie. WireGuard funcționează altfel: AllowedIPs decide ce intră în tunel, așa că un profil de tunel complet 0.0.0.0/0 duce lucrarea de imprimare la punctul final dacă o rută mai specifică nu o ocolește, iar wg-quick poate instala reguli de firewall care blochează tot restul.

Pe Android, setarea mereu activă care blochează conexiunile fără VPN este kill switch-ul, iar descoperirea imprimantei dintr-o aplicație din interiorul acelei blocări nu are nicio cale către LAN. Modelul per aplicație și de excluderi este documentat pe pagina VPN a Android, locul de verificat înainte de a schimba ceva:Ghid de conectivitate VPN pentru Android. Versiunile recente de macOS cer permisiunea pentru rețeaua locală separat de tunel, iar iOS face același lucru pentru accesul la rețeaua locală, totuși coada poate eșua cu tunelul activ pentru că clientul furnizorului rutează subrețeaua în el.

Indiferent de clientul pe care îl folosești, păstrează excepția la o singură adresă și la cele două sau trei porturi pe care imprimanta le folosește efectiv. Rezervă o concesiune DHCP în loc să extinzi regula la toată subrețeaua, pentru că adresa se poate muta.

Verifică excepția și știi când să o anulezi

După modificare, reconectează-te și verifică trei lucruri în ordine. Imprimanta răspunde pe porturile ei, se tipărește o pagină de test inofensivă, iar o căutare de adresă returnează în continuare punctul final VPN în locul furnizorului tău. Dacă imprimarea funcționează dar căutarea arată furnizorul tău, ai deschis mai mult decât imprimanta și ar trebui să revii.

Repetă testul după o repornire și după orice actualizare de client sau profil, pentru că actualizările restaurează valorile implicite destul de des ca să conteze. O excepție care rezistă doar până la următoarea conectare nu este o decizie, este o gaură temporară. Notează regula exactă ca să o poți elimina deliberat.

Dacă dispozitivul este destinat doar tunelului, un laptop de călătorie sau o mașină cu date de clienți, răspunsul corect este să păstrezi blocarea și să printezi în altă parte: salvează ca PDF și printează de pe un telefon sau de pe altă mașină, ori ajunge la un server de print către care tunelul poate ruta. Oprirea kill switch-ului pentru o singură lucrare schimbă o protecție reală pe un mic confort.