VLAN、访客 Wi-Fi 和客户端隔离如何阻止打印机连接

手机和打印机都能访问互联网，但它们之间仍可能无法通信。访客 Wi-Fi、客户端隔离和 VLAN 防火墙的设计目的，就是阻止本地设备主动建立直接连接，而这恰恰是 Printer Tools 进行本地监控所需要的。

目标不是取消所有网络分段，而是允许从可信客户端到你所使用的打印机服务之间，存在一条有意设置且范围受限的路径。

Printer Tools

在一个面板中管理您的所有 3D 打印机

通过一个应用监控 Bambu Lab、Klipper、OctoPrint、Creality、Snapmaker、Anycubic、Flashforge、Elegoo 和 Prusa 打印机

支持 Android、iPhone、iPad 和 Mac，并提供 Apple Watch 与 Wear OS 配套应用，以及通过 VPN、OctoEverywhere 或 Obico 实现的可选远程访问

访客 Wi-Fi 通常会阻止本地客户端

访客网络通常允许 DNS 和互联网流量，但会拒绝访问私有地址和其他无线客户端。如果手机连接的是访客 Wi-Fi，它可能无法访问主局域网中的打印机。如果打印机是访客设备，来自本地的入站连接也可能被拒绝。

请把两台设备都放到主局域网中做一次对照测试。如果连接成功，问题的根源就不是应用或凭据。

客户端隔离可能只作用于某个接入点

无线客户端隔离会阻止同一 SSID 上的两个客户端相互通信。它可以全局启用、按 SSID 启用或按接入点启用。连接在一个 Mesh 节点上的打印机和连接在另一个节点上的手机，可能会受到控制器策略的影响。

只在需要访问本地设备的可信 SSID 上关闭隔离。不要把公共访客网络变成通用桥梁。

VLAN 路由需要明确的规则

IoT VLAN 很有用，但防火墙必须允许打印机在已建立连接中的响应，以及由客户端发起的必要流量。不同的集成会使用不同的端口和发现机制，因此复制一条宽泛的规则，并不能代替记录真正需要的内容。

优先使用从可信用户网络到特定打印机地址和服务的规则。除非经过验证的功能需要，否则请拒绝从 IoT VLAN 反向发起到可信网络的连接。

发现与直接连接是两回事

即使已知 IP 地址可以连接，组播或广播发现也可能在跨 VLAN 时失败。ONVIF 发现和部分设置流程依赖本地发现流量，而已保存的单播连接可以使用明确路由的地址。

你可以手动添加已知地址，或配置一个范围经过仔细限制的发现反射器。在不了解影响的情况下，不要启用不受限制的组播泛洪。

VPN 可能替代本地路由

一些面向个人用户的 VPN 会把所有流量都送入隧道，并阻止局域网访问。进行本地测试时，请临时关闭 VPN，或启用其文档中说明的本地网络选项。

用于远程访问家中设备时，另一种 VPN 设计会有意路由打印机所在子网。请确认它与手机当前连接的网络不会重叠。

用一个小矩阵进行诊断

分别从主局域网、分段后的局域网以及计划使用的 VPN 路径测试同一台打印机。记录仪表板、文件和摄像头是否可用。结果会显示哪条策略阻止了哪项服务。

绝不要通过公开转发打印机端口来解决本地防火墙问题。请使用稳定的本地 IP 地址和范围受限的内部规则。

常见问题

为什么 Bambu Handy 能用，而 Printer Tools 不能？

即使路由器阻止了直接的本地流量，云端路径仍可能正常工作。

手机和打印机必须使用同一个 Wi-Fi 频段吗？

不必。它们需要的是一条经过路由且被允许的路径，而不一定是同一个无线频段。

已保存的 IP 能连接，发现却失败，这可能吗？

可能。组播发现和直接单播流量的处理方式不同。

我应该关闭 VLAN 防火墙吗？

不应该。只需为计划使用的本地服务添加最小范围且经过验证的规则。

官方资料: Bambu Lab Wiki — Printer network ports (discovery) · ONVIF — Profile S