Принт-сервер и МФУ в сети малого офиса: как убрать очереди у принтера и закрыть дыры в безопасности печати

Я почти пятнадцать лет чиню чужую IT-инфраструктуру, и печать — та тема, над которой все смеются, пока не столкнутся сами. Каждый второй новый клиент приходит с одной и той же картиной: пять человек стоят у единственного МФУ, кто-то отправил документ на 40 листов и ушёл обедать, а бухгалтерия не может распечатать счёт к обеду. При этом тот же самый принтер часто открыт в интернет практически голым — заходи и печатай что хочешь. Расскажу, как я обычно наводу порядок в обоих направлениях сразу.

Очередь у принтера — это не мелочь, а часы простоя в месяц

Возьмём типичный офис на 25-30 человек: юрфирма или бухгалтерская контора. Один МФУ на этаж, обычно Kyocera или HP LaserJet, купленный ещё когда штат был вдвое меньше. Люди печатают напрямую по USB с одного компьютера, остальные подключаются через расшаренный на этом же компьютере принтер. Тот компьютер, естественно, у секретаря или у бухгалтера — и когда он уходит на обед или выключает машину в пятницу вечером, печать пропадает для всего офиса.

У одного клиента, юридической компании на Профсоюзной, я насчитал за неделю мониторинга 47 минут чистого простоя людей, которые физически стояли у принтера и ждали, пока освободится очередь. При зарплате юриста в 150 тысяч рублей в месяц это не смешные деньги — это тысячи рублей выброшенного времени еженедельно, просто никто не считал.

Отдельная беда — драйверы. На каждом компьютере свой набор, кто-то печатает через generic PCL, кто-то через родной драйвер Kyocera пятилетней давности, и в результате у одного все документы выходят криво, а у другого принтер вообще не виден в сети после обновления Windows.

Что такое принт-сервер и почему это не про "крупный бизнес"

Принт-сервер — это просто отдельная точка, через которую проходят все задания печати. Она может быть отдельным физическим сервером, виртуалкой на Windows Server, а иногда даже Raspberry Pi с CUPS для небольшого офиса. Задача одна: MFU видит только принт-сервер, а все сотрудники видят только очереди на принт-сервере, а не сам принтер напрямую.

Для компании до 50 рабочих мест хватает виртуальной машины на 2 ядра и 4 гигабайта памяти с Windows Server Standard — многие уже держат такой сервер под 1С или файловый архив, можно повесить роль Print Server туда же, лицензия уже оплачена. Если бюджета совсем нет, ставится Linux с CUPS, и он тянет десяток очередей без единого зависания годами — я видел такие сервера с аптаймом за 400 дней.

Ключевой плюс не в скорости печати, а в централизации: драйвер один, обновляется в одном месте, права назначаются группами AD, а не по одному человеку. Заболел человек, который "расшарил у себя принтер" — офис не встал.

Как я обычно настраиваю печать с нуля

Первым делом вывожу все МФУ в отдельный VLAN, изолированный от рабочих станций и уж тем более от сервера 1С. Звучит как паранойя, но принтеры — это, по сути, маленькие компьютеры с собственной прошивкой, веб-интерфейсом и часто дырявым стеком сети. Держать их в одном сегменте с бухгалтерией — то же самое, что дать посетителю доступ к серверной по одному пропуску.

Дальше — статические IP через DHCP-резервацию по MAC-адресу, а не ручная прописка на каждом устройстве: меняется коммутатор, меняется топология, а адрес остаётся тот же, и очереди на принт-сервере не рассыпаются.

На принт-сервере создаю очереди с понятными именами по кабинетам — не "HP LaserJet 400 M401dn", а "Бухгалтерия-2этаж", разворачиваю через GPO автоматическое подключение нужных очередей нужным группам пользователей. Новый сотрудник входит в домен — печать у него уже есть, без звонков в поддержку.

Порт 9100 и голая печать — дыра, о которой почти никто не думает

Вот что реально пугает в этой теме. Огромная часть офисных МФУ слушает порт 9100 (RAW-печать) без всякой авторизации. Любой, кто попал в вашу сеть — через слабый Wi-Fi пароль, через зловреда на чьём-то ноутбуке, через незакрытый порт роутера — может отправить на ваш принтер что угодно: от бесконечной печати чёрных листов до документа с логотипом компании и поддельными реквизитами, который потом окажется у клиента.

У одного производственного клиента в Подольске я в рамках аудита за полчаса нашёл три МФУ Xerox с открытым веб-интерфейсом на дефолтном admin/admin, доступным прямо из гостевого Wi-Fi. Через этот же интерфейс, кстати, можно вытащить сохранённые в памяти принтера отсканированные документы — а там были копии паспортов клиентов из отдела кадров.

Отдельная головная боль — PJL-инъекции: язык управления принтером позволяет менять настройки, дампить содержимое очереди печати и даже перехватывать копии всех документов, которые проходят через устройство. Звучит как экзотика, но эксплойты под это лежат в открытом доступе много лет, и никакого специального взлома не требуется — достаточно telnet-клиента и терпения.

PrintNightmare и служба печати Windows — почему это касается вас

В 2021 году прогремела уязвимость PrintNightmare в службе Print Spooler Windows, которая позволяла получить права администратора домена через обычную печать. С тех пор Microsoft выпустила десятки патчей, но я до сих пор захожу к новым клиентам и вижу сервера без обновлений безопасности за последние полгода-год, потому что "боялись, что что-то сломается".

На принт-сервере это особенно критично: он по определению принимает подключения от всех рабочих станций офиса, а значит, это одна из самых доступных точек атаки изнутри сети. Если у вас Windows Server держит роль принт-сервера, обновления безопасности должны идти в первую очередь, а не в последнюю — я всегда выношу этот пункт в регламент отдельной строкой, потому что иначе про него забывают.

Простое правило, которое я внедряю у всех клиентов: отключить Print Spooler на серверах, где печать физически не нужна — на контроллере домена, например. Служба включена по умолчанию почти везде, хотя реально нужна единицам машин.

Экономия на картриджах: где реально теряются деньги

Тут интересная арифметика. Оригинальный картридж для среднего лазерного МФУ стоит от 6 до 15 тысяч рублей и рассчитан на 6-10 тысяч страниц. Совместимый аналог у проверенного поставщика — 2-4 тысячи рублей при той же ёмкости. На объёме офиса в 30 человек, который печатает условно 15 тысяч страниц в месяц, разница за год выходит в районе 200-300 тысяч рублей. Я не призываю ставить китайский noname с Avito — беру проверенных московских перезаправщиков с гарантией, качество печати у них почти неотличимо от оригинала.

Второй источник потерь — никто не считает, кто и сколько печатает. Без учёта страниц через принт-сервер сотрудник может распечатывать личные документы, дипломные работы родственников, цветные презентации в черновом варианте по три раза, потому что забыл включить черновой режим. Включаю учёт через встроенные средства принт-сервера или бесплатный PaperCut NG в базовой версии — и внезапно объём печати за первый же месяц падает на 15-20%, просто потому что люди видят: их печать считается.

Третье — режим экономии тонера (draft/toner save) по умолчанию для внутренних документов, а не только для финальных версий на подпись. У клиента-производителя мебели в Домодедово этот один переключатель в групповых политиках печати снизил расход тонера почти на треть за квартал, потому что 80% печати у них — внутренние спецификации и черновики чертежей, которым качество фотопринтера просто не нужно.

Что я советую сделать в первую очередь

Если коротко резюмировать порядок действий: сначала выносим МФУ в отдельный VLAN и закрываем веб-интерфейсы принтеров от случайного доступа паролем сложнее admin/admin. Потом поднимаем принт-сервер — даже виртуалку на существующем железе — и переводим все рабочие станции на подключение через него, а не напрямую к устройству.

Дальше — патчим службу печати Windows на регулярной основе, особенно на сервере, который реально держит роль принт-сервера. И только после этого занимаемся экономикой: учёт страниц, совместимые картриджи у надёжного поставщика, режим черновой печати по умолчанию для внутренних документов.

Обычно вся эта работа на офис в 30-40 человек занимает у меня два-три рабочих дня вместе с тестированием, а окупается за первый же квартал одной только экономией на расходниках — не говоря уже о закрытых дырах, за которые потом никто не хочет отвечать перед клиентами.

Частые вопросы

Нужен ли отдельный физический сервер под печать, если в офисе всего 15-20 человек?
Нет, для такого объёма хватит виртуальной машины на существующем гипервизоре или даже роли на файловом сервере, который уже есть. Отдельное железо имеет смысл только если у вас больше 60-70 рабочих мест или очень высокая нагрузка на печать.

Можно ли обойтись без VLAN для принтеров, если офис маленький и все доверяют друг другу?
Технически можно, но риск не в сотрудниках, а в самих устройствах и во внешних угрозах — заражённый ноутбук гостя в Wi-Fi или уязвимость в прошивке МФУ. VLAN стоит копейки в настройке и радикально снижает поверхность атаки, поэтому я делаю его даже для офисов на 10 человек.

Совместимые картриджи точно не убьют принтер раньше времени?
У проверенного поставщика с гарантией — не убьют, я использую такие у десятков клиентов годами без роста поломок. Экономить стоит на самих картриджах, а не на репутации перезаправщика — noname с рынка действительно может залить плохой тонер и посадить фьюзер.

Как понять, что принт-сервер вообще нужен, а не просто расшарить принтер с одного компьютера?
Если печать пропадает, когда выключается чей-то личный компьютер, или больше пяти человек регулярно ждут очереди — это уже сигнал. Второй признак — разный результат печати на разных станциях из-за несовпадающих версий драйверов.