Zasilno stikalo blokira vaš tiskalnik? Tri preverbe, ki jih opravite najprej

Vaš tiskalnik je deloval pred eno uro. Nato ste vklopili VPN in zdaj opravila stojijo v čakalni vrsti, dokler ne propadejo. Verjetni vzrok ni tiskalnik, ampak zasilno stikalo: zavrže promet, ki bi zapustil napravo zunaj tunela, in tiskalnik v lokalnem omrežju je natanko tak promet. Prava odločitev ni, kako popraviti tiskanje, ampak ali naj ta naprava sploh doseže lokalno omrežje. To odločijo trije pogoji in kateri koli od njih lahko razpravo konča prej.

Kaj zasilno stikalo zavrže in zakaj

Zasilno stikalo je pravilo usmerjanja s pripetim načinom okvare. Ko je tunel aktiven, ustrezni paketi odidejo šifrirani; ko tunel pade, odjemalec blokira privzeto pot, da nič ne odide v čistem besedilu. Tiskalnik v istem podomrežju se nikoli ne ujema s potjo tunela, zato se obravnava kot poskus pobega, čeprav promet nikoli ne zapusti stavbe.

Odkrivanje naredi simptom zmeden. Tiskalniki se oglašujejo prek multicast DNS na vratih 5353, in vrsta, prikazana v pogovornem oknu za dodajanje tiskalnika, se zgradi iz teh oglasov. Dokler je blokada aktivna, oglas morda ne prispe, zato tiskalnik izgine s seznama, čeprav se njegov naslov še odziva. IPP na 631, surovo tiskanje na 9100 in SMB na 445 so običajne storitve LAN brez kakršne koli poti skozi tunel.

Najprej dokažite, da je tiskalnik dosegljiv

Preden spremenite katero koli politiko, potrdite, da je tiskalnik zdrav, in potrdite naslov, za katerega mislite, da ga ima. Naslov preberite na plošči tiskalnika ali na njegovi lastni spletni strani. Zastarel vnos na seznamu operacijskega sistema lahko kaže na naslov, ki ga je DHCP pred tedni dodelil drugi napravi.

Odklopite VPN, nato preizkusite naslov in dve običajni tiskalniški vrati:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

V sistemu Windows je ustreznica Test-NetConnection 192.168.1.50 -Port 9100. Znova povežite VPN in ponovite. Če se vrata odzivajo z izklopljenim VPN in potečejo z vklopljenim, ste blokado poustvarili, ostalo pa je vprašanje politike. Če spodletijo v obeh stanjih, se ustavite: kriv je tiskalnik, segment Wi-Fi ali izolacija odjemalcev, izjema v VPN pa bi samo dodala izpostavljenost.

Trije pogoji, ki odločijo o dovoljenju ali blokadi

Izvajajte jih po vrsti. Prvi pogoj, ki spodleti, odloči izid, zato preostalih ni treba preizkusiti.

Gostobslužna omrežja so najjasnejši „ne”. V hotelskem segmentu je lokalno območje vsak drug gost, zato izjema, ki doseže vaš tiskalnik, doseže tudi njihove prenosnike. Tiskalnik, ki ni vaš, ni razlog za odpiranje tega segmenta.

Upravljane naprave so drugi „ne”. Ko profil skrbnika zahteva stalno vklopljen VPN z zaklepom, odjemalec po vsaki lokalni spremembi znova vzpostavi blokado, obhod pa lahko krši politiko, ki ste jo sprejeli. Zahtevajte podprto pot do lokalnih virov, namesto da urejate nastavitve, ki bodo prepisane.

Najmanjša izjema, ki jo podpira vaš odjemalec

Želite pravilo, omejeno na cilj za en naslov tiskalnika, ne splošnega stikala „dovoli lokalno”. Splošno stikalo običajno pokrije celotno zasebno območje in promet link-local, kar je veliko več, kot potrebuje ena tiskalniška vrsta, in vsako napravo v segmentu spremeni v enakovrednega partnerja, ki ste ga sprejeli.

Windows ponuja razdeljeno tuneliranje, nekatere različice pa tudi možnost lokalnega omrežja. Kjer je edina podprta pot vnos gostitelja, po dvigu tunela dodajte en naslov skozi fizični prehod, na primer route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, in ga po koncu seje izbrišite. WireGuard deluje drugače: AllowedIPs odloči, kaj vstopi v tunel, zato profil polnega tunela 0.0.0.0/0 odnese tiskalniško opravilo do končne točke, razen če ga bolj specifična pot obide, wg-quick pa lahko namesti pravila požarnega zidu, ki blokirajo vse ostalo.

V Androidu je nastavitev vedno vklopljeno, ki blokira povezave brez VPN, zasilno stikalo, in odkrivanje tiskalnika iz aplikacije znotraj te blokade nima poti do LAN. Model po aplikacijah in izjemah je dokumentiran na strani Android VPN, ki je mesto za preverjanje, preden karkoli spremenite:Vodnik po povezljivosti Android VPN. Novejše različice macOS zahtevajo dovoljenje za lokalno omrežje ločeno od tunela, iOS pa stori enako za dostop do lokalnega omrežja, a vrsta lahko še vedno spodleti z dvignjenim tunelom, ker odjemalec ponudnika usmeri podomrežje vanj.

Ne glede na to, katerega odjemalca uporabljate, ohranite izjemo na enem naslovu in na dveh ali treh vratih, ki jih tiskalnik dejansko uporablja. Rezervirajte najem DHCP, namesto da pravilo razširite na celotno podomrežje, ker se naslov lahko premakne.

Preverite izjemo in vedite, kdaj jo razveljaviti

Po spremembi se znova povežite in po vrsti preverite tri stvari. Tiskalnik se odziva na svojih vratih, natisne se neškodljiva preizkusna stran, in iskanje naslova še vedno vrne končno točko VPN namesto vašega ponudnika. Če tiskanje deluje, iskanje pa pokaže vašega ponudnika, ste odprli več kot tiskalnik in bi morali vrniti.

Preizkus ponovite po ponovnem zagonu in po vsaki posodobitvi odjemalca ali profila, ker posodobitve dovolj pogosto obnovijo privzete nastavitve. Izjema, ki zdrži le do naslednje povezave, ni odločitev, ampak začasna luknja. Zapišite natančno pravilo, da ga boste lahko namerno odstranili.

Če je naprava namenjena samo tunelu, potovalni prenosnik ali stroj s podatki strank, je pravi odgovor obdržati blokado in tiskati drugje: shranite v PDF in natisnite s telefona ali drugega stroja, ali dosezite tiskalniški strežnik, do katerega lahko tunel usmerja. Izklop zasilnega stikala za eno opravilo zamenja resnično zaščito za malo udobja.