Аварійний вимикач блокує ваш принтер? Три перевірки, які варто зробити спершу

Ваш принтер працював годину тому. Потім ви увімкнули VPN, і тепер завдання стоять у черзі, доки не завершаться помилкою. Ймовірна причина — не принтер, а аварійний вимикач: він відкидає трафік, який виходив би з машини за межі тунелю, а принтер у локальній мережі — саме такий трафік. Справжнє рішення не в тому, як полагодити друк, а в тому, чи цей пристрій узагалі має звертатися до локальної мережі. Це вирішують три умови, і будь-яка з них може завершити обговорення достроково.

Що відкидає аварійний вимикач і чому

Аварійний вимикач — це правило маршрутизації з прикріпленим режимом відмови. Поки тунель піднятий, відповідні пакети виходять зашифрованими; коли тунель падає, клієнт блокує маршрут за замовчуванням, щоб нічого не виходило відкритим текстом. Принтер у тій самій підмережі ніколи не збігається з маршрутом тунелю, тому вважається спробою втечі, хоча трафік ніколи не залишає будівлю.

Виявлення заплутує картину. Принтери оголошують про себе через multicast DNS на порту 5353, і черга в діалозі додавання принтера будується з цих оголошень. Поки блокування активне, оголошення може не дійти, тому принтер зникає зі списку, хоча його адреса досі відповідає. IPP на порту 631, сирий друк на 9100 і SMB на 445 — звичайні локальні служби, які взагалі не мають шляху через тунель.

Спершу доведіть, що принтер доступний

Перш ніж змінювати будь-які правила, переконайтеся, що принтер справний, і підтвердьте адресу, яку ви вважаєте його адресою. Прочитайте адресу з панелі принтера або з його власної вебсторінки. Застарілий запис у списку операційної системи може вказувати на адресу, яку DHCP видав іншому пристрою тижні тому.

Від'єднайте VPN, потім перевірте адресу і два звичайні порти друку:

nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631

У Windows відповідник — Test-NetConnection 192.168.1.50 -Port 9100. Знову підключіть VPN і повторіть. Якщо порти відповідають із вимкненим VPN і не відповідають із увімкненим, ви відтворили блокування, а решта — питання політики. Якщо вони не працюють в обох станах, зупиніться: винні принтер, сегмент Wi-Fi або ізоляція клієнтів, а виняток у VPN лише додав би ризику.

Три умови, що вирішують, дозволити чи заблокувати

Перевіряйте їх по черзі. Перша невиконана умова вирішує результат, тож решту перевіряти не потрібно.

Гостьові мережі — найясніше «ні». У готельному сегменті локальний діапазон — це всі інші гості, тому виняток, який досягає вашого принтера, досягає і їхніх ноутбуків. Принтер, який вам не належить, не є причиною відкривати цей сегмент.

Керовані пристрої — друге «ні». Коли профіль адміністратора вимагає постійно ввімкнений VPN із блокуванням, клієнт відновлює блокування після кожної локальної зміни, а обхід може порушити політику, яку ви прийняли. Просіть підтримуваний шлях до локальних ресурсів, а не редагуйте налаштування, які буде перезаписано.

Найменший виняток, який підтримує ваш клієнт

Вам потрібне правило, обмежене одним адресом призначення для одного принтера, а не загальний перемикач «дозволити локальну мережу». Загальний перемикач зазвичай охоплює весь приватний діапазон і link-local трафік, що значно більше, ніж потрібно одній черзі друку, і перетворює кожен пристрій у сегменті на рівноправного учасника, якого ви прийняли.

Windows надає роздільне тунелювання, а деякі збірки — ще й параметр локальної мережі. Там, де єдиний підтримуваний шлях — запис вузла, додайте одну адресу через фізичний шлюз після підняття тунелю, наприклад route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, а після завершення сеансу видаліть її. WireGuard працює інакше: AllowedIPs вирішує, що потрапляє в тунель, тому профіль повного тунелю 0.0.0.0/0 несе завдання друку до кінцевої точки, якщо тільки конкретніший маршрут не обходить його, а wg-quick може встановити правила брандмауера, що блокують усе інше.

В Android параметр «завжди ввімкнено», який блокує з'єднання без VPN, і є аварійний вимикач, а виявлення принтера з застосунку всередині цього блокування не має шляху до локальної мережі. Модель із налаштуваннями для кожного застосунку та винятками описана на сторінці VPN для Android, і саме там варто дивитися, перш ніж щось змінювати:Посібник із підключення VPN в Android. Останні версії macOS запитують дозвіл на локальну мережу окремо від тунелю, і iOS робить те саме для доступу до локальної мережі, але черга все одно може не працювати з піднятим тунелем, бо клієнт постачальника спрямовує підмережу в нього.

Який би клієнт ви не використовували, залиште виняток для однієї адреси і двох-трьох портів, які принтер справді використовує. Зарезервуйте оренду DHCP, а не розширюйте правило на всю підмережу, бо адреса може змінитися.

Перевірте виняток і знайте, коли його скасувати

Після зміни підключіться знову і перевірте три речі по черзі. Принтер відповідає на своїх портах, друкується нешкідлива тестова сторінка, а пошук адреси досі повертає кінцеву точку VPN, а не вашого провайдера. Якщо друк працює, але пошук показує вашого провайдера, ви відкрили більше, ніж принтер, і варто все повернути.

Повторіть перевірку після перезавантаження і після будь-якого оновлення клієнта чи профілю, бо оновлення досить часто відновлюють налаштування за замовчуванням. Виняток, що тримається лише до наступного підключення, — не рішення, а тимчасова діра. Запишіть точне правило, щоб ви могли видалити його усвідомлено.

Якщо пристрій призначений лише для тунелю — ноутбук у поїздці або машина з даними клієнтів, — правильна відповідь — залишити блокування і друкувати в іншому місці: зберегти в PDF і роздрукувати з телефона чи іншої машини, або дістатися до сервера друку, до якого тунель уміє маршрутизувати. Вимкнення аварійного вимикача заради одного завдання міняє справжній захист на невелику зручність.