Короткий ответ

Сетевая очередь \\print01.contoso.example\HP-M428 требует: DNS имени сервера, RPC/спулер на сервере и клиенте, права ivan.petrov на очередь, драйвер по Point and Print. Код 0x0000011b после обновлений безопасности печати — не «сломанный HP», а RPC-аутентификация/ограничения Point and Print. Не лечите это SMBv1 и не выключайте firewall навсегда.

Локальный USB-сбой — предыдущая статья. Здесь нет кабеля к МФУ с WS-042, есть сеть и имя.

Симптомы и как отличить

  • Проводник не открывает \\print01\HP-M428, ошибка RPC / 0x11b / 0x7c / 0x709.
  • Очередь серая, «Принтер недоступен».
  • Другие шары \\fs01.contoso.example живут — не общий «нет сети»; если шары тоже мертвы — SMB и DNS cache.
  • Печать на другой очереди того же сервера работает — права/драйвер этой очереди.
Код / картинаЧастый смысл
0x0000011bRPC, Point and Print, обновления печати
0x0000007c / 0x709имя/порт, профиль, драйвер
372 PrintServiceзадание на сервере/клиенте
Пинг IP print01 есть, имя нетDNS
APIPA на WS-042нет DHCP

Возможные причины

  1. Спулер на print01 или на клиенте не Running.
  2. DNS: print01 → неверный IP, старый cache.
  3. Нет маршрута / firewall между VLAN печати и пользователей.
  4. ACL очереди, пользователь не в группе Print.
  5. Point and Print: пользователь не может тянуть драйвер, 0x11b.
  6. Сохранённые креды неверны.
  7. Сервер печати ждет драйвер x64, клиент Windows 11 24H2 получил несовместимый пакет.
  8. Редко: имя очереди с пробелом/старый UNC после rename сервера.

Диагностика

С WS-042 под ivan.petrov и отдельно под админом.

1. Имя и порт

Resolve-DnsName print01.contoso.example
Test-NetConnection print01.contoso.example -Port 135
Test-NetConnection print01.contoso.example -Port 445
Get-Service Spooler

135/RPC нужен для многих сценариев очереди, 445 — если очередь как шара. Не открывайте их в интернет.

2. Очередь

Get-Printer -ComputerName print01.contoso.example | Where-Object Name -like '*M428*'
# локально подключённые:
Get-Printer | Format-Table Name, ComputerName, PrinterStatus, DriverName

3. Права

На сервере печати: свойства очереди HP-M428 → Безопасность. Print для группы отдела, Manage Documents для себя/операторов. Админ печатает, пользователь нет — ACL, не DNS.

4. Point and Print / 0x11b

gpresult: политики Point and Print Restrictions, Limits print driver installation to Administrators. Журнал PrintService на клиенте в момент подключения очереди.

5. Креды

cmdkey /list

Старый print01 с чужим паролем — очистка.

Сервер: Get-Service Spooler на print01, очередь не paused, драйвер изолирован. Диск сервера не 0 байт — иначе спул общий для всех.

Решение

Сценарий A. DNS и сеть

Исправьте A-запись, сбросьте кэш клиента, проверьте VLAN. Подключайте по FQDN \\print01.contoso.example\HP-M428, не по сырому IP, если Kerberos. IP в hosts — только временный тест, не стандарт.

Сценарий B. Спулер

Restart-Service Spooler
# на сервере — в окно, не в час пик всех отделов

Клиентский рестарт безопаснее серверного. На сервере предупредите: оборвутся текущие jobs.

Сценарий C. 0x11b / Point and Print

Корпоративный путь: очереди разворачивает GPO/Intune от системы, драйверы на сервере, клиент не ставит пакет сам. Политика RestrictDriverInstallationToAdministrators = 1 и пакет уже на машине — норма. Если helpdesk требует, чтобы пользователь сам подключил очередь — либо выдача драйвера через пакет, либо временное исключение не через отключение RPC-аутентификации «как в обходах 11b с форумов».

Не ставьте реестровые «фиксы RpcAuthnLevelPrivacyEnabled» без понимания KB и без отката. Сверяйтесь с актуальной документацией Microsoft на дату работ.

Сценарий D. Права

Добавьте ivan.petrov в группу, которой Print на HP-M428. Не Everyone Full Control на очередь.

Сценарий E. Пересоздание подключения

Удалите очередь на клиенте, добавьте снова из каталога / GPO. Не ставьте локальный TCP на IP МФУ в обход сервера, если учёт печати и ACL живут на print01 — иначе потеряете квоты и аудит.

Microsoft 365 Word должен видеть ту же очередь, что и панель принтеров. Если в Word список пуст — профиль/изолированная сессия, не сервер.

Прямая печать TCP 9100 с клиента на IP МФУ — обходной путь для аварии, не архитектура: нет единого спула, нет прав AD.

Как проверить, что проблема устранена

  1. \\print01.contoso.example\HP-M428 открывается, тестовая страница.
  2. ivan.petrov печатает из Word (Microsoft 365 Apps).
  3. Нет 0x11b при повторном логоне.
  4. DNS стабильно, reservation на МФУ если прямой порт.
  5. После reboot клиента очередь на месте (GPO vs ручное).

Если не помогло

  • Только с VPN: сплит-туннель режет подсеть печати, VPN.
  • Kerberos time skew.
  • Сервер в другой домен без доверия.
  • Очередь на IP, сертификат/имя не совпали — реже для печати, чаще для IPP/Everywhere.

Не публикуйте принт-сервер в интернет «чтобы дома печатало». VPN в LAN.

Профилактика

  • FQDN, DHCP reservation МФУ, единый сервер печати.
  • Драйверы через пакет/GPO, не самодеятельность.
  • Мониторинг Spooler на print01.
  • Документированная политика Point and Print после KB печати.
  • Группы ACL на очереди, не ручные ACE по одному ФИО без IAM.

FAQ

Почему админ печатает, а ivan.petrov нет?

ACL или Point and Print. Сравните gpresult и вкладку Безопасность.

Нужен ли порт 9100 до print01?

До сервера печати обычно RPC/SMB, 9100 — сервер→МФУ. Клиенту 9100 на МФУ нужен только при прямой очереди.

Можно ли обойти 0x11b установкой драйвера «как локальный HP»?

Временно да, ценой потери центральной очереди. Лучше пакет и GPO.

IPP/AirPrint с Windows 11 24H2?

Не замена сервера печати в AD. Не переводите весь офис на AirPrint из-за одной ошибки 11b.

Очередь видна, задания stuck на сервере

Это серверный спул/МФУ, не клиентский DNS. Смотрите панель HP-M428 и диск print01.

Нужно ли отключать брандмауэр клиента?

Нет. Если режет — точечное правило, не выключение профиля Domain.