Сигурносни прекидач блокира ваш штампач? Три провере које прво треба урадити
Сигурносни прекидач намерно блокира саобраћај штампача. Урадите три провере да одлучите да ли је ограничени изузетак за локалну мрежу оправдан, и задржите га на једној адреси.
Ваш штампач је радио пре сат времена. Затим сте укључили VPN, и сада послови стоје у реду чекања док не пропадну. Вероватан узрок није штампач, него сигурносни прекидач: он одбацује саобраћај који би отишао са машине изван тунела, а LAN штампач је управо такав саобраћај. Права одлука није како поправити штампу, него да ли овај уређај уопште треба да достигне локалну мрежу. То решавају три услова, и било који од њих може завршити расправу раније.
Шта сигурносни прекидач одбацује и зашто
Сигурносни прекидач је правило рутирања са прикаченим режимом квара. Док је тунел активан, одговарајући пакети излазе шифровани; када тунел падне, клијент блокира подразумевану руту тако да ништа не изађе у чистом тексту. Штампач на истој подмрежи никада се не поклапа са рутом тунела, па се третира као покушај бекства, иако саобраћај никада не напушта зграду.
Откривање чини симптом збуњујућим. Штампачи се оглашавају преко multicast DNS-а на порту 5353, а ред приказан у дијалогу за додавање штампача гради се из тих огласа. Док је блокада активна, оглас можда не стигне, па штампач нестаје са листе иако његова адреса још одговара. IPP на 631, сирова штампа на 9100 и SMB на 445 су обичне LAN услуге без икаквог пута кроз тунел.
Прво докажите да је штампач доступан
Пре него што промените било коју политику, потврдите да је штампач здрав и потврдите адресу за коју мислите да је има. Прочитајте адресу са панела штампача или са његове сопствене веб странице. Застарео унос на листи оперативног система може показивати на адресу коју је DHCP доделио другом уређају пре неколико недеља.
Искључите VPN, затим тестирајте адресу и два уобичајена порта за штампу:
nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631На Windows-у еквивалент је Test-NetConnection 192.168.1.50 -Port 9100. Поново се повежите на VPN и поновите. Ако портови одговарају са искљученим VPN-ом и истичу са укљученим, репродуковали сте блокаду и остало је питање политике. Ако не успеју у оба стања, зауставите се: крив је штампач, Wi-Fi сегмент или изолација клијената, а VPN изузетак би само додао изложеност.
Три услова која одлучују дозволити или блокирати
Извршите их по реду. Први услов који не успе одлучује исход, па остале не треба тестирати.
| Condition | Allow a scoped exception | Keep the block |
|---|---|---|
| Who owns the network | Home or single-tenant office where you control the segment | Hotel, cafe or shared Wi-Fi where the printer is not yours |
| Who owns the device policy | Personal device with no enforced profile | Managed profile that enforces always-on VPN |
| What the device carries | Nothing another LAN peer must not reach | Client data that must not touch an untrusted segment |
Гостујуће мреже су најјасније „не“. На хотелском сегменту локални опсег су сви остали гости, па изузетак који достигне ваш штампач достигне и њихове лаптопове. Штампач који није ваш није разлог да отворите тај сегмент.
Управљани уређаји су друго „не“. Када администраторски профил захтева стално укључен VPN са закључавањем, клијент поново успоставља блокаду након сваке локалне промене, а заобилазно решење може прекршити политику коју сте прихватили. Затражите подржан пут за локалне ресурсе уместо да мењате поставке које ће бити преписане.
Најмањи изузетак који ваш клијент подржава
Оно што желите је правило ограничено на одредиште за једну адресу штампача, а не општи прекидач „дозволи локално“. Општи прекидач обично покрива цео приватни опсег и link-local саобраћај, што је много више него што једној штампарској листи треба, и претвара сваки уређај на сегменту у равноправног учесника којег сте прихватили.
Windows нуди подељено тунелирање, а неке верзије нуде и опцију локалне мреже. Када је једини подржани пут унос хоста, додајте једну адресу кроз физички гејтвеј након што се тунел подигне, на пример route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, а затим је избришите када се сесија заврши. WireGuard ради другачије: AllowedIPs одлучује шта улази у тунел, па профил потпуног тунела 0.0.0.0/0 носи посао штампе до крајње тачке осим ако га заобилази специфичнија рута, а wg-quick може инсталирати firewall правила која блокирају све остало.
На Android-у поставка стално укључено која блокира везе без VPN-а је сигурносни прекидач, а откривање штампача из апликације унутар те блокаде нема никакав пут до LAN-а. Модел по апликацији и изузецима документован је на Android VPN страници, коју треба проверити пре него што било шта промените:Водич за Android VPN повезивање. Нове macOS верзије траже дозволу за локалну мрежу одвојено од тунела, а iOS чини исто за приступ локалној мрежи, али ред и даље може пропасти са подигнутим тунелом јер клијент добављача рутира подмрежу у њега.
Који год клијент да користите, задржите изузетак на једној адреси и на два или три порта која штампач заиста користи. Резервишите DHCP закуп уместо да проширите правило на целу подмрежу, јер се адреса може померити.
Проверите изузетак и знајте када га поништити
Након промене поново се повежите и проверите три ствари по реду. Штампач одговара на својим портовима, одштампа се безопасна пробна страница, а претрага адресе и даље враћа VPN крајњу тачку уместо вашег провајдера. Ако штампа ради али претрага показује вашег провајдера, отворили сте више од штампача и треба да поништите.
Поновите тест након поновног покретања и након сваког ажурирања клијента или профила, јер ажурирања довољно често враћају подразумеване вредности. Изузетак који траје само до следеће везе није одлука, то је привремена рупа. Запишите тачно правило да бисте га могли намерно уклонити.
Ако је уређај намењен само тунелу, путни лаптоп или машина са подацима клијената, исправан одговор је задржати блокаду и штампати негде другде: сачувајте као PDF и одштампајте са телефона или друге машине, или достигните print сервер до којег тунел може да рутира. Искључивање сигурносног прекидача за један посао мења стварну заштиту за мало удобности.