Аварийный выключатель блокирует принтер? Три проверки, которые стоит сделать сначала

Ваш принтер работал час назад. Потом вы включили VPN, и теперь задания стоят в очереди, пока не завершатся ошибкой. Вероятная причина — не принтер, а аварийный выключатель: он отбрасывает трафик, который уходил бы с машины за пределы туннеля, а принтер в локальной сети — как раз такой трафик. Настоящее решение не в том, как починить печать, а в том, должен ли этот компьютер вообще обращаться к локальной сети. Это решают три условия, и любое из них может закончить обсуждение досрочно.

Что отбрасывает аварийный выключатель и почему

Аварийный выключатель — это правило маршрутизации с прикреплённым режимом отказа. Пока туннель поднят, подходящие пакеты уходят зашифрованными; когда туннель падает, клиент блокирует маршрут по умолчанию, чтобы ничего не уходило открытым текстом. Принтер в той же подсети никогда не совпадает с маршрутом туннеля, поэтому считается попыткой обхода, хотя трафик никогда не покидает здание.

Обнаружение запутывает картину. Принтеры объявляют о себе через multicast DNS на порту 5353, и очередь в диалоге добавления принтера строится из этих объявлений. Пока блокировка активна, объявление может не дойти, и принтер исчезает из списка, хотя его адрес по-прежнему отвечает. IPP на порту 631, сырая печать на 9100 и SMB на 445 — обычные локальные службы, у которых вообще нет пути через туннель.

Сначала докажите, что принтер доступен

Прежде чем менять какие-либо правила, убедитесь, что принтер исправен, и подтвердите адрес, который вы считаете его адресом. Посмотрите адрес на панели принтера или на его собственной веб-странице. Устаревшая запись в списке операционной системы может указывать на адрес, который DHCP выдал другому устройству недели назад.

Отключите VPN, затем проверьте адрес и два обычных порта печати:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

В Windows аналог — Test-NetConnection 192.168.1.50 -Port 9100. Снова подключите VPN и повторите. Если порты отвечают при выключенном VPN и не отвечают при включённом, вы воспроизвели блокировку, а остальное — вопрос политики. Если они не работают в обоих состояниях, остановитесь: виноват принтер, сегмент Wi-Fi или изоляция клиентов, а исключение в VPN только добавит риска.

Три условия, решающие, разрешить или заблокировать

Проверяйте их по порядку. Первое невыполненное условие решает исход, так что остальные проверять не нужно.

Гостевые сети — самое ясное «нет». В гостиничном сегменте локальный диапазон — это все остальные гости, поэтому исключение, которое доходит до вашего принтера, доходит и до их ноутбуков. Принтер, который вам не принадлежит, не повод открывать этот сегмент.

Управляемые устройства — второе «нет». Когда профиль администратора требует постоянно включённый VPN с блокировкой, клиент восстанавливает блокировку после любого локального изменения, а обход может нарушить политику, которую вы приняли. Просите поддерживаемый путь к локальным ресурсам вместо правки настроек, которые будут перезаписаны.

Наименьшее исключение, которое поддерживает ваш клиент

Вам нужно правило, ограниченное одним адресом назначения для одного принтера, а не общий переключатель «разрешить локальную сеть». Общий переключатель обычно охватывает весь частный диапазон и link-local трафик, что гораздо больше, чем нужно одной очереди печати, и превращает каждое устройство в сегменте в равноправного участника, которого вы приняли.

Windows предоставляет раздельное туннелирование, а некоторые сборки — ещё и параметр локальной сети. Там, где единственный поддерживаемый путь — запись узла, добавьте один адрес через физический шлюз после поднятия туннеля, например route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, а по окончании сеанса удалите её. WireGuard работает иначе: AllowedIPs решает, что попадает в туннель, поэтому профиль полного туннеля 0.0.0.0/0 несёт задание печати до конечной точки, если только более конкретный маршрут не обходит его, а wg-quick может установить правила межсетевого экрана, блокирующие всё остальное.

В Android параметр «всегда включено», который блокирует подключения без VPN, и есть аварийный выключатель, а обнаружение принтера из приложения внутри этой блокировки не имеет пути в локальную сеть. Модель с настройками для каждого приложения и исключениями описана на странице VPN для Android, и именно там стоит смотреть, прежде чем что-то менять:Руководство по подключению VPN в Android. Последние версии macOS запрашивают разрешение на локальную сеть отдельно от туннеля, и iOS делает то же самое для доступа к локальной сети, но очередь всё равно может не работать при поднятом туннеле, потому что клиент поставщика направляет подсеть в него.

Какой бы клиент вы ни использовали, оставьте исключение для одного адреса и двух-трёх портов, которые принтер действительно использует. Зарезервируйте аренду DHCP, а не расширяйте правило на всю подсеть, потому что адрес может измениться.

Проверьте исключение и знайте, когда его отменить

После изменения подключитесь снова и проверьте три вещи по порядку. Принтер отвечает на своих портах, печатается безвредная тестовая страница, а поиск адреса по-прежнему возвращает конечную точку VPN, а не вашего провайдера. Если печать работает, но поиск показывает провайдера, вы открыли больше, чем принтер, и стоит всё вернуть.

Повторите проверку после перезагрузки и после любого обновления клиента или профиля, потому что обновления достаточно часто восстанавливают настройки по умолчанию. Исключение, которое держится только до следующего подключения, — не решение, а временная дыра. Запишите точное правило, чтобы вы могли удалить его осознанно.

Если устройство предназначено только для туннеля — ноутбук в поездке или машина с данными клиентов, — правильный ответ — оставить блокировку и печатать в другом месте: сохранить в PDF и распечатать с телефона или другой машины, либо добраться до сервера печати, до которого туннель умеет маршрутизировать. Отключение аварийного выключателя ради одного задания меняет настоящую защиту на небольшое удобство.