一台带网络的打印机，本质上是一台小型服务器：有网页管理后台、有状态查询协议、有好几个可以接任务的端口。区别在于服务器会有人改密码，打印机不会。
它其实在跑四样东西
| 它在跑的服务 | 用途 | 能不能关 |
|---|---|---|
| 内置网页管理页 | 看状态、改设置 | 不建议全关，但必须改默认口令 |
| 网络管理协议 | 让电脑知道缺纸、余墨 | 可以关；开着时团体名不要留默认 |
| 打印端口（9100、515 等） | 接收打印任务 | 需要网络打印就留，只用数据线可关 |
| 无线直连 | 手机不经过路由器直连打印 | 家里没有外来设备时建议关 |
| 扫描到邮件、远程传真 | 少数人用 | 用不到就关，它需要存邮件账号密码 |
端口号因厂商而异，但服务类型大致就是这四类。菜单里常见“网络”“TCP/IP 设置”“服务”这几个分区，需要关的东西都在里面。
三步定位：谁需要打印
一，先看电脑上装了哪些打印机、走的是什么端口：
Get-Printer | Select-Object Name, PortName, Shared, Published二，再看打印机那边实际对外开着什么，把地址换成它的内网地址：
# 把地址换成打印机自己的内网地址，看哪些端口在等连接
9100,515,80,443 | ForEach-Object {
$r = Test-NetConnection 192.168.1.40 -Port $_ -WarningAction SilentlyContinue
"{0} {1}" -f $_, $r.TcpTestSucceeded
}第三步是把用不到的关掉。这条只能测传输层的端口；像网络管理协议那一类走用户数据报的服务测不出来，要以打印机自己设置页里的开关为准。
三件一定要做的事
一，改掉网页管理页的默认口令。不少型号出厂是空密码或者固定的简单组合，这是被批量扫描的第一入口。二，关掉用不到的服务，特别是远程登录类的老接口和远程传真。三，检查固件版本与型号是否还在维护期。已经停更的型号不会再有补丁，如果它一直开着对外服务，风险只会累积。
三种共享方式怎么选
| 共享方式 | 适合谁 | 需要注意 |
|---|---|---|
| 电脑把自己的打印机共享出去 | 只有一台电脑常开机的家庭 | 对方要能访问你这台电脑，相当于开了本机共享 |
| 打印机自带网口，各设备直接连 | 手机、多台电脑都用 | 打印机自己的口令与端口要设好 |
| 路由器接打印机 | 只有并口或老式接口 | 多一个入口，依赖路由器固件质量 |
上一篇文章里讲的本机三个共享开关，和这里的第一种方式直接相关：走电脑共享，就等于你自己这台电脑开了门。
云打印和扫描到邮箱的取舍
| 功能 | 取舍 |
|---|---|
| 厂商云打印（人在外面远程打回家） | 任务会经过厂商服务器。证件、合同类文件不要走这条路 |
| 手机系统自带的本地打印 | 基本在局域网内完成，可以留 |
| 扫描直接发邮箱 | 设置里会存一份邮箱账号与密码，换设备或送修前记得清除 |
| 小程序或公众号绑定打印 | 相当于长期授权，不用时解除绑定 |
送修或换新之前记得这三步
一，在打印机设置里恢复网络与账号类配置，把存过的邮箱密码、无线直连口令清掉。二，删除内置的任务列表与临时存储，带硬盘的高端机型上尤其要做这一步。三，如果曾把它接在公司网络里，让管理端解除注册，不要让一台已经不在控制下的设备继续留在名单里。
最后一句
打印机的合理姿态是：只在局域网里等着接任务，谁能打印由路由器内的设备决定，管理后台的密码不是一条出厂默认。它不需要多一层防护软件，只需要有人把这三个口改一下。