Правила брандмауэра для Airplay и Airprint

Правила брандмауэра для Airplay и Airprint, UniFi Network

DS1994

Guest

08.01.2017 18:22:00

Я настроил принтеры в своей основной сети с адресом 192.168.1.1/24, затем создал VLAN (ID 2) с адресом 192.168.2.1/24. Принтеры подключены к основной сети с статическим IP, и я создал правило файрвола, которое делает их видимыми для устройств в VLAN 2, но печать через AirPrint не работает — появляется «Contacting Printer», а потом время ожидания истекает. Интересует, как сделать правило файрвола, которое разрешит весь мультикаст-трафик в диапазоне 224.0.0.0/4. Спасибо!

bferrell Guest	#2 02.08.2017 17:17:00 Да, это работает в моей гостевой WiFi-сети (что меня, честно говоря, удивило).

pastill Guest	#3 02.08.2017 16:51:00 Это будет рабочее решение и в сети WLAN с гостевой политикой (клиенты изолированы)?

octavio.hernandez Guest	#4 19.07.2017 16:52:00 Эти инструкции просто супер. Спасибо!

bferrell Guest	#5 03.07.2017 13:23:00 Правильно, это включает службу отражения mDNS в целом, которая, как я полагаю, основана на Avahi.

Diff-Computers Guest	#6 23.07.2018 15:51:00 Это буквально всё, что ты сделал, чтобы это заработало? У меня включён mDNS-ретранслятор на USG, но я всё равно не получаю Bonjour/AirPlay через VPN.

IamMediocracy

Guest

18.10.2017 03:02:00

Я знаю, что эта тема уже пару месяцев как закрыта, но она всплыла в моем поиске решения проблемы. В данном случае лучше настроить это по интерфейсу, используя функцию mDNS repeater, а не reflector, и применить следующие команды (естественно, изменив интерфейс под себя). У меня, например, USG-Pro-4, и я настраиваю это на VLAN'ах 40 и 50 интерфейса eth0. Таким образом обе VLAN имеют доступ к AirPrint-устройствам на любом из VLAN.

set service mdns repeater interface eth0.40
set service mdns repeater interface eth0.50

Это решение взято из этой темы: https://community.ui.com/questions/115615fb-17f2-4e8c-8ac8-3807c378589c

fuzzymicrobe

Guest

17.09.2017 02:54:00

Привет, tdub1... В твоём запросе про проблему с Airprint мало информации для начала, но есть несколько вещей, которые можно сразу проверить в настройках. Если у тебя плоская сеть, то устройства Airprint/Airplay с Bonjour должны спокойно подключаться, вне зависимости от того, проводное соединение или нет. Если устройства пингуются друг с другом — это хороший знак, что всё должно работать.

Принтер: Убедись, что у принтера HP установлена последняя версия прошивки и включена локальная служба Bonjour / Airprint. Проверь, что сетевые настройки правильные для проводного и/или беспроводного интерфейса. Если у принтера есть локальный файрвол, проверь, что нет правил, блокирующих связь с другими устройствами в сети. (Во время устранения неполадок лучше вообще отключить файрвол.) Также рекомендуется выключить локальную беспроводную точку доступа принтера, если ты не используешь HP wireless printing. (Ad-Hoc точка доступа принтера обычно конфликтует с основной Wi-Fi сетью.)

Mac: Во время диагностики отключи файрвол. Убедись, что установлена последняя версия программного обеспечения Mac HP Utility для принтера. Чтобы быстро проверить, видит ли Safari устройства Bonjour, перейди в: Safari > Настройки > Дополнительно > Включить Bonjour в меню закладок. Ещё один полезный инструмент — установить плагин для Firefox под названием CiaoCiao, который быстро показывает Bonjour-устройства в локальной сети. Если ты можешь открыть веб-страницу принтера HP через Bonjour — это отличный знак, что Airprint должен работать.

Сеть: Проверь корректность настройки DHCP для всех устройств в сети. Убедись, что IP-диапазон, маска и шлюз прописаны правильно. Особое внимание удели тому, чтобы Mac и принтер HP использовали один и тот же локальный DNS-сервер. Bonjour использует mDNS для обнаружения устройств в сети, и если мультикаст запрещён — поиск устройств не сработает. Я рекомендую включить IGMP Snooping, чтобы мультикаст работал корректно. Проверь правила файрвола в UniFi, чтобы трафик внутри сети не блокировался.

Если точка доступа и/или коммутатор настроены на разные VLAN или подсети, и у тебя не плоская сеть, можно включить mDNS отражатель на USG. Для этого нужно зайти по SSH на USG и выполнить команды:

configure
set service mdns reflector
commit
save
exit

Это позволит видеть mDNS-устройства на разных сетях.

Надеюсь, это поможет тебе начать разбираться с проблемой!

tdub1

Guest

17.09.2017 01:45:00

У меня возникла проблема: принтеры в плоской сети не могут использовать AirPrint (это не моя сеть, помогаю другу). Беспроводной компьютер тоже не видит беспроводной принтер (Mac не видит принтер HP), но если к любому из устройств подключить кабель (достаточно, чтобы только одно было проводным), принтер становится видимым для Mac и можно печатать. Эта проблема возникает только тогда, когда оба устройства подключены к одной и той же SSID.
USG роутер
Unifi коммутатор
Unifi HD точки доступа

smawuascht

Guest

#10

03.07.2017 13:20:00

Привет, @bferrell

Большое спасибо за ответ. Это очень помогает, так как я подумываю заменить свой текущий маршрутизатор/коммутаторы на оборудование UniFi. И, по-видимому, моё текущее решение не поддерживает мультикаст между разными сегментами.

Небольшой вопрос по делу: включение mdns-рефлектора активирует не только AirPlay, верно? Также AirPrint, Spotify Connect, Google Cast и другие сервисы, которые работают через широковещательные передачи, будут поддерживаться?

Просто хочу убедиться в этом, потому что будет очень обидно узнать, что это не работает, после вложения в оборудование.

Спасибо, ребята!
С уважением,
Мичи

bferrell

Guest

#11

25.02.2017 19:16:00

Нет, извините, я не пытаюсь настраивать систему на таком уровне. Если вы действительно не хотите, чтобы принтеры были в одной VLAN, просто создайте правило запрета, блокирующее порты AirPlay (указанные выше), и они не смогут использоваться в этой VLAN. Хотя, я думаю, они всё равно будут видны при обнаружении Bonjour, но попытки подключения будут проваливаться.

DS1994 Guest	#12 25.02.2017 18:22:00 Можешь прислать мне, что именно нужно использовать через JSON? Я заметил, что при работе с JSON можно выбирать интерфейс.

bferrell

Guest

#13

25.02.2017 18:16:00

Отражение mDNS сейчас включено на всех VLAN (поэтому включайте его, как указано выше). Обсуждается возможность добавить в интерфейс настройку для ограничения этого, но на сегодняшний день, если я правильно помню, это возможно только через JSON или config.properties.

DS1994 Guest	#14 25.02.2017 18:13:00 Что я хочу сделать — чтобы мои принтеры работали в 2 из 3 настроенных VLAN, а когда я включаю mDNS-ретранслятор, они работают во всех 3. Как можно включить mDNS-ретранслятор для каждого VLAN отдельно?

bferrell

Guest

#15

25.02.2017 15:37:00

Прошло уже время с тех пор, как я настраивал свой edgerouter, но, думаю, тебе, скорее всего, нужно настроить порты Airplay в файрволе (смотри https://community.ui.com/questions/ebeb55f3-b524-401a-afbb-541189b5e399) — порты Airplay 5353 и 3689 для LAN_IN, LAN_LOCAL и LAN_OUT.

nickvaf

Guest

#16

25.02.2017 15:25:00

Недавно я добавил базовую VLAN 10 на свой edgerouter и настроил, чтобы и эта VLAN, и нетегированная VLAN шли на Unifi UAP, который транслирует два разных SSID (по одному на каждую VLAN). Короче говоря, я хочу быть в своей основной сети SSID1 и одновременно транслировать AirPlay на беспроводное устройство в SSID2 (VLAN 10). Я включил сервис-отражатель и теперь с iPhone (в сети SSID1) вижу устройство AirPlay с SSID2, но когда пытаюсь подключиться, не получается. Есть идеи, почему так? Нужно что-то менять в фаерволе? (Настройки оставлены стандартными, из Wan-2Lan2). Я новичок в EdgeRouter, Unifi и VLAN, так что, может, что-то очевидное упускаю — буду благодарен за помощь!

mpreissner

Guest

#17

14.02.2017 13:12:00

mDNS — это протокол для локальных сетей, поэтому обычно он не может пересекать границы подсетей. Однако пакет avahi-daemon, распространённый в Linux-системах (к которым относятся USG и USG Pro), предоставляет функцию сервис-рефлектора. Реализуя её на маршрутизаторе, avahi-daemon может слушать все подсети на предмет этих мультикастовых сообщений локальной сети и затем «отражать» или ретранслировать их во все остальные подсети. При этом только часть обнаружения устройств в AirPlay и AirPrint использует mDNS. Как только устройства узнают друг о друге благодаря mDNS, они устанавливают прямую unicast-связь, которую без проблем можно использовать между разными подсетями.

bferrell Guest	#18 14.02.2017 12:37:00 Не думаю, mDNS — это протокол канального уровня (Layer 2), так что вряд ли он перейдёт через роутер в другую область сетевого уровня (Layer 3).

vic1129 Guest	#19 09.02.2017 22:11:00 А что если я запущу USG внутри другой сети? Будет ли работать mDNS-ретранслятор, чтобы устройства из исходной сети смогли подключаться к ATV за USG? На фото это чуть понятнее объяснено.

bferrell Guest	#20 09.02.2017 21:34:00 Если у вас есть USG и вы хотите, чтобы Bonjour/Airplay работал, пока нужно: 1) зайти по ssh в USG, 2) войти в режим конфигурации, 3) включить службу mdns reflector командой set service mdns reflector, 4) применить изменения (commit), 5) сохранить настройки (save). Я часто пользуюсь Airplay, и теперь всё прекрасно работает между VLAN.

Читают тему (гостей: 1)