Bina-block ng kill switch ang printer mo? Tatlong pagsusuri na dapat gawin muna

Gumagana ang printer mo isang oras ang nakalipas. Pagkatapos ay binuksan mo ang VPN, at ngayon ang mga trabaho ay nakatayo sa pila hanggang mabigo. Ang malamang na dahilan ay hindi ang printer, kundi ang kill switch: itinatapon nito ang trapikong aalis sa makina sa labas ng tunnel, at ang printer sa LAN ay ganoon mismo ang trapiko. Ang tunay na desisyon ay hindi kung paano ayusin ang pag-print, kundi kung dapat bang maabot ng device na ito ang lokal na network. Tatlong kondisyon ang nagpapasya niyan, at alinman sa mga ito ay maaaring tapusin ang talakayan nang maaga.

Ano ang itinatapon ng kill switch at bakit

Ang kill switch ay isang tuntunin sa pag-ruta na may kalakip na failure mode. Habang aktibo ang tunnel, lumalabas ang mga tugmang packet nang naka-encrypt; kapag bumagsak ang tunnel, hinaharangan ng kliyente ang default na ruta upang walang lumabas sa plaintext. Ang printer sa parehong subnet ay hindi kailanman tumutugma sa ruta ng tunnel, kaya itinuturing itong pagtatangkang tumakas kahit hindi kailanman lumalabas ang trapiko sa gusali.

Ginagawang nakalilito ng pagtuklas ang sintomas. Nag-aanunsyo ang mga printer sa pamamagitan ng multicast DNS sa port 5353, at ang pila na nakikita sa dialog ng pagdaragdag ng printer ay binubuo mula sa mga anunsyong iyon. Habang aktibo ang pagharang, maaaring hindi dumating ang anunsyo, kaya nawawala ang printer sa listahan kahit sumasagot pa rin ang address nito. Ang IPP sa 631, raw printing sa 9100 at SMB sa 445 ay karaniwang serbisyo ng LAN na walang anumang daan sa tunnel.

Patunayan muna na maabot ang printer

Bago baguhin ang anumang patakaran, tiyakin na maayos ang printer at tiyakin ang address na inaakala mong mayroon ito. Basahin ang address mula sa panel ng printer o sa sarili nitong web page. Ang lumang entry sa listahan ng operating system ay maaaring tumuro sa address na ibinigay ng DHCP sa ibang device ilang linggo na ang nakalipas.

Idiskonekta ang VPN, pagkatapos ay subukan ang address at ang dalawang karaniwang print port:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

Sa Windows ang katumbas ay Test-NetConnection 192.168.1.50 -Port 9100. Ikonekta muli ang VPN at ulitin. Kung sumasagot ang mga port kapag patay ang VPN at nag-time out kapag buhay ito, napaulit mo ang pagharang at ang natitira ay tanong ng patakaran. Kung nabigo sila sa parehong estado, huminto: ang printer, ang Wi-Fi segment o ang client isolation ang may kasalanan, at ang eksepsiyon sa VPN ay magdadagdag lamang ng pagkakalantad.

Tatlong kondisyon na nagpapasya kung papayagan o haharangin

Isagawa ang mga ito nang sunud-sunod. Ang unang kondisyong nabigo ang magpapasya ng resulta, kaya hindi na kailangang subukan ang mga sumunod.

Ang mga guest network ang pinakamalinaw na ‘hindi’. Sa segment ng hotel, ang lokal na range ay lahat ng ibang bisita, kaya ang eksepsiyong umaabot sa printer mo ay umaabot din sa kanilang laptop. Ang printer na hindi sa iyo ay hindi dahilan para buksan ang segment na iyon.

Ang mga managed device ang pangalawang ‘hindi’. Kapag ipinapatupad ng profile ng administrador ang always-on VPN na may lockdown, muling iginiit ng kliyente ang pagharang pagkatapos ng anumang lokal na pagbabago, at ang paraan ng pag-iwas ay maaaring lumabag sa patakarang tinanggap mo. Humingi ng suportadong landas para sa lokal na resource sa halip na i-edit ang mga setting na muling isusulat.

Ang pinakamaliit na eksepsiyon na sinusuportahan ng kliyente mo

Ang kailangan mo ay tuntuning limitado sa destinasyon para sa isang address ng printer, hindi isang pangkalahatang toggle na ‘payagan ang lokal’. Ang pangkalahatang toggle ay karaniwang sumasaklaw sa buong pribadong range at link-local na trapiko, na higit pa sa kailangan ng isang print queue, at ginagawang peer na tinanggap mo ang bawat device sa segment.

Nag-aalok ang Windows ng split tunnelling, at ang ilang build ay may opsyong lokal na network din. Kung ang tanging suportadong landas ay host entry, magdagdag ng isang address sa pamamagitan ng pisikal na gateway pagkatapos bumangon ang tunnel, halimbawa route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, pagkatapos ay tanggalin ito kapag natapos ang session. Iba ang paggana ng WireGuard: pinagpapasya ng AllowedIPs kung ano ang pumapasok sa tunnel, kaya dinadala ng full-tunnel na profile na 0.0.0.0/0 ang print job hanggang sa endpoint maliban kung lalampasan ito ng mas tiyak na ruta, at ang wg-quick ay makakapag-install ng firewall rules na humaharang sa lahat ng iba.

Sa Android, ang always-on na setting na humaharang sa mga koneksiyon na walang VPN ang kill switch, at ang pagtuklas ng printer mula sa app sa loob ng pagharang na iyon ay walang daan sa LAN. Ang modelong per-app at eksepsiyon ay nakadokumento sa page ng Android VPN, na siyang lugar na dapat tingnan bago ka magbago ng anuman:Gabay sa koneksiyon ng Android VPN. Ang mga bagong release ng macOS ay humihingi ng pahintulot sa lokal na network nang hiwalay sa tunnel, at ganoon din ang iOS para sa access sa lokal na network, ngunit maaari pa ring mabigo ang pila kapag nakataas ang tunnel dahil iniruruta ng kliyente ng vendor ang subnet papasok dito.

Anuman ang kliyenteng gamitin mo, panatilihin ang eksepsiyon sa isang address at sa dalawa o tatlong port na aktuwal na ginagamit ng printer. Magreserba ng DHCP lease sa halip na palawakin ang tuntunin sa buong subnet, dahil maaaring lumipat ang address.

I-verify ang eksepsiyon at alamin kung kailan ito aalisin

Pagkatapos ng pagbabago, kumonekta muli at suriin ang tatlong bagay nang sunud-sunod. Sumasagot ang printer sa mga port nito, may napi-print na hindi mapanganib na test page, at ang paghahanap ng address ay nagbabalik pa rin ng VPN endpoint sa halip na ang ISP mo. Kung gumagana ang pag-print pero ipinapakita ng paghahanap ang ISP mo, nagbukas ka ng higit pa sa printer at dapat mong ibalik.

Ulitin ang pagsubok pagkatapos ng reboot at pagkatapos ng anumang update ng kliyente o profile, dahil madalas na ibinabalik ng mga update ang mga default. Ang eksepsiyong tumatagal lamang hanggang sa susunod na koneksiyon ay hindi desisyon, butas ito na pansamantala. Isulat ang eksaktong tuntunin upang sadya mong matanggal ito.

Kung ang device ay para sa tunnel lamang, isang travel laptop o makina na may data ng kliyente, ang tamang sagot ay panatilihin ang pagharang at mag-print sa ibang lugar: i-save bilang PDF at i-print mula sa telepono o ibang makina, o maabot ang print server na kayang i-ruta ng tunnel. Ang pagpatay sa kill switch para sa isang trabaho ay ipinagpapalit ang tunay na proteksiyon sa maliit na kaginhawahan.