คิลสวิตช์บล็อกเครื่องพิมพ์ของคุณอยู่หรือเปล่า? สามการตรวจสอบที่ควรทำก่อน
คิลสวิตช์บล็อกทราฟฟิกของเครื่องพิมพ์โดยเจตนา ทำการตรวจสอบสามข้อเพื่อตัดสินว่าข้อยกเว้นสำหรับเครือข่ายท้องถิ่นแบบจำกัดนั้นสมเหตุสมผลหรือไม่ และจำกัดไว้ที่ที่อยู่เดียว
เครื่องพิมพ์ของคุณทำงานได้เมื่อชั่วโมงก่อน จากนั้นคุณเปิด VPN และตอนนี้งานพิมพ์ก็ค้างอยู่ในคิวจนกระทั่งล้มเหลว สาเหตุน่าจะไม่ใช่เครื่องพิมพ์ แต่เป็นคิลสวิตช์: มันทิ้งทราฟฟิกที่จะออกจากเครื่องไปนอกอุโมงค์ และเครื่องพิมพ์ใน LAN ก็เป็นทราฟฟิกแบบนั้น การตัดสินใจที่แท้จริงไม่ใช่ว่าจะซ่อมการพิมพ์อย่างไร แต่คืออุปกรณ์นี้ควรเข้าถึงเครือข่ายท้องถิ่นหรือไม่ สามเงื่อนไขตัดสินเรื่องนี้ และเงื่อนไขใดเงื่อนไขหนึ่งก็สามารถยุติการถกเถียงได้ตั้งแต่ต้น
คิลสวิตช์ทิ้งอะไรและเพราะอะไร
คิลสวิตช์คือกฎการกำหนดเส้นทางที่ผูกโหมดความล้มเหลวไว้ด้วย เมื่ออุโมงค์ทำงาน แพ็กเก็ตที่ตรงเงื่อนไขจะออกไปแบบเข้ารหัส เมื่ออุโมงค์ล่ม ไคลเอนต์จะบล็อกเส้นทางเริ่มต้นเพื่อไม่ให้มีอะไรออกไปในรูปแบบข้อความธรรมดา เครื่องพิมพ์ในซับเน็ตเดียวกันไม่เคยตรงกับเส้นทางของอุโมงค์ จึงถูกมองว่าเป็นความพยายามหลบหนี แม้ทราฟฟิกจะไม่ออกจากอาคารเลย
การค้นหาทำให้อาการสับสน เครื่องพิมพ์ประกาศตัวผ่าน multicast DNS ที่พอร์ต 5353 และคิวที่แสดงในกล่องโต้ตอบเพิ่มเครื่องพิมพ์สร้างจากประกาศเหล่านั้น ขณะที่การบล็อกทำงานอยู่ ประกาศอาจมาไม่ถึง เครื่องพิมพ์จึงหายไปจากรายการแม้ที่อยู่ยังตอบกลับ IPP ที่พอร์ต 631 การพิมพ์ดิบที่ 9100 และ SMB ที่ 445 เป็นบริการ LAN ธรรมดาที่ไม่มีเส้นทางผ่านอุโมงค์เลย
ก่อนอื่นต้องพิสูจน์ว่าเข้าถึงเครื่องพิมพ์ได้
ก่อนเปลี่ยนนโยบายใด ๆ ให้ยืนยันว่าเครื่องพิมพ์ปกติดีและยืนยันที่อยู่ที่คุณคิดว่ามันมี อ่านที่อยู่จากแผงควบคุมของเครื่องพิมพ์หรือหน้าเว็บของมันเอง รายการที่ล้าสมัยในระบบปฏิบัติการอาจชี้ไปที่ที่อยู่ซึ่ง DHCP มอบให้อุปกรณ์อื่นเมื่อหลายสัปดาห์ก่อน
ตัดการเชื่อมต่อ VPN แล้วทดสอบที่อยู่และพอร์ตพิมพ์ทั่วไปสองพอร์ต:
nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631บน Windows คำสั่งที่เทียบเท่าคือ Test-NetConnection 192.168.1.50 -Port 9100 เชื่อมต่อ VPN ใหม่แล้วทำซ้ำ ถ้าพอร์ตตอบกลับเมื่อปิด VPN และหมดเวลาเมื่อเปิด แสดงว่าคุณจำลองการบล็อกได้แล้ว ที่เหลือเป็นคำถามเรื่องนโยบาย ถ้าล้มเหลวทั้งสองสถานะ ให้หยุด: เครื่องพิมพ์ เซกเมนต์ Wi-Fi หรือการแยกไคลเอนต์เป็นต้นเหตุ และข้อยกเว้น VPN จะเพิ่มความเสี่ยงเท่านั้น
สามเงื่อนไขที่ตัดสินว่าจะอนุญาตหรือบล็อก
ทำตามลำดับ เงื่อนไขแรกที่ล้มเหลวจะเป็นตัวตัดสินผลลัพธ์ ดังนั้นเงื่อนไขที่เหลือไม่ต้องทดสอบ
| Condition | Allow a scoped exception | Keep the block |
|---|---|---|
| Who owns the network | Home or single-tenant office where you control the segment | Hotel, cafe or shared Wi-Fi where the printer is not yours |
| Who owns the device policy | Personal device with no enforced profile | Managed profile that enforces always-on VPN |
| What the device carries | Nothing another LAN peer must not reach | Client data that must not touch an untrusted segment |
เครือข่ายสำหรับแขกคือคำตอบ ‘ไม่’ ที่ชัดที่สุด ในเซกเมนต์ของโรงแรม ช่วงท้องถิ่นคือแขกคนอื่นทั้งหมด ดังนั้นข้อยกเว้นที่ไปถึงเครื่องพิมพ์ของคุณก็ไปถึงแล็ปท็อปของพวกเขาด้วย เครื่องพิมพ์ที่ไม่ใช่ของคุณไม่ใช่เหตุผลที่จะเปิดเซกเมนต์นั้น
อุปกรณ์ที่ถูกจัดการคือ ‘ไม่’ ข้อที่สอง เมื่อโปรไฟล์ผู้ดูแลระบบบังคับใช้ VPN แบบเปิดตลอดพร้อมการล็อกดาวน์ ไคลเอนต์จะยืนยันการบล็อกอีกครั้งหลังการเปลี่ยนแปลงในเครื่องทุกครั้ง และวิธีการเลี่ยงอาจละเมิดนโยบายที่คุณยอมรับ ขอเส้นทางทรัพยากรท้องถิ่นที่ได้รับการสนับสนุนแทนการแก้ไขการตั้งค่าที่จะถูกเขียนทับ
ข้อยกเว้นที่เล็กที่สุดที่ไคลเอนต์ของคุณรองรับ
สิ่งที่คุณต้องการคือกฎที่จำกัดเฉพาะปลายทางสำหรับที่อยู่เครื่องพิมพ์หนึ่งเครื่อง ไม่ใช่สวิตช์ ‘อนุญาตท้องถิ่น’ แบบเหมารวม สวิตช์เหมารวมมักครอบคลุมช่วงส่วนตัวทั้งหมดและทราฟฟิก link-local ซึ่งมากเกินกว่าที่คิวพิมพ์หนึ่งคิวต้องการ และมันเปลี่ยนทุกอุปกรณ์ในเซกเมนต์ให้เป็นเพื่อนที่คุณยอมรับ
Windows มีการแยกอุโมงค์ และบางบิลด์ก็มีตัวเลือกเครือข่ายท้องถิ่นด้วย เมื่อเส้นทางเดียวที่รองรับคือรายการโฮสต์ ให้เพิ่มที่อยู่เดียวผ่านเกตเวย์กายภาพหลังอุโมงค์ขึ้นแล้ว ตัวอย่างเช่น route add 192.168.1.50 mask 255.255.255.255 192.168.1.1 แล้วลบออกเมื่อจบเซสชัน WireGuard ทำงานต่างออกไป: AllowedIPs เป็นตัวกำหนดว่าอะไรเข้าสู่อุโมงค์ โปรไฟล์อุโมงค์เต็ม 0.0.0.0/0 จึงพางานพิมพ์ไปถึงปลายทาง เว้นแต่เส้นทางที่เฉพาะเจาะจงกว่าจะข้ามมันไป และ wg-quick สามารถติดตั้งกฎไฟร์วอลล์ที่บล็อกทุกอย่างอื่นได้
บน Android การตั้งค่าเปิดตลอดที่บล็อกการเชื่อมต่อเมื่อไม่มี VPN คือคิลสวิตช์ และการค้นหาเครื่องพิมพ์จากแอปที่อยู่ในการบล็อกนั้นไม่มีเส้นทาง LAN โมเดลรายแอปและข้อยกเว้นมีเอกสารอยู่ที่หน้าของ Android VPN ซึ่งเป็นจุดที่ควรตรวจสอบก่อนเปลี่ยนอะไร:คู่มือการเชื่อมต่อ Android VPN. macOS เวอร์ชันล่าสุดขออนุญาตเครือข่ายท้องถิ่นแยกจากอุโมงค์ และ iOS ก็ทำเช่นเดียวกันสำหรับการเข้าถึงเครือข่ายท้องถิ่น แต่คิวก็ยังล้มเหลวได้เมื่ออุโมงค์ทำงาน เพราะไคลเอนต์ของผู้ขายกำหนดเส้นทางซับเน็ตเข้าไปในอุโมงค์
ไม่ว่าคุณจะใช้ไคลเอนต์ใด ให้จำกัดข้อยกเว้นไว้ที่ที่อยู่เดียว และพอร์ตสองหรือสามพอร์ตที่เครื่องพิมพ์ใช้จริง จอง DHCP lease แทนการขยายกฎไปทั้งซับเน็ต เพราะที่อยู่อาจเปลี่ยนได้
ตรวจสอบข้อยกเว้นและรู้ว่าเมื่อใดควรย้อนกลับ
หลังการเปลี่ยนแปลง ให้เชื่อมต่อใหม่และตรวจสอบสามอย่างตามลำดับ เครื่องพิมพ์ตอบกลับที่พอร์ตของมัน หน้าทดสอบที่ไม่เป็นอันตรายพิมพ์ออกมา และการค้นหาที่อยู่ยังคงคืนค่าปลายทาง VPN ไม่ใช่ ISP ของคุณ ถ้าการพิมพ์ทำงานแต่การค้นหาแสดง ISP ของคุณ คุณเปิดมากกว่าเครื่องพิมพ์และควรย้อนกลับ
ทำการทดสอบซ้ำหลังรีบูตและหลังการอัปเดตไคลเอนต์หรือโปรไฟล์ใด ๆ เพราะการอัปเดตคืนค่าเริ่มต้นบ่อยพอที่จะสำคัญ ข้อยกเว้นที่อยู่ได้เพียงถึงการเชื่อมต่อครั้งถัดไปไม่ใช่การตัดสินใจ แต่เป็นช่องโหว่ชั่วคราว จดกฎที่แน่นอนไว้เพื่อให้คุณลบออกได้อย่างตั้งใจ
ถ้าอุปกรณ์นี้มีไว้สำหรับอุโมงค์เท่านั้น เช่น แล็ปท็อปสำหรับเดินทางหรือเครื่องที่เก็บข้อมูลลูกค้า คำตอบที่ถูกคือเก็บการบล็อกไว้และพิมพ์ที่อื่น: บันทึกเป็น PDF แล้วพิมพ์จากโทรศัพท์หรือเครื่องอื่น หรือเข้าถึงเซิร์ฟเวอร์พิมพ์ที่อุโมงค์กำหนดเส้นทางไปถึงได้ การปิดคิลสวิตช์เพื่องานพิมพ์หนึ่งงานแลกการป้องกันจริงกับความสะดวกเล็กน้อย