Vlad_moroz

Подойти к клиентам и настучать по голове, чтобы в настройках торрент уменьшил количество соединений с 200 (по умолчанию в некоторых) до хотя бы 50 или лучше 10

Отлавливать таких мониторингом соединений и ронять им скорость, когда позвонят спросить - объяснить как делать не надо.

1) Правильно - через политики безопасности в Active Directory.
2) Неправильно:
- Идите в админку принтера и отключайте всё, что касается PnP, чтоб они не светились в сети и не подцеплялись "автоматом". Оставляете только LPD протокол и настраиваете руками на него компы. Разумеется все IP принтеров - статика.
- Второй путь - меняете IP принтеров вручную, на другую подсеть. Любой комп в сети - делаете "сервером печати", назначате ему статикой 2 IP: первый обычный, второй из подсети принтеров. Дальше стандартно их подцепляете и расшариваете пользователям, назначив права.

Правда вы упоминаете не принтеры а МФУ... А вот про сканирование надо подумать отдельно.

Не могу не предложить решать проблему организационными мерами.
Я считаю, что в ваших условиях, когда пользователям дозволено всё, другого решения нет.

По хорошему вопрос решается на уровне доменных политик, но скорее всего у Вас там все пользователи сидят как локальные администраторы.
За автоматическое обнаружение принтеров отвечают сетевые службы AirPrint/mDNS,WSD,SLP,SNMP.
Сама печать может работать через IPP, LPR/LPD, Raw TCP/IP (или JetDirect)
Самый анонимный вариант сетевого принтера - это JetDirect на 9100 , но легко вскрывается сканированием сети.
Но тут проблема в связке с DHCP вы не сможете на него и сами попасть. Остается только назначить статический IP.
Но в результате секрет Полишинеля :(
Принтеры могут иметь белые списки по mac,ip. Но сейчас винда по умолчанию использует скрытие мак адреса, а айпишники динамические

У принтера есть свойства, в свойствах есть вкладка "Безопасность" - там список учетных записей, которые могут печатать, управлять принтером, управлять документами и т.д. Этот список можно привести в соответствие вашим хотелкам.
При наличии принт-сервера и/или домена можно всеми необходимыми для печати документов правами пользователей рулить более продуктивно через, например, доменные группы безопасности, GPO/GPP и т.д.

Ты можешь выключить Discovery на самих принтерах и соответственно не зная IP его не получить добавить на ПК.
В плане ограничения доступа необходимо смотреть на функционал самого принтера, возможно бренд который ты используешь заложил такую возможность. По взрослому органичение доступа реализовывают через принтсервер на базе windows или cups.

Самое дешевое решение (конечно его можно обойти, если знаешь как) - это поместить каждое сетевое устройство в свою подсеть, парами (т.е. принтер и компьютер прописываешь подсеть и 2 ip адреса, отличающиеся от основной сети). Это не vlan, так как изоляции нет и пакеты гуляют в общей куче, но все машины, укоторых не прописаны соответствующие настройки проигнорируют их, ни найти ни распечатать без настройки на машине будет нельзя.

На машинах нужно будет прописывать два ip адреса (либо dhcp по mac адресу либо статикой вручную), один - общая локальная сеть организации, другой - из локальной сети принтера. На принтерах настраиваешь только один ip адрес.

Принтеры, не умеющие работать по сети нужно будет подключать к какому-либо компьютеру, и запретить этому компьютеру на нем печатать в общем случае не получится (можно настроить права доступа и запретить пользователю печатать на нем, вот только не помню, работает ли запрет сразу на все принтеры или только на выбранный)