De printer wordt niet gevonden

De printer staat aan, heeft een adres en drukt een testpagina af. Maar op de laptop staat hij niet in de lijst, of hij staat er wel en zegt "offline". Vaak is het pas begonnen nadat je VLANs hebt ingevoerd, of nadat de printer naar een ander stopcontact en een andere netwerkpoort is verhuisd.

Wat het meestal niet is: de printer zelf. Als je zijn webpagina kunt openen op zijn IP-adres, doet het apparaat het prima en is het een netwerkvraag. Kun je die pagina niet openen, dan is het een adres- of routeringsvraag en is dit nog steeds het goede hoofdstuk, alleen begin je dan bij stap 2.

De snelle controles, op volgorde

1. Welk adres heeft de printer, en uit welk netwerk komt dat? /ip dhcp-server lease print op de router. Staat de printer op 192.168.20.30 en je laptop op 192.168.10.45, dan zitten ze in twee netwerken en is dat het antwoord.
2. Kun je hem bereiken als je het adres intikt? Ping vanaf de laptop, of vanaf de router zelf: /ping 192.168.20.30. Een goed antwoord is gewoon antwoord. Lukt het vanaf de router wel en vanaf de laptop niet, dan blokkeert de firewall het verkeer tussen de twee netwerken.
3. Kun je de printerpagina openen op het adres? Werkt http://192.168.20.30 in de browser maar vindt Windows of macOS de printer niet vanzelf, dan is dit geen bereikbaarheidsprobleem maar een vindbaarheidsprobleem. Dat is het meest voorkomende geval en het onderwerp van dit hoofdstuk.
4. Worden er pakketten geblokkeerd? /ip firewall filter print stats. Je zoekt een drop-regel waarvan de teller oploopt terwijl je probeert te printen. De regels die de tool genereert hebben een comment dat begint met matrix: als het om verkeer tussen VLANs gaat.
5. Zit de printer op de poort waar je hem denkt? /interface bridge host print where mac-address=..., of zoek hem op met /ip arp print. Een printer op een poort met de verkeerde untagged VLAN is een klassieker.

De gewone oorzaken, meest voorkomende eerst

De printer staat in een ander VLAN dan de laptop

Dit is verreweg nummer één. Printen zelf gaat over een TCP-poort en kan prima over een netwerkgrens heen, maar het vinden van de printer gebeurt met mDNS (Bonjour, AirPrint) of WSD, en dat zijn multicast- en broadcastberichten die per definitie niet gerouteerd worden. Binnen één netwerk werkt het, over de grens niet.

Drie oplossingen, in volgorde van eenvoud: zet de printer in hetzelfde VLAN als de mensen die printen; of voeg de printer handmatig toe op zijn IP-adres, met een vast adres zodat het blijft werken; of zet een mDNS-doorgeefdienst neer op een machine die in beide netwerken staat. De router doet dat laatste niet voor je.

De firewall laat het verkeer tussen de netwerken niet door

Ook met een handmatig ingesteld IP-adres moet de router het verkeer doorlaten. In een opzet met VLAN-isolatie mag een netwerk standaard alleen naar internet, niet naar de buren. Je hebt dan een regel nodig die van het werknetwerk naar het printernetwerk toestaat.

De printer hangt aan wifi met client-isolatie aan

Client-isolatie betekent dat apparaten op die SSID elkaar niet zien. Een printer op een gast- of IoT-netwerk met isolatie is onzichtbaar voor iedereen, ook voor apparaten op dezelfde SSID.

De printer heeft een nieuw adres gekregen

Een printer die met DHCP werkt en een tijd uit heeft gestaan, kan een ander adres krijgen. De laptop zoekt nog op het oude. Geef netwerkprinters altijd een vaste lease.

Het VLAN komt niet tot aan de printer

De switch waar de printer aan hangt draagt het VLAN niet, of de poort staat als trunk in plaats van access. Dan krijgt de printer wel stroom en geen netwerk, of een adres uit het verkeerde bereik.

Wat de configurator hieraan doet

• In het onderdeel Firewall staat Verkeer tussen VLANs. Met de stand "matrix" krijg je een tabel waarin je per paar aanvinkt wie verbindingen mag opzetten naar wie. Dat is de plek waar je het werknetwerk toegang geeft tot het printernetwerk. De gegenereerde regels herken je aan het comment matrix:.
• Per VLAN staat in het onderdeel VLANs een vinkje Geïsoleerd. Staat dat aan, dan praat dat netwerk alleen met internet. Een printer in een geïsoleerd VLAN is met opzet onbereikbaar.
• De tool waarschuwt als de eerste VLAN in de sitetabel als geïsoleerd is gemarkeerd, want bekabelde poorten komen standaard op die eerste VLAN. Dan staat je hele bekabelde netwerk, printer incluis, op het gastnetwerk.
• Teken je de bekabeling op het netwerkbord en zet je de printer erbij als client-node met een VLAN, dan meldt de controle het als de switch waar hij aan hangt dat VLAN niet draagt. Dezelfde controle meldt het ook als een VLAN bij een kabel stopt omdat het apparaat aan de andere kant hem niet kent.
• De firewall die de tool schrijft laat multicast op het LAN bewust met rust. De bogon-regel die 224.0.0.0/4 blokkeert staat alleen op de WAN-kant, precies omdat dezelfde regel op alle interfaces mDNS, SSDP en dus printerdetectie op het LAN om zeep helpt.
• Per SSID kun je client-isolatie aan- of uitzetten in het onderdeel Wifi.

De eerlijke grens

De tool heeft geen mDNS-repeater en geen doorgeefdienst voor Bonjour of WSD, en RouterOS heeft die ook niet in het hoofdpakket. Het vinden van apparaten over een VLAN-grens heen is daarom iets dat je met vaste adressen oplost of met een apart stukje software, niet met een vinkje. Verder kan een printer zelf in de weg zitten: sommige modellen slapen zo diep dat ze een zoekopdracht missen, en een printerdriver die per se via de fabrikantencloud wil werken heeft helemaal niets aan jouw netwerk.

Verder lezen: Recept: netwerkprinter, VLANs en Firewall.