VPN не видит принтер и NAS: как вернуть доступ к локальной сети

Почему локальные устройства исчезают

VPN старается не допустить обхода туннеля, а локальная сеть — отдельный путь к соседним устройствам. Поэтому клиенты могут иметь явный флажок доступа к LAN или автоматически блокировать частные диапазоны. В результате принтер остаётся подключён к Wi‑Fi, но компьютер с активным VPN не устанавливает к нему соединение. Бывает и мягкий вариант: IP открывается, а имя nas.local или автоматическое обнаружение не работают. Это уже другая проблема — DNS, mDNS или discovery. Proton VPN, например, отдельно документирует режим Allow LAN connections для принтеров, колонок и медиасерверов. Такой режим стоит включать в доверенной домашней сети, а не глобально на каждом неизвестном hotspot.

Совет: Сначала проверяйте IP, потом имя. Работающий IP сразу исключает полный запрет LAN.

Как вернуть доступ

1. 1. Найдите локальный IP принтера или NAS в роутере и убедитесь, что без VPN он открывается.
2. 2. В VPN включите Allow LAN connections/Local network sharing только в доверенной сети.
3. 3. Переподключите VPN, чтобы правила и маршруты пересоздались.
4. 4. Откройте устройство напрямую по IP: веб-интерфейс, SMB-ресурс или порт принтера.
5. 5. Если IP недоступен, сравните локальную подсеть с удалёнными сетями VPN.
6. 6. Если маршруты не конфликтуют, проверьте firewall компьютера и самого устройства.
7. 7. Если IP работает, а имя нет, диагностируйте локальный DNS/mDNS отдельно.

Предупреждение: В публичной Wi‑Fi сети LAN-доступ лучше снова запретить: он расширяет связь с соседями в локальном сегменте.

Конфликт подсетей

Типичный конфликт: дома используется 192.168.1.0/24, а корпоративный VPN объявляет точно такой же диапазон. Компьютер получает два правдоподобных пути к одним адресам, и результат зависит от приоритетов. Домашний принтер 192.168.1.50 может неожиданно «уехать» в туннель. Флажок Allow LAN не всегда решает такой случай. Долгосрочно лучше развести адресные пространства — изменить домашнюю LAN или корпоративную адресацию. Статические маршруты возможны, но их следует добавлять только при понимании шлюзов и метрик. Если рабочий VPN управляется организацией, не меняйте корпоративные правила самостоятельно: сообщите администратору обе подсети и IP локального ресурса. Это точнее и безопаснее, чем отключать VPN ради печати.

Важно: Одинаковый CIDR по обе стороны — конфликт адресации, а не повод добавлять ещё более широкий маршрут.

Симптом и причина

• Не открывается IP и имя. LAN блокируется, конфликт маршрута или firewall.
• IP работает, имя нет. DNS/mDNS/обнаружение.
• Пропадает сразу после VPN. Проверьте Allow LAN и маршруты.
• Проблема только дома. Сравните домашний CIDR с удалёнными сетями.

Почему discovery менее надёжен

Windows, macOS и приложения NAS используют broadcast, multicast, mDNS, NetBIOS и собственные агенты. VPN-интерфейс может изменить приоритет сети или не пропускать такие пакеты, хотя обычный unicast к IP разрешён. Поэтому отсутствие иконки NAS в проводнике ещё не доказывает потерю связи. Если прямой IP стабилен, настройте нормальное локальное имя или используйте DHCP-reservation, чтобы адрес устройства не менялся. Для принтера постоянный IP тоже упрощает диагностику: вы сразу знаете, что проверять, а не ждёте автоматического обнаружения. Если проблема появилась после обновления VPN-клиента, перепроверьте значение Allow LAN — поведение по умолчанию могло измениться.

Совет: Зарезервированный IP у принтера/NAS уменьшает зависимость от сетевого обнаружения и упрощает работу с VPN.

Как сохранить безопасность

Правильный результат не требует выключать VPN каждый раз ради локального ресурса. Интернет продолжает следовать политике туннеля, а разрешённая LAN остаётся доступной напрямую. Но ноутбук, который часто бывает в кафе и отелях, не должен иметь слишком широкое постоянное исключение для любой частной сети. Если клиент поддерживает профили, разрешайте LAN дома и блокируйте в незнакомых сетях. Не открывайте весь 192.168.0.0/16, если реальная LAN — 192.168.50.0/24. Чем уже исключение, тем понятнее поведение. Если устройство имеет несколько интерфейсов, убедитесь, что используете актуальный адрес той сети, где находится компьютер, а не старый Wi‑Fi IP из другой подсети.

Финальная проверка

• Без VPN локальный IP работает.
• С VPN включён только нужный LAN-доступ.
• Подсети не совпадают.
• IP проверен отдельно от имени.
• Firewall допускает нужный локальный трафик.
• В чужой сети LAN sharing отключается.

Дополнительный контроль

Если локальные устройства нужны ежедневно, сделайте схему устойчивой: закрепите их адреса через DHCP-reservation, настройте понятный локальный DNS и по возможности используйте домашнюю подсеть, которая не совпадает с корпоративными диапазонами. После обновления VPN-клиента снова проверьте Allow LAN и прямой доступ по IP. Так проблема не превращается в постоянный ритуал «отключить VPN → распечатать → включить обратно», а причина остаётся наблюдаемой и воспроизводимой.

Ещё один практический нюанс

Если используется сетевой профиль Windows или macOS, проверьте, не сменился ли он на публичный после появления VPN-интерфейса. Это может отдельно ужесточить локальный firewall и создать симптом, похожий на блокировку со стороны VPN-клиента.

Если устройство открывается только по IP

Это отдельный и полезный диагноз: маршрут до LAN уже работает, а ломается разрешение имени или локальное обнаружение. В Proton VPN для Windows есть отдельная опция Access devices by name рядом с Allow LAN connections; без неё локальные mDNS-имена могут не разрешаться, хотя IP доступен. Поэтому не расширяйте исключения VPN только ради имени принтера. Сначала закрепите устройству адрес через DHCP reservation, убедитесь, что прямой IP стабилен, затем настраивайте локальный DNS или штатное обнаружение. На домашнем NAS это особенно удобно: даже если mDNS временно перестал работать после обновления клиента, доступ к файлам и веб-панели остаётся по известному адресу.

Что учитывать

VPN старается не допустить обхода туннеля, а локальная сеть — отдельный путь к соседним устройствам. Поэтому клиенты могут иметь явный флажок доступа к LAN или автоматически блокировать частные диапазоны. В результате принтер остаётся подключён к Wi‑Fi, но компьютер с активным VPN не устанавливает к нему соединение. Бывает и мягкий вариант: IP открывается, а имя nas.local или автоматическое обнаружение не работают. Это уже другая проблема — DNS, mDNS или discovery. Proton VPN, например…

Источники и проверка

Фактическая часть сверена по первичным источникам (в т.ч. How to allow LAN connections). Пример и формулировки — редакция N1RO на 2026-09-21.

• How to allow LAN connections