Na tlač cez VPN nepotrebujete objavovanie Bonjour

Pravdepodobne vám povedali, že tlač z iPhonu cez VPN vyžaduje, aby tunelom prešlo objavovanie Bonjour. Toto presvedčenie ženie ľudí k TAP mostom a multicastovým opakovačom, ktoré nič neopravia. AirPrint prijíma explicitný cieľ: konfiguračný profil môže telefónu odovzdať adresu tlačiarne, cestu k zdroju a port. Objavovanie nemusí nikdy nastať, aby sa táto položka objavila v tlačovom liste. Čo profil nerobí, je vytvorenie trasy, prinútenie tlačiarne bez AirPrint hovoriť IPP alebo autorizácia úlohy.

Mýtus začína pravdivým pozorovaním

Bonjour je už zo svojej podstaty link-local multicast. Smerovaný tunel bod-bod tieto skupiny neprenáša, takže telefón na VPN nemôže prehliadať tlačiarne vo vzdialenej LAN a notebook v tom istom tuneli tiež nie. Správny záver nie je, že tlač potrebuje most; správny záver je, že prehliadanie potrebuje iný mechanizmus doručovania, a explicitný zoznam je tým mechanizmom.

Multicastové opakovače existujú a niektoré siete ich dobre prevádzkujú, ale riešia požiadavku na objavovanie, ktorú mať nemusíte. Ak má nasadenie tlačiť len na jedno schválené zariadenie, publikovanie tohto zariadenia je menšie, testovateľné a omnoho ľahšie odvolateľné než rozširovanie broadcastovej domény cez tunel.

Čo profil v skutočnosti nesie

Profil com.apple.airprint obsahuje pole slovníkov tlačiarní. Každý slovník preberá IPAddress, čo môže byť doslovná adresa alebo názov hostiteľa, ďalej ResourcePath, voliteľný Port a voliteľný ForceTLS. Apple dokumentuje Port a ForceTLS od iOS 11, takže zmiešaná flotila to musí mať vyjasnené pred zavedením.

Cesta je pole, ktoré ľudia hádajú. ResourcePath zrkadlí hodnotu rp v zázname Bonjour tlačiarne _ipps._tcp alebo _ipp._tcp. Pri moderných tlačiarňach bez ovládačov býva často ipp/print, pri starších často špecifická pre výrobcu. Skopírovanie cesty z iného modelu vytvorí front, ktorý sa objaví a potom odmietne každú úlohu.

Položka v poli vyzerá takto, so zástupnými hodnotami, ktoré nie sú otestovaným koncovým bodom:

<dict>
    <key>ResourcePath</key>
    <string>ipp/print</string>
    <key>IPAddress</key>
    <string>printer-07.office.example</string>
    <key>Port</key>
    <integer>8631</integer>
    <key>ForceTLS</key>
    <true/>
</dict>

Tento fragment nie je profil. Je to jeden prvok poľa AirPrint vnútri profilu a profil stále potrebuje vlastné metadáta plus podpisovanie alebo doručenie cez MDM. Slovník tlačiarne AirPrint je referenciou k významom polí.

Zbierajte hodnoty z tlačiarne, nie z výsledku vyhľadávania

Na Macu, ktorý už na zariadenie tlačí, ippfind alebo dns-sd -B _ipp._tcp zobrazí inzerovanú inštanciu a webové rozhranie tlačiarne zvyčajne uvádza cestu IPP a port. Zapíšte všetky štyri hodnoty do poznámky k nasadeniu, aby ich nasledujúci človek nemusel znova odvodzovať zo snímky obrazovky.

Potom sa vedome rozhodnite o TLS. Keď je ForceTLS pravda, telefón musí dôverovať certifikátu, ktorý tlačiareň predkladá, a certifikát podpísaný sám sebou zlyhá, ak tiež nenasadíte koreň dôvery. Vypnutie TLS, aby front fungoval, je rozhodnutie o sieťovej trase, nie obchádzka nepohodlného certifikátu.

Doručenie, potom dve opačné poruchy

Doručte profil svojím kanálom správy zariadení, kde existuje, a ručne nainštalovaný profil na pracovnom telefóne berte ako výnimku, ktorou je. Po inštalácii by sa tlačiareň mala objaviť v tlačovom liste úplne bez prevádzky objavovania. Toto objavenie je jediná vec, ktorú mal profil kedy zaručiť.

Tlačiareň, ktorá sa objaví, ale každú úlohu odmietne, má problém s trasou, portom, cestou alebo TLS, a žiadny z nich profil nerieši.

Tlačiareň, ktorá sa nikdy neobjaví, má namiesto toho problém s doručením alebo profilom: profil sa nenainštaloval, pole je poškodené alebo hodnota nezodpovedá zariadeniu. Znovu si prečítajte hodnoty a cieľové zariadenie, než sa dotknete VPN. Pridanie opakovača objavovania na opravu problému so zoznamom je drahá chyba, pretože zoznam nikdy nezávisel od objavovania.

Udržujte položku udržiavateľnou

Uprednostnite názov hostiteľa pred doslovnou adresou tam, kde kontrolujete zónu, aby zmena adresy neznehodnotila každý nainštalovaný profil. Tento názov hostiteľa sa musí z telefónu preložiť, kým je tunel aktívny, čo ho vracia do rozhovoru o split-DNS, nie o tlači.

Zapíšte vlastníka tlačiarne a vlastníka profilu do záznamu o nasadení. Keď sa front presunie, cielene aktualizujte publikovaný cieľ, pretože stará položka sama nevyprší a ďalej nasmerúva používateľov na vyradené zariadenie.

Nič z toho neurobí tlačiareň schopnou AirPrint. Profil publikuje cieľ a zariadenie stále musí hovoriť IPP.