Een VPN-aanmelding met die gesin deel: wat later breek

Om 'n VPN-gebruikersnaam en -wagwoord op 'n tweede toestel te kopieer, neem 'n minuut en werk fyn, en dit is juis hoekom die probleme maande later opduik. Die geloofsbriewe wat jy oorhandig het, beheer gewoonlik meer as net 'n tonnel: dit besit moontlik die intekening, die herstelposbus en die toestellys. Voordat die tweede foon koppel, werk uit wat die aanmelding werklik magtig en hoe een toestel verwyder sal word sonder om die res te raak.

Een wagwoord, verskeie verskillende regte

Kommersiële VPN-rekeninge bundel gewoonlik drie dinge agter een aanmelding: die tonnel-geloofsbriewe, die fakturerings- of planrekord en die kanaal vir rekeningherstel. Om die eerste te deel is 'n verbindingsbesluit; om die ander twee te deel, gee beheer oor die intekening oor. Baie verskaffers hou hulle op dieselfde geloofsbriewe totdat jy dit doelbewus skei, so die vraag is nie of die wagwoord op twee toestelle werk nie, maar wat anders dit oopmaak. Vra die operateur watter van die drie die aanmelding beheer, en of 'n aparte faktureringseienaar of hersteladres aangewys kan word. Daardie enkele antwoord bepaal hoeveel van die rekening jy werklik oorhandig.

Aan die bedienerkant is die rekening 'n ry met 'n plan en 'n verbindingsteller. Die kliënttoepassing is net 'n aansig van daardie ry, en dit dwing niks af wat jy nie met 'n ander kliënt kon omseil nie. Dit is hoekom 'n plan vir “een toestel” steeds van drie toestelle koppel totdat die bediener besluit om die vierde sessie te verwerp.

Twee-faktor-verifikasie maak die deelvraag skerper. 'n TOTP-geheim wat op vier foons ingeskryf is, is vier kopieë van dieselfde tweede faktor, en enige een daarvan kan die aanmelding bevredig. As die rekening aparte toepassingswagwoorde of inskrywing per toestel ondersteun, gebruik hulle; as dit nie doen nie, hanteer die gedeelde tweede faktor as 'n bekende swakheid eerder as 'n opgeloste probleem.

Sleutels per toestel verander wat verwydering beteken

Selfgehoste opstellings verskil omdat identiteit in die konfigurasie woon eerder as in 'n rekeningry. 'n WireGuard-peer is 'n publieke sleutel plus 'n toegelate stel adresse, en die bediener magtig 'n handskud deur daardie sleutel te pas. Vee die peer-inskrywing uit en die toestel kan nie 'n handskud voltooi nie, maak nie saak watter wagwoord dit nog hou nie.

Daardie model gee jou skoon verwydering maar geen toerekening per persoon nie, wat WireGuard as 'n bekende beperking dokumenteer. Die bediener sien sleutels, nie familielede nie.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

'n OpenVPN-ontplooiing bereik dieselfde plek deur sertifikate en 'n herroepingslys: elke kliënt kry sy eie sertifikaat, en om een inskrywing te herroep laat die ander werk. In beide ontwerpe is die identiteit per toestel, so 'n verlore foon is 'n enkele skrapping eerder as 'n herstel van geloofsbriewe vir die hele huishouding.

Gelyktydigheidsgrense woon op die bediener

Verskaffers wat “vyf toestelle” verkoop, tel gewoonlik gelyktydige sessies, nie geïnstalleerde toepassings nie. Twee skootrekenaars en 'n foon kan reg wees terwyl 'n derde skootrekenaar die rekening oor die grens stoot en een bestaande sessie laat val word. Die kliënt verduidelik dit selde, so die simptoom lyk na 'n wankelrige verbinding eerder as na 'n plangrens.

Lees die planvoorwaardes vir die werklike reël voordat jy 'n toesteltal belowe. Sommige dienste tel verbindings, sommige tel afsonderlike toestelle wat in 'n tydperk gesien is, en sommige laat 'n hoër getal op dieselfde plaaslike netwerk toe.

Bepaal die huishoudingsreëls voor toestel twee

Skryf vier dinge neer: wie hou die herstelposbus, wie kan 'n toestel byvoeg of verwyder, wie betaal wanneer die plan verander, en wat gebeur wanneer iemand weggaan. Dit is beleidsbesluite wat geen kliëntinstelling vir jou kan maak nie, en hulle is baie makliker om oor eens te word voordat 'n dringende verwydering nodig is. Plaas die antwoorde op een plek wat die huishouding kan vind, insluitend watter toestelname aan watter persoon behoort. 'n Lys name is wat 'n peer-sleutel of 'n toepassingswagwoord terug verander in iemand wat jy kan bel.

Hou die tonnel-geloofsbriewe uit gedeelde notas en gesprekgeskiedenis. 'n Wagwoordbestuurder met 'n gedeelde kluis, of 'n geloofsbrief per toestel wat die operateur uitreik, hou die geheim oordraagbaar sonder om kopieë in drie boodskappe te los.

Kyk ook hoe die diens toesigrekeninge en gesinsbeheer hanteer, want 'n VPN verander die netwerkpad sonder om ouerbeheer of toestelbestuur te vervang. Toets dan een werklike taak per persoon: e-pos, 'n video-oproep, 'n werkportaal. 'n Tonnel wat opkom, is nie bewys dat roetes, DNS en split-tonnel-reëls op elke platform dieselfde optree nie.

Bewys die verwyderingspad terwyl dit nog maklik is

Verwydering is die deel wat almal uitstel, so toets dit op 'n toestel wat jy beheer. Voeg 'n oortollige foon of skootrekenaar by, bevestig dat dit koppel, herroep dan daardie toestel met die operateur se gedokumenteerde metode en bevestig dat die tonnel faal terwyl die ander op bly.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

'n Herroepte toestel behoort binne een sessie op te hou om die interne adres te bereik, nie bloot om na 'n herlaai nie weer te koppel nie. As die ou sessie aanhou werk, het die herroeping nie die bediener bereik nie, en die geloofsbrief is nog lewendig.

Teken die resultaat aan in die huishoudingnota wat reeds die toestelle lys, en hersien dit wanneer 'n foon vervang word. Die reëling bly net hanteerbaar terwyl die identiteite, die grense en die verwyderingsstap almal neergeskryf is.