Kill switch blokira vaš štampač? Tri provjere koje prvo treba uraditi

Vaš štampač je radio prije sat vremena. Zatim ste uključili VPN, i sada poslovi stoje u redu čekanja dok ne propadnu. Vjerovatan uzrok nije štampač, nego kill switch: on odbacuje saobraćaj koji bi otišao s mašine izvan tunela, a LAN štampač je upravo takav saobraćaj. Prava odluka nije kako popraviti štampanje, nego da li ovaj uređaj uopšte treba da dosegne lokalnu mrežu. To rješavaju tri uslova, i bilo koji od njih može završiti raspravu ranije.

Šta kill switch odbacuje i zašto

Kill switch je pravilo rutiranja sa prikačenim režimom kvara. Dok je tunel aktivan, odgovarajući paketi izlaze šifrovani; kada tunel padne, klijent blokira podrazumijevanu rutu tako da ništa ne izađe u čistom tekstu. Štampač na istoj podmreži nikada se ne poklapa sa rutom tunela, pa se tretira kao pokušaj bijega, iako saobraćaj nikada ne napušta zgradu.

Otkrivanje čini simptom zbunjujućim. Štampači se oglašavaju preko multicast DNS-a na portu 5353, a red prikazan u dijalogu za dodavanje štampača gradi se iz tih oglasa. Dok je blokada aktivna, oglas možda ne stigne, pa štampač nestaje s liste iako njegova adresa još odgovara. IPP na 631, sirovo štampanje na 9100 i SMB na 445 su obične LAN usluge bez ikakvog puta kroz tunel.

Prvo dokažite da je štampač dostupan

Prije nego promijenite bilo koju politiku, potvrdite da je štampač zdrav i potvrdite adresu za koju mislite da je ima. Pročitajte adresu s panela štampača ili s njegove vlastite web stranice. Zastario unos na listi operativnog sistema može pokazivati na adresu koju je DHCP dodijelio drugom uređaju prije nekoliko sedmica.

Isključite VPN, zatim testirajte adresu i dva uobičajena porta za štampanje:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

Na Windowsu je ekvivalent Test-NetConnection 192.168.1.50 -Port 9100. Ponovo se povežite na VPN i ponovite. Ako portovi odgovaraju s isključenim VPN-om i ističu s uključenim, reproducirali ste blokadu i ostalo je pitanje politike. Ako ne uspiju u oba stanja, zaustavite se: kriv je štampač, Wi-Fi segment ili izolacija klijenata, a VPN izuzetak bi samo dodao izloženost.

Tri uslova koji odlučuju dopustiti ili blokirati

Izvršite ih po redu. Prvi uslov koji ne uspije odlučuje ishod, pa ostale ne treba testirati.

Gostujuće mreže su najjasnije „ne“. Na hotelskom segmentu lokalni opseg su svi ostali gosti, pa izuzetak koji dosegne vaš štampač dosegne i njihove laptopove. Štampač koji nije vaš nije razlog da otvorite taj segment.

Upravljani uređaji su drugo „ne“. Kada administratorski profil zahtijeva stalno uključen VPN sa zaključavanjem, klijent ponovo uspostavlja blokadu nakon svake lokalne promjene, a zaobilazno rješenje može prekršiti politiku koju ste prihvatili. Zatražite podržan put za lokalne resurse umjesto da mijenjate postavke koje će biti prepisane.

Najmanji izuzetak koji vaš klijent podržava

Ono što želite je pravilo ograničeno na odredište za jednu adresu štampača, a ne opšti prekidač „dozvoli lokalno“. Opšti prekidač obično pokriva cijeli privatni opseg i link-local saobraćaj, što je mnogo više nego što jednoj štamparskoj listi treba, i pretvara svaki uređaj na segmentu u ravnopravnog učesnika kojeg ste prihvatili.

Windows nudi podijeljeno tuneliranje, a neke verzije nude i opciju lokalne mreže. Kada je jedini podržani put unos hosta, dodajte jednu adresu kroz fizički gateway nakon što se tunel podigne, na primjer route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, a zatim je izbrišite kada sesija završi. WireGuard radi drugačije: AllowedIPs odlučuje šta ulazi u tunel, pa profil potpunog tunela 0.0.0.0/0 nosi posao štampanja do krajnje tačke osim ako ga zaobilazi specifičnija ruta, a wg-quick može instalirati firewall pravila koja blokiraju sve ostalo.

Na Androidu je postavka stalno uključeno koja blokira veze bez VPN-a kill switch, a otkrivanje štampača iz aplikacije unutar te blokade nema nikakav put do LAN-a. Model po aplikaciji i izuzecima dokumentovan je na Android VPN stranici, koju treba provjeriti prije nego što bilo šta promijenite:Vodič za Android VPN povezivanje. Novije macOS verzije traže dozvolu za lokalnu mrežu odvojeno od tunela, a iOS čini isto za pristup lokalnoj mreži, no red i dalje može propasti s podignutim tunelom jer klijent dobavljača rutira podmrežu u njega.

Koji god klijent da koristite, zadržite izuzetak na jednoj adresi i na dva ili tri porta koja štampač zaista koristi. Rezervišite DHCP zakup umjesto da proširite pravilo na cijelu podmrežu, jer se adresa može pomjeriti.

Provjerite izuzetak i znajte kada ga poništiti

Nakon promjene ponovo se povežite i provjerite tri stvari po redu. Štampač odgovara na svojim portovima, odštampa se bezopasna probna stranica, a pretraga adrese i dalje vraća VPN krajnju tačku umjesto vašeg provajdera. Ako štampanje radi ali pretraga pokazuje vašeg provajdera, otvorili ste više od štampača i treba da poništite.

Ponovite test nakon ponovnog pokretanja i nakon svakog ažuriranja klijenta ili profila, jer ažuriranja dovoljno često vraćaju zadane vrijednosti. Izuzetak koji traje samo do sljedeće veze nije odluka, to je privremena rupa. Zapišite tačno pravilo da biste ga mogli namjerno ukloniti.

Ako je uređaj namijenjen samo tunelu, putni laptop ili mašina sa podacima klijenata, ispravan odgovor je zadržati blokadu i štampati negdje drugo: sačuvajte kao PDF i odštampajte s telefona ili druge mašine, ili dosegnite print server do kojeg tunel može rutirati. Isključivanje kill switcha za jedan posao mijenja stvarnu zaštitu za malo udobnosti.