Help, er staat een Mac op mijn netwerk (11): de printer van de afdeling

Aflevering 11 van de serie Help, er staat een Mac op mijn netwerk.

Wat er gebeurde

Karin heeft sinds maandag ook een Mac. Marieke vond dat de receptie “het visitekaartje van het bedrijf” is, en een visitekaartje hoort er netjes uit te zien. Karin vond het prima, zolang ze maar kon printen. Dat kon ze niet.

Om tien over negen stond ze bij Ruud. “De offerte voor de familie Jansen moet de deur uit. Ik druk op afdrukken, hij zegt dat het gelukt is, en dan gebeurt er niks.”

Ruud liep mee naar de grote multifunctional op de gang. Dat apparaat is eigenlijk de echte baas van Bolderman. Hij print, kopieert, scant, niet en vouwt, en hij laat pas iets los als je je pasje ertegen houdt of je pincode intikt. Alle printjes lopen via PRINT01, de printserver die in de serverkast staat, tussen de NAS en de dweil.

“Op Windows werkt het gewoon,” zei Ruud. “Je dubbelklikt op \\PRINT01, je kiest Gang-MFP, en klaar. De driver komt vanzelf mee.” Hij keek naar de Mac van Karin. Er was geen \\PRINT01 om op te dubbelklikken.

Hij vond de printer uiteindelijk ook op de Mac, via Bonjour, rechtstreeks op het IP-adres van het apparaat. Karin printte. Er kwam niets uit. Want de MFP accepteert alleen taken die via de printserver komen, met een gebruikersnaam en een pincode erbij. Een anoniem printje van een onbekende Mac verdwijnt gewoon in het niets.

Tegen elven had Ruud de driver van de fabrikant gevonden. Die op PRINT01 staat. Uit 2014. “Voor Windows 7 en hoger,” stond erbij, wat in 2014 heel optimistisch klonk.

Sam kwam langs met een kop thee. “Mag ik even?”

Wat er echt aan de hand is

Een Windows-printserver doet drie dingen tegelijk. Hij verdeelt de drivers, hij regelt wie mag printen (op basis van je domeinaccount), en hij houdt de wachtrij bij. Windows-clients krijgen dat allemaal cadeau via Point and Print. Een Mac krijgt daar helemaal niets van. Die moet je zelf vertellen welke wachtrij, welke driver en welk account.

De Mac print via CUPS, hetzelfde printsysteem dat je op Linux tegenkomt. CUPS kan op drie manieren bij die multifunctional komen:

• Via de Windows-printserver (SMB). De Mac stuurt de taak naar smb://PRINT01/Gang-MFP. PRINT01 ziet een gebruiker en kan de taak doorgeven aan het beveiligd-printen-systeem. Maar de Mac heeft zelf een driver nodig die de opties van de MFP kent, zoals nietjes, lade 3 en vooral die pincode. Een Windows-driver uit 2014 helpt de Mac niets. Inloggen gaat met je domeinaccount, en als de Mac een Kerberos-ticket heeft (via Platform SSO of de Kerberos SSO-extensie) hoeft Karin niet steeds een wachtwoord in te typen.
• Direct naar het apparaat via IPP of AirPrint. Bijna elke MFP van de laatste tien jaar spreekt IPP en heeft AirPrint. Geen driver nodig, de Mac vraagt het apparaat zelf wat het kan. Werkt prima, alleen gaat de printserver eromheen, dus geen gebruikersnaam en geen beveiligd printen. Precies wat er bij Karin misging.
• Via een cloud- of follow-me-oplossing. Microsoft Universal Print, of een printbeheerpakket zoals PaperCut. Daar komt het printje terecht in een wachtrij die pas loslaat als je je pasje bij het apparaat houdt.

Daarbovenop zit nog de klok. Apple heeft aangekondigd dat Rosetta 2 na macOS 27 Golden Gate grotendeels verdwijnt. Vanaf macOS 28, verwacht in het najaar van 2027, draaien Intel-only programma’s niet meer. Printerdrivers en scanprogramma’s zijn precies de categorie die daar vaak nog in hangt. Een oude Intel-driver die het nu nog net doet, is dus geen oplossing maar een uitstel.

Zo los je het op

1. Kies een route

Wil je beveiligd printen met pasje of pincode houden (en dat wil Karin, want de loonstroken gaan ook over die printer), dan moet de taak langs iets dat weet wie er print. Dat is de printserver, Universal Print of je follow-me-pakket. Rechtstreeks AirPrint is prima voor de kleine printer in de werkplaats, niet voor de gang.

2. Printen via PRINT01 (SMB)

1. Download de actuele macOS-driver van de fabrikant van de MFP. Kijk of hij Apple silicon native ondersteunt (in de release notes staat dan “Universal” of “Apple silicon”). De driver is meestal een PKG.
2. Open Systeeminstellingen, Printers en scanners, klik op Voeg printer toe. Klik met de rechtermuisknop op de knoppenbalk, kies Pas knoppenbalk aan en sleep de knop Geavanceerd erbij.
3. Kies bij Geavanceerd als type “Windows printer via spoolss” en vul als URL smb://PRINT01/Gang-MFP in. Kies bij Gebruik de juiste driver van de fabrikant, niet “Algemene PostScript-printer”.
4. Zet in de printeropties (vaak onder Opties en toebehoren of in het printvenster) beveiligd afdrukken aan met gebruikers-ID en pincode.

3. Universal Print op de Mac

Gebruikt je organisatie al Universal Print, dan is er een officiële Universal Print-app in de Mac App Store. Volgens Microsoft Learn heb je macOS Sonoma 14.6.1 of nieuwer nodig en een licentie met Universal Print erin (zit in veel Microsoft 365-abonnementen). De gebruiker logt in met Entra ID en kiest zelf de printers. Je kunt de app via Intune uitrollen, maar printers automatisch toewijzen op de Mac kan Microsoft nog niet. Let ook op: niet elke printer is “volledig ondersteund” op macOS. Microsoft houdt daar een lijst voor bij, en printers via de nieuwere connector werken het best.

4. Follow-me en secure print

Pakketten zoals PaperCut, en de oplossingen die MFP-leveranciers zelf meeleveren, hebben bijna allemaal een Mac-client of een eigen IPP-wachtrij voor Macs. Het principe is overal gelijk: de Mac print naar één virtuele wachtrij, de server weet wie je bent, en het apparaat geeft je printje pas vrij als je je pasje ertegen houdt. Vraag je leverancier expliciet naar de Mac-client en of die native op Apple silicon draait.

5. Uitrollen via Intune

• Driver: zet de PKG van de fabrikant in Intune als macOS-app (LOB of unmanaged PKG).
• Printer: voor AirPrint-printers heeft het Intune-profiel Apparaatfuncties een AirPrint-sectie (IP-adres en pad, meestal ipp/print). Voor een SMB-wachtrij met een specifieke driver gebruik je een shellscript met lpadmin via Intune Scripts.
• Universal Print: rol de app uit vanuit de App Store via Apple Business en Intune.

6. En scannen?

Laat de MFP het werk doen. Scan naar e-mail of naar een gedeelde map op de fileserver, dan maakt het niet uit of de ontvanger een Mac of een pc heeft. De Mac opent die map gewoon via smb://. Gebruik je scannen naar e-mail via Microsoft 365, kijk dan even hoe de MFP verstuurt: Microsoft is bezig de oude basisauthenticatie voor SMTP uit te faseren, en dat is een klassieke stille scanstoring. Een apart scanprogramma op de Mac heb je dan bijna nooit nodig, en dat scheelt je weer een Intel-driver.

Sam had het om half twaalf werkend. Hij had niet eens de driver uit 2014 nodig, maar de nieuwe van de website, die gewoon Apple silicon ondersteunt. Karin hield haar pasje tegen het apparaat en de offerte rolde eruit. “Waarom heb jij dat zo snel?” vroeg Ruud. “Mijn studentenhuis had ook zo’n ding,” zei Sam. “Met pincode. Iedereen printte daar zijn scriptie.”

De les van Ruud

Een printserver is net een receptie: iedereen loopt erlangs, niemand denkt erover na, tot er iemand binnenkomt die de weg niet kent. De Mac is geen lastige gast, hij wil alleen even horen welke deur, welke driver en welk pasje. Regel dat één keer goed in Intune, en gooi meteen die driver uit 2014 weg. Die heeft lang genoeg in de serverkast naast de dweil gestaan.

Meer lezen: Printers en scanners op de Mac, Het einde van Rosetta en Apple Business, Entra ID en Intune.

Dit is aflevering 11 van Help, er staat een Mac op mijn netwerk. Hulp nodig bij Macs in je organisatie? Mail naar frank@analystict.nl.