Núdzový vypínač blokuje tlačiareň? Tri kontroly, ktoré treba urobiť najprv

Vaša tlačiareň pred hodinou fungovala. Potom ste zapli VPN a teraz úlohy stoja v rade, kým nezlyhajú. Pravdepodobná príčina nie je tlačiareň, ale núdzový vypínač: zahadzuje prevádzku, ktorá by opustila počítač mimo tunela, a tlačiareň v LAN je presne taká prevádzka. Skutočné rozhodnutie nie je, ako opraviť tlač, ale či by toto zariadenie vôbec malo dosiahnuť lokálnu sieť. Rozhodujú o tom tri podmienky a ktorákoľvek z nich môže diskusiu ukončiť skôr.

Čo núdzový vypínač zahadzuje a prečo

Núdzový vypínač je pravidlo smerovania s pripojeným režimom zlyhania. Keď je tunel aktívny, zodpovedajúce pakety odchádzajú zašifrované; keď tunel padne, klient zablokuje predvolenú trasu, aby nič neodchádzalo v čistom texte. Tlačiareň v tej istej podsieti nikdy nezodpovedá trase tunela, takže sa považuje za pokus o únik, hoci prevádzka nikdy neopustí budovu.

Zisťovanie robí príznak mätúcim. Tlačiarne sa ohlasujú cez multicast DNS na porte 5353 a rad v dialógu pridania tlačiarne sa zostavuje z týchto oznámení. Kým je blokáda aktívna, oznámenie nemusí doraziť, takže tlačiareň zmizne zo zoznamu, hoci jej adresa stále odpovedá. IPP na 631, surová tlač na 9100 a SMB na 445 sú bežné služby LAN bez akejkoľvek cesty cez tunel.

Najprv dokážte, že tlačiareň je dostupná

Pred zmenou akýchkoľvek pravidiel potvrďte, že tlačiareň je v poriadku, a potvrďte adresu, o ktorej si myslíte, že ju má. Prečítajte adresu z panela tlačiarne alebo z jej vlastnej webovej stránky. Zastaraný záznam v zozname operačného systému môže ukazovať na adresu, ktorú DHCP pridelil inému zariadeniu pred týždňami.

Odpojte VPN, potom otestujte adresu a dva bežné tlačové porty:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

V systéme Windows je ekvivalentom Test-NetConnection 192.168.1.50 -Port 9100. Znova pripojte VPN a zopakujte. Ak porty odpovedajú s vypnutou VPN a s vypršaným časom s ňou zapnutou, blokádu ste reprodukovali a zvyšok je otázka pravidiel. Ak zlyhajú v oboch stavoch, zastavte sa: na vine je tlačiareň, segment Wi-Fi alebo izolácia klientov a výnimka vo VPN by len pridala expozíciu.

Tri podmienky, ktoré rozhodujú o povolení alebo zablokovaní

Robte ich v poradí. Prvá podmienka, ktorá zlyhá, rozhodne výsledok, takže ďalšie netreba testovať.

Siete pre hostí sú najjasnejšie „nie”. V hotelovom segmente je lokálny rozsah každý ďalší hosť, takže výnimka, ktorá dosiahne vašu tlačiareň, dosiahne aj ich notebooky. Tlačiareň, ktorá nie je vaša, nie je dôvod otvoriť ten segment.

Spravované zariadenia sú druhé „nie”. Keď profil správcu vyžaduje stále zapnutú VPN so zámkom, klient po každej lokálnej zmene obnoví blokádu a obchádzka môže porušiť pravidlá, ktoré ste prijali. Požiadajte o podporovanú cestu k lokálnym zdrojom namiesto úpravy nastavení, ktoré budú prepísané.

Najmenšia výnimka, ktorú váš klient podporuje

Chcete pravidlo obmedzené na cieľ pre jednu adresu tlačiarne, nie všeobecný prepínač „povoliť lokálne”. Všeobecný prepínač zvyčajne pokrýva celý súkromný rozsah a link-local prevádzku, čo je omnoho viac, ako jedna tlačová fronta potrebuje, a každé zariadenie v segmente mení na rovnocenného partnera, ktorého ste prijali.

Windows ponúka rozdelené tunelovanie a niektoré zostavy ponúkajú aj možnosť lokálnej siete. Tam, kde je jedinou podporovanou cestou záznam hostiteľa, pridajte jednu adresu cez fyzickú bránu po zdvihnutí tunela, napríklad route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, a po skončení relácie ju vymažte. WireGuard funguje inak: AllowedIPs rozhoduje o tom, čo vstúpi do tunela, takže profil plného tunela 0.0.0.0/0 prenesie tlačovú úlohu až ku koncovému bodu, ak ju neobíde konkrétnejšia trasa, a wg-quick môže nainštalovať pravidlá firewallu, ktoré zablokujú všetko ostatné.

V Androide je nastavenie vždy zapnuté, ktoré blokuje pripojenia bez VPN, núdzový vypínač, a zisťovanie tlačiarne z aplikácie v tejto blokáde nemá cestu do LAN. Model podľa aplikácií a výnimiek je zdokumentovaný na stránke Android VPN, čo je miesto na kontrolu pred akoukoľvek zmenou:Sprievodca pripojením Android VPN. Najnovšie verzie macOS žiadajú povolenie pre lokálnu sieť oddelene od tunela a iOS robí to isté pre prístup k lokálnej sieti, no front môže stále zlyhať so zdvihnutým tunelom, pretože klient dodávateľa smeruje podsieť doň.

Nech už používate akéhokoľvek klienta, obmedzte výnimku na jednu adresu a dva alebo tri porty, ktoré tlačiareň skutočne používa. Rezervujte si DHCP prenájom namiesto rozširovania pravidla na celú podsieť, pretože adresa sa môže zmeniť.

Overte výnimku a vedzte, kedy ju zrušiť

Po zmene sa znova pripojte a skontrolujte tri veci v poradí. Tlačiareň odpovedá na svojich portoch, vytlačí sa neškodná testovacia stránka a vyhľadanie adresy stále vracia koncový bod VPN, nie vášho poskytovateľa. Ak tlač funguje, ale vyhľadanie ukazuje vášho poskytovateľa, otvorili ste viac než tlačiareň a mali by ste to vrátiť.

Test zopakujte po reštarte a po každej aktualizácii klienta alebo profilu, pretože aktualizácie dostatočne často obnovujú predvolené hodnoty. Výnimka, ktorá vydrží len do ďalšieho pripojenia, nie je rozhodnutie, je to dočasná diera. Zapíšte si presné pravidlo, aby ste ho mohli zámerne odstrániť.

Ak je zariadenie určené len na tunel — cestovný notebook alebo stroj s dátami klientov — správna odpoveď je zachovať blokádu a tlačiť inde: uložte do PDF a vytlačte z telefónu alebo iného stroja, alebo dosiahnite tlačový server, na ktorý tunel dokáže smerovať. Vypnutie núdzového vypínača pre jednu úlohu vymení skutočnú ochranu za malé pohodlie.