Favqulodda o'chirgich printeringizni bloklayaptimi? Avval qilish kerak bo'lgan uchta tekshiruv
Favqulodda o'chirgich printer trafigini ataylab bloklaydi. Mahalliy tarmoq uchun cheklangan istisno asosli yoki yo'qligini aniqlash uchun uchta tekshiruv qiling va uni bitta manzil bilan cheklang.
Printeringiz bir soat oldin ishlayotgan edi. Keyin VPNni yoqdingiz, endi ishlar muvaffaqiyatsiz bo'lguncha navbatda turibdi. Ehtimoliy sabab printer emas, favqulodda o'chirgich: u tunneldan tashqariga chiqadigan trafikni tashlab yuboradi, LAN printer esa aynan shunday trafik. Haqiqiy qaror chop etishni qanday tuzatish emas, bu qurilma mahalliy tarmoqqa umuman yetishi kerakmi yoki yo'qmi. Buni uchta shart hal qiladi va ularning har biri bahsni erta tugatishi mumkin.
Favqulodda o'chirgich nimani tashlab yuboradi va nima uchun
Favqulodda o'chirgich bu nosozlik rejimi biriktirilgan marshrutlash qoidasidir. Tunnel ishlayotganda mos paketlar shifrlangan holda chiqadi; tunnel yiqilganda mijoz standart marshrutni bloklaydi, shunda hech narsa ochiq matnda tashqariga chiqmaydi. Xuddi shu quyi tarmoqdagi printer hech qachon tunnel marshrutiga mos kelmaydi, shuning uchun trafik binoni hech qachon tark etmasa ham u qochish urinishi deb hisoblanadi.
Aniqlash simptomni chalkashtiradi. Printerlar 5353-portda multicast DNS orqali reklama qiladi va printer qo'shish oynasida ko'rinadigan navbat shu reklamalardan tuziladi. Blok faol bo'lganda reklama kelmasligi mumkin, shuning uchun manzil hali ham javob bersa-da, printer ro'yxatdan yo'qoladi. 631-portdagi IPP, 9100-portdagi xom chop etish va 445-portdagi SMB tunnel yo'li bo'lmagan oddiy LAN xizmatlaridir.
Avval printer yetib borish mumkinligini isbotlang
Har qanday siyosatni o'zgartirishdan oldin printer sog'lom ekanini va uning deb o'ylagan manzilingizni tasdiqlang. Manzilni printer panelidan yoki uning o'z veb-sahifasidan o'qing. Operatsion tizim ro'yxatidagi eskirgan yozuv haftalar oldin DHCP boshqa qurilmaga bergan manzilga ishora qilishi mumkin.
VPNni uzing, keyin manzilni va ikkita oddiy chop etish portini sinab ko'ring:
nc -vz 192.168.1.50 9100
nc -vz 192.168.1.50 631Windowsda uning ekvivalenti Test-NetConnection 192.168.1.50 -Port 9100. VPNni qayta ulang va takrorlang. Agar portlar VPN o'chiq bo'lganda javob berib, yoqilganda vaqt tugasa, siz blokni qayta hosil qildingiz, qolgani siyosat masalasi. Ikkala holatda ham ishlamasa, to'xtang: printer, Wi-Fi segmenti yoki mijoz izolyatsiyasi aybdor, VPN istisnosi esa faqat xavfni oshiradi.
Ruxsat berish yoki bloklashni hal qiluvchi uchta shart
Ularni tartib bilan bajaring. Muvaffaqiyatsiz bo'lgan birinchi shart natijani hal qiladi, shuning uchun keyingilarini sinash shart emas.
| Condition | Allow a scoped exception | Keep the block |
|---|---|---|
| Who owns the network | Home or single-tenant office where you control the segment | Hotel, cafe or shared Wi-Fi where the printer is not yours |
| Who owns the device policy | Personal device with no enforced profile | Managed profile that enforces always-on VPN |
| What the device carries | Nothing another LAN peer must not reach | Client data that must not touch an untrusted segment |
Mehmon tarmoqlari eng aniq 'yo'q'. Mehmonxona segmentida mahalliy diapazon boshqa barcha mehmonlar, shuning uchun printeringizga yetadigan istisno ularning noutbuklariga ham yetadi. Sizga tegishli bo'lmagan printer bu segmentni ochish uchun sabab emas.
Boshqariladigan qurilmalar ikkinchi 'yo'q'. Administrator profili qulflangan holda doimo yoniq VPNni talab qilganda, mijoz har qanday mahalliy o'zgarishdan keyin blokni qayta o'rnatadi va chetlab o'tish siz qabul qilgan siyosatni buzishi mumkin. Qayta yoziladigan sozlamalarni tahrirlash o'rniga qo'llab-quvvatlanadigan mahalliy resurs yo'lini so'rang.
Mijozingiz qo'llab-quvvatlaydigan eng kichik istisno
Sizga bitta printer manzili uchun manzil bilan cheklangan qoida kerak, umumiy 'mahalliyga ruxsat berish' tugmasi emas. Umumiy tugma odatda butun xususiy diapazonni va link-local trafikni qamrab oladi, bu bitta chop etish navbati uchun kerak bo'lganidan ancha ko'p, va segmentdagi har bir qurilmani siz qabul qilgan teng huquqli sherikka aylantiradi.
Windows ajratilgan tunnelni taklif qiladi, ba'zi buildlarda mahalliy tarmoq varianti ham bor. Qo'llab-quvvatlanadigan yagona yo'l xost yozuvi bo'lsa, tunnel ko'tarilgandan keyin jismoniy shlyuz orqali bitta manzil qo'shing, masalan route add 192.168.1.50 mask 255.255.255.255 192.168.1.1, so'ng sessiya tugaganda uni o'chiring. WireGuard boshqacha ishlaydi: AllowedIPs tunnelga nima kirishini hal qiladi, shuning uchun to'liq tunnel 0.0.0.0/0 profili chop etish ishini oxirgi nuqtagacha olib boradi, agar aniqroq marshrut uni chetlab o'tmasa, va wg-quick qolgan hamma narsani bloklaydigan firewall qoidalarini o'rnatishi mumkin.
Androidda VPNsiz ulanishlarni bloklaydigan doimo yoniq sozlama favqulodda o'chirgichdir va o'sha blok ichidagi ilovadan printer aniqlashning LAN yo'li yo'q. Har bir ilova va istisno modeli Android VPN sahifasida hujjatlashtirilgan, bu biror narsani o'zgartirishdan oldin tekshirish kerak bo'lgan joy:Android VPN ulanish qo'llanmasi. Yangi macOS versiyalari mahalliy tarmoq ruxsatini tunneldan alohida so'raydi, iOS ham mahalliy tarmoqqa kirish uchun xuddi shunday qiladi, lekin sotuvchi mijozi quyi tarmoqni tunnelga marshrutlagani uchun tunnel yoniq bo'lganda navbat baribir ishlamasligi mumkin.
Qaysi mijozdan foydalanmasangiz ham, istisnoni bitta manzil bilan cheklang va printer haqiqatda ishlatadigan ikki yoki uch port bilan. Manzil o'zgarishi mumkinligi sababli qoidani butun quyi tarmoqqa kengaytirish o'rniga DHCP ijarasini band qiling.
Istisnoni tekshiring va qachon bekor qilishni biling
O'zgarishdan keyin qayta ulaning va uchta narsani tartib bilan tekshiring. Printer o'z portlarida javob beradi, zararsiz sinov sahifasi chop etiladi, manzil qidiruvi esa hanuz ISPingiz o'rniga VPN oxirgi nuqtasini qaytaradi. Agar chop etish ishlasa-yu, qidiruv ISPingizni ko'rsatsa, siz printerdan ko'proq narsani ochgansiz va qaytarishingiz kerak.
Sinovni qayta ishga tushirgandan keyin va har qanday mijoz yoki profil yangilanishidan keyin takrorlang, chunki yangilanishlar standart sozlamalarni yetarlicha tez-tez tiklaydi. Faqat keyingi ulanishgacha davom etadigan istisno qaror emas, u vaqtinchalik teshik. Aniq qoidani yozib qo'ying, shunda uni ataylab olib tashlashingiz mumkin.
Agar qurilma faqat tunnel uchun bo'lsa, sayohat noutbuki yoki mijoz ma'lumotlarini saqlaydigan mashina, to'g'ri javob blokni saqlab, boshqa joyda chop etishdir: PDF sifatida saqlang va telefondan yoki boshqa mashinadan chop eting, yoki tunnel marshrutlay oladigan chop etish serveriga yetib boring. Bitta ish uchun favqulodda o'chirgichni o'chirish haqiqiy himoyani kichik qulaylikka almashtiradi.