Toner Monitorprodukt TatraByte, vyvinutý na Slovensku

Toner MonitorPre IT a bezpečnosť

Ako Toner Monitor funguje: agent, SNMP a bezpečnosť

Všetko, čo si správca siete alebo zodpovedná osoba za GDPR chce overiť pred spustením. Čísla sú z technickej dokumentácie, ktorú dostanete aj celú.

Chcem dokumentáciu a skúšku Otvoriť živú ukážku

Bez platobnej karty. Na pracovné stanice sa nič neinštaluje – stačí jeden počítač alebo server v sieti. Alebo zavolajte: +421 915 088 580

Len odchádzajúce HTTPS
SNMP iba na čítanie
Podpísané aktualizácie
Údaje v Európe

Prehľad Toner Monitora: 46 tlačiarní v 8 pobočkách, zoznam tlačiarní, ktoré potrebujú zásah, s kódom kazety a zistenia za 30 dní

Toner Monitor na telefóne: prehľad s počtom tlačiarní, stavom a zoznamom na objednanie

Ako to funguje

Jeden agent na lokalitu, žiadna zmena v sieti. Spustenie v jednej budove trvá okolo desať minút.

KROK 1
Malý program na jednom počítači
Agent beží na serveri, na počítači správcu alebo priamo na bráne UniFi. Na pracovné stanice sa nič neinštaluje.
KROK 2
Prečíta tlačiarne cez SNMP
Každých päť minút sa opýta tlačiarní na hladiny tonerov a valcov, stav a počítadlo strán. Len číta, nič na nich nemení.
KROK 3
Pošle stav do prehľadu
Zašifrovaným spojením von, cez port 443. Bez VPN, bez otvoreného portu dovnútra, jeden až dva kilobajty na tlačiareň.
KROK 4
Vy dostanete upozornenie
E-mailom, do Teams, Telegramu alebo helpdesku, keď treba objednať alebo keď tlačiareň hlási chybu. S kódom kazety.

Podporované sú sieťové tlačiarne so štandardným SNMP (Printer-MIB). Tlačiarne pripojené len cez USB stav do siete nehlásia. Čo presne agent robí v sieti a čo odosiela, je rozpísané na stránke Pre IT: ako Toner Monitor funguje.

Dokumentáciu pre IT a bezpečnosť pošleme ešte pred skúškou; v ukážke si pozriete, čo správca naozaj vidí.

Vyskúšať 30 dní zadarmo Otvoriť ukážku

Agent v sieti lokality

Jeden statický binárny súbor (Node.js zabalený nástrojom pkg), bez inštalácie ďalšieho softvéru a bez služieb tretích strán. Na Windows beží cez Plánovač úloh pod účtom NT AUTHORITY\LocalService bez správcovských práv, na UniFi Dream Machine cez systemd pod vlastným účtom v sandboxe. Konfigurácia je jeden JSON súbor s kľúčom lokality, čitateľný len pre systém, správcov a servisný účet.

Odchádzajúca komunikácia, jediná mimo LAN

Cieľ	Protokol a port	Účel	Frekvencia
prehľad (vaša doména)	HTTPS, TCP 443	odoslanie stavu tlačiarní	každých 5 min, nastaviteľné
prehľad	HTTPS, TCP 443	či správca stlačil „Objaviť“ alebo „Obnoviť“	každých 30 s
prehľad	HTTPS, TCP 443	manifest aktualizácie agenta	3 min po štarte, potom každých 6 h

Všetko iniciuje agent. Nepočúva na žiadnom porte, nedá sa naň pripojiť zvonku, nepotrebuje port-forward, VPN ani verejnú IP adresu. Kľúč lokality má 192 bitov náhody a na serveri je uložený len ako odtlačok SHA-256; konfiguráciu s adresou prehľadu bez https:// agent odmietne. Odporúčané pravidlo firewallu: povoliť z agenta TCP 443 na hostname prehľadu, všetko ostatné von zakázať. Žiadne iné domény agent nekontaktuje, žiadna telemetria, žiadny CDN, žiadny NTP.

Obmedzenia, ktoré treba vedieť vopred: agent nepodporuje HTTP proxy, potrebuje priamy výstup na TCP 443. Firewall s inšpekciou HTTPS podstrčí vlastný certifikát a agent spojenie odmietne; pre hostname prehľadu treba výnimku, alebo firemnú CA cez NODE_EXTRA_CA_CERTS.

Čo číta z tlačiarní

SNMP GET, GETNEXT a GETBULK, iba na čítanie, UDP port 161 na tlačiareň. Agent nikdy neposiela SNMP SET a na tlačiarni nič nemení. Verzie: v2c s komunitou (predvolene public), v1 pre staré stroje a SNMPv3 USM s autentifikáciou SHA a šifrovaním AES alebo DES; s nastavením „len v3“ sa v2c a v1 nepoužijú vôbec.

Čítané objekty

MIB-II: sysDescr, sysName – názov a popis zariadenia
HOST-RESOURCES-MIB: hrDeviceDescr, hrDeviceStatus, hrPrinterStatus, hrPrinterDetectedErrorState – stav a chyby
Printer-MIB (RFC 3805): názov, sériové číslo, tabuľka spotrebného materiálu, farbivá, počítadlo strán, aktívne upozornenia, vstupné zásobníky, text displeja
Výrobcovské objekty podľa značky (tabuľka nižšie): počítadlá podľa funkcie a farby, model a sériové číslo tam, kde sú štandardné objekty prázdne, kódy kaziet
IPP Get-Printer-Attributes (TCP 631, od agenta 4.5): druhý zdroj údajov, keď je SNMP vypnuté – model, sériové číslo, stav, hladiny, počítadlo; zdieľaná fronta z počítača sa odmietne

Vlastné objekty podľa značky

Značka sa určí z sysObjectID podľa čísla výrobcu IANA, nie z textu sysDescr, takže rebrandy (UTAX, Develop, Savin, Lanier, Gestetner) aj stroje vyrobené inou firmou skončia pri správnej značke. Čo agent 4.5.1 číta navyše (stav k 16. 10. 2026; položky „podľa dokumentácie“ sa potvrdzujú na prvej tlačiarni danej značky pri nasadení):

Značka	Čo číta navyše	Stav
Kyocera (UTAX, Triumph-Adler)	počítadlá podľa funkcie a farby, model, sériové číslo, kódy kaziet TK	podľa dokumentácie výrobcu
Konica Minolta (Develop)	počítadlá, model, kódy TN a TNP	podľa dokumentácie výrobcu
Ricoh (Savin, Lanier, Gestetner, NRG)	hladiny tonera z vlastnej tabuľky, počítadlá, sériové číslo	podľa dokumentácie výrobcu
Sharp	počítadlá podľa mena, developer	podľa dokumentácie výrobcu
Toshiba	model, sériové číslo, počítadlá	podľa dokumentácie výrobcu
Lexmark (Dell)	kód dielu, originál alebo plnená kazeta, počet strán	podľa dokumentácie výrobcu
Samsung	počítadlá, kódy MLT a CLT	podľa dokumentácie výrobcu
HP	počítadlá a identita z HP MIB	overené v prevádzke
Canon	model, sériové číslo, tabuľka počítadiel	overené v prevádzke
Xerox	model, životnostné počítadlá, regionálne kódy kaziet	overené v prevádzke
Brother	slovenský a český text panela, absorbér atramentu, farby valcov	overené v prevádzke
Epson	stavová odpoveď ST2: údržbová nádobka, chybové kódy, počítadlá	overené v prevádzke
OKI	valce a pásy, veľkokapacitné tonery podľa modelu	overené v prevádzke
Pantum	rozpoznanie značky, štandardná tabuľka, katalóg kaziet	podľa dokumentácie výrobcu
Fujifilm	rozpoznanie značky, štandardná tabuľka, katalóg kaziet	podľa dokumentácie výrobcu

Zisťovanie tlačiarní

Voliteľné a dá sa úplne vypnúť: potom agent číta len tlačiarne zo zoznamu v konfigurácii. Pri zapnutom zisťovaní sa raz za hodinu prejde povolený rozsah siete, zariadenie sa považuje za tlačiareň až po odpovedi v Printer-MIB alebo po otvorenom tlačovom porte. Smerovače a prepínače, ktoré len hovoria SNMP, sa do prehľadu nedostanú.

Čo odchádza a čo sa ukladá

Surové hodnoty SNMP v JSON, jeden až dva kilobajty na tlačiareň. Pri každej tlačiarni:

IP adresa, model, sériové číslo, názov z tlačiarne a prípadný alias z UniFi
stav zariadenia a tlačiarne, bitová mapa chýb, aktívne upozornenia, text displeja
tabuľka spotrebného materiálu: druh, farba, jednotka, maximum, aktuálna hladina
počítadlo strán, pri niektorých modeloch aj počítadlá po farbách

Nič iné: žiadne dokumenty, názvy tlačových úloh, mená používateľov, heslá ani informácie o iných zariadeniach v sieti. Agent nemá prístup k tlačovým frontám a tlačový obsah nikdy neprechádza cez neho.

Retencia

Údaj	Osobný údaj?	Ako dlho
model, sériové číslo, IP, stavy, hladiny, počítadlo	nie, ide o zariadenie	kým existuje lokalita; história hladín 30 dní
názov tlačiarne	môže byť, ak ju správca pomenuje menom osoby	ako vyššie; odporúčame pomenúvať miestom
používateľské meno, hash hesla, rola	áno, zamestnanec	kým má účet
audit: používateľ, IP, akcia	áno	365 dní
neúspešné prihlásenia	áno	24 hodín

Údaje ležia v databáze Cloudflare D1 s preferovaným umiestnením v západnej Európe; firemná inštancia sa zakladá s jurisdikciou EÚ, ktorá umiestnenie garantuje. Požiadavky spracúvajú európske uzly Cloudflare. Pre hostovanú prevádzku je zákazník prevádzkovateľom a TatraByte sprostredkovateľom, so šablónou zmluvy o spracúvaní. Upozornenia e-mailom idú cez službu Resend alebo cez webhook do vášho systému; vyberáte si.

Zabezpečenie prehľadu a aktualizácií

Prihlásenie s heslom (PBKDF2), roly správca a čítanie, relácie v cookie HttpOnly a Secure, limit neúspešných pokusov
Voliteľne Cloudflare Access pred prehľadom: jednotné prihlásenie s vaším poskytovateľom identity a dvojfaktorové overenie; Worker potom bez platného JWT odmietne každú požiadavku
Bezpečnostné hlavičky a CSP, ochrana pred CSRF, limit požiadaviek na príjem údajov (30 za minútu na kľúč)
Audit prihlásení a zmien v nastaveniach, prístupný správcovi v aplikácii
Aktualizácie agenta: manifest podpísaný kľúčom Ed25519 a odtlačok SHA-256 binárky; nepodpísaný, pozmenený alebo cudzí manifest sa odmietne; pri chybe sa agent sám vráti k predošlej verzii
Mapovanie na zákon č. 366/2024 Z. z. o kybernetickej bezpečnosti (NIS2) a zoznam zostatkových rizík v bezpečnostnej dokumentácii

Ako si to technik overí sám

Dokumentácia obsahuje príkazy na overenie: hlavičky a CSP prehľadu, odmietnutie nepodpísaného manifestu, odtlačok binárky, limit požiadaviek, CSRF, čo agent číta z konkrétnej tlačiarne (printer-agent --diagnose), pod akým účtom beží a aké má oprávnenia na priečinok.

Čo dostanete pred spustením

Agent v sieti: čo presne robí, čo odosiela a ako ho obmedziť
Bezpečnostná a GDPR dokumentácia: opatrenia, inventár údajov, roly, mapovanie na NIS2, zostatkové riziká
Nasadenie pre firmu: vlastný účet alebo hostovaná prevádzka, kapacita pre 50 lokalít a 500 tlačiarní, prevádzka a podpora
Prístup k zdrojovému kódu s označením verzie pri firemnej inštancii

Otázky správcov sietí

Čo sa pýtajú správcovia sietí, ekonómky aj riaditelia, kým sa rozhodnú.

Potrebuje agent správcovské práva?

Nie. Na Windows beží ako naplánovaná úloha pod účtom NT AUTHORITY\LocalService, na UniFi Dream Machine pod vlastným účtom printer-agent v sandboxe systemd. Konfiguračný súbor s kľúčom lokality smie čítať len systém, správcovia a servisný účet.

Čo keď naša politika dovoľuje len šifrované SNMP?

Agent podporuje SNMPv3 USM s autentifikáciou SHA (1 až 512) a šifrovaním AES-128 alebo AES-256. S nastavením „len v3“ v2c ani v1 nepoužije vôbec. Pre staré stroje, ktoré v3 nemajú, zostáva v2c s komunitou, ktorú si určíte.

Ako si overím, že binárka je tá, ktorú ste podpísali?

Každá aktualizácia má manifest podpísaný kľúčom Ed25519 a odtlačok SHA-256 binárky; verejný kľúč je v agentovi a v dokumentácii, takže sa podpis dá overiť aj ručne. Binárka pre Windows zatiaľ nemá Authenticode podpis; integritu zaručuje podpis manifestu. Na vyžiadanie dostanete prístup k zdrojovému kódu s označením verzie.

Kde presne sú uložené údaje a kto k nim má prístup?

V databáze Cloudflare D1 s preferovaným umiestnením v západnej Európe; pre firemnú inštanciu sa databáza zakladá s jurisdikciou EÚ, ktorá umiestnenie garantuje. Prístup má len prihlásený používateľ vašej inštancie podľa roly a TatraByte ako sprostredkovateľ pri podpore. Tokeny aj heslá sú uložené len ako odtlačky.

Vieme to prevádzkovať vo vlastnom účte Cloudflare?

Áno. Firemná inštancia sa dá založiť vo vašom účte Cloudflare, s vašou doménou, vašou databázou a vašimi tajomstvami; TatraByte potom nemá k údajom prístup bez vášho pozvania. Založenie trvá okolo tridsať minút, postup je v dokumentácii nasadenia.

Ako sa to odinštaluje?

Na Windows sa odstráni naplánovaná úloha a priečinok agenta, na UniFi služba systemd a jej priečinok. V prehľade sa lokalita zmaže aj s históriou jej tlačiarní; kľúč lokality prestane platiť okamžite.