Acil durdurma anahtarı yazıcınızı mı engelliyor? Önce yapılması gereken üç kontrol

Yazıcınız bir saat önce çalışıyordu. Sonra VPN'i açtınız ve şimdi işler başarısız olana kadar kuyrukta bekliyor. Olası neden yazıcı değil, acil durdurma anahtarı: makineden tünelin dışına çıkacak trafiği düşürür ve yerel ağdaki bir yazıcı tam olarak bu tür trafiktir. Gerçek karar, yazdırmayı nasıl düzelteceğiniz değil, bu cihazın yerel ağa hiç ulaşıp ulaşmaması gerektiğidir. Bunu üç koşul belirler ve bunlardan herhangi biri tartışmayı erken bitirebilir.

Acil durdurma anahtarı neyi düşürür ve neden

Acil durdurma anahtarı, bağlı bir hata modu olan bir yönlendirme kuralıdır. Tünel açıkken eşleşen paketler şifreli olarak çıkar; tünel düştüğünde istemci varsayılan rotayı engeller, böylece hiçbir şey düz metin olarak dışarı çıkmaz. Aynı alt ağdaki bir yazıcı tünel rotasıyla hiçbir zaman eşleşmez, bu yüzden trafik binayı hiç terk etmese de kaçış girişimi olarak görülür.

Keşif belirtiyi kafa karıştırıcı yapar. Yazıcılar 5353 numaralı bağlantı noktasında multicast DNS ile duyuru yapar ve yazıcı ekleme iletişim kutusunda görünen kuyruk bu duyurulardan oluşturulur. Engelleme etkinken duyuru gelmeyebilir, bu yüzden adresi hâlâ yanıt verse bile yazıcı listeden kaybolur. 631'deki IPP, 9100'deki ham yazdırma ve 445'teki SMB, tünel yolu olmayan sıradan yerel ağ hizmetleridir.

Önce yazıcının erişilebilir olduğunu kanıtlayın

Herhangi bir politikayı değiştirmeden önce yazıcının sağlıklı olduğunu ve sahip olduğunu düşündüğünüz adresi doğrulayın. Adresi yazıcının panelinden veya kendi web sayfasından okuyun. İşletim sistemi listesindeki eski bir kayıt, DHCP'nin haftalar önce başka bir cihaza verdiği bir adresi gösterebilir.

VPN'i kapatın, ardından adresi ve iki yaygın yazdırma bağlantı noktasını test edin:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

Windows'ta karşılığı Test-NetConnection 192.168.1.50 -Port 9100 komutudur. VPN'e yeniden bağlanın ve tekrarlayın. Bağlantı noktaları VPN kapalıyken yanıt veriyor ve açıkken zaman aşımına uğruyorsa engellemeyi yeniden üretmişsinizdir, gerisi bir politika sorusudur. Her iki durumda da başarısız olursa durun: suçlu yazıcı, Wi-Fi segmenti veya istemci yalıtımıdır ve VPN istisnası yalnızca maruziyeti artırır.

İzin verme veya engelleme kararını veren üç koşul

Bunları sırayla uygulayın. Başarısız olan ilk koşul sonucu belirler, bu yüzden sonrakilerin test edilmesine gerek yoktur.

Misafir ağları en açık ‘hayır’dır. Bir otel segmentinde yerel aralık diğer tüm misafirlerdir, bu yüzden yazıcınıza ulaşan bir istisna onların dizüstü bilgisayarlarına da ulaşır. Sizin olmayan bir yazıcı o segmenti açmak için bir neden değildir.

Yönetilen cihazlar ikinci ‘hayır’dır. Bir yönetici profili kilitle birlikte her zaman açık VPN'i zorunlu kıldığında, istemci her yerel değişiklikten sonra engellemeyi yeniden uygular ve etrafından dolaşma yolu kabul ettiğiniz politikayı ihlal edebilir. Üzerine yazılacak ayarları düzenlemek yerine desteklenen bir yerel kaynak yolu isteyin.

İstemcinizin desteklediği en küçük istisna

İstediğiniz şey tek bir yazıcı adresi için hedefe sınırlı bir kural, genel bir ‘yerel ağa izin ver’ anahtarı değil. Genel anahtar genellikle tüm özel aralığı ve link-local trafiği kapsar; bu bir yazdırma kuyruğunun ihtiyacından çok daha fazladır ve segmentteki her cihazı kabul ettiğiniz bir eş yapar.

Windows bölünmüş tünelleme sunar ve bazı yapılar yerel ağ seçeneği de sunar. Desteklenen tek yol bir ana bilgisayar kaydıysa, tünel açıldıktan sonra fiziksel ağ geçidi üzerinden tek bir adres ekleyin, örneğin route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, ve oturum bittiğinde onu silin. WireGuard farklı çalışır: AllowedIPs tünele neyin girdiğine karar verir, bu yüzden tam tünel 0.0.0.0/0 profili, daha belirgin bir rota onu atlamadıkça yazdırma işini uç noktaya taşır ve wg-quick geri kalan her şeyi engelleyen güvenlik duvarı kuralları kurabilir.

Android'de VPN olmadan bağlantıları engelleyen her zaman açık ayar acil durdurma anahtarıdır ve o engellemenin içindeki bir uygulamadan yazıcı keşfinin yerel ağa hiçbir yolu yoktur. Uygulama başına ve istisna modeli Android VPN sayfasında belgelenmiştir, herhangi bir şeyi değiştirmeden önce bakılacak yer orasıdır:Android VPN bağlantı kılavuzu. Yeni macOS sürümleri yerel ağ iznini tünelden ayrı olarak ister ve iOS yerel ağ erişimi için aynısını yapar, ancak sağlayıcının istemcisi alt ağı tünele yönlendirdiği için tünel açıkken kuyruk yine de başarısız olabilir.

Hangi istemciyi kullanırsanız kullanın, istisnayı tek bir adresle sınırlayın ve yazıcının gerçekten kullandığı iki veya üç bağlantı noktasıyla. Adres değişebileceği için kuralı tüm alt ağa genişletmek yerine bir DHCP kiralaması ayırın.

İstisnayı doğrulayın ve ne zaman geri alacağınızı bilin

Değişiklikten sonra yeniden bağlanın ve üç şeyi sırayla kontrol edin. Yazıcı kendi bağlantı noktalarında yanıt verir, zararsız bir test sayfası yazdırılır ve adres araması hâlâ sağlayıcınız yerine VPN uç noktasını döndürür. Yazdırma çalışıyor ama arama sağlayıcınızı gösteriyorsa yazıcıdan fazlasını açtınız ve geri almalısınız.

Testi yeniden başlatmadan sonra ve her istemci veya profil güncellemesinden sonra tekrarlayın, çünkü güncellemeler varsayılanları yeterince sık geri yükler. Yalnızca bir sonraki bağlantıya kadar süren bir istisna karar değil, geçici bir deliktir. Kesin kuralı yazın ki bilerek kaldırabilesiniz.

Cihaz yalnızca tünel için tasarlandıysa, bir seyahat dizüstü bilgisayarı veya müşteri verisi tutan bir makineyse, doğru yanıt engellemeyi koruyup başka yerde yazdırmaktır: PDF olarak kaydedin ve telefondan veya başka bir makineden yazdırın ya da tünelin yönlendirebildiği bir yazdırma sunucusuna ulaşın. Acil durdurma anahtarını tek bir iş için kapatmak, gerçek bir korumayı küçük bir kolaylıkla değiş tokuş eder.