مشاركة تسجيل دخول واحد عبر VPN مع العائلة: ما الذي ينكسر لاحقًا
كلمة مرور VPN مشتركة تخفي أربعة قرارات: هوية كل جهاز، وحدود الجلسات، والإزالة، والاستعادة. حلها قبل أن يتصل الجهاز الثاني.
نسخ اسم مستخدم وكلمة مرور VPN إلى جهاز ثانٍ يستغرق دقيقة ويعمل جيدًا، ولهذا السبب بالذات تظهر المشكلات بعد أشهر. بيانات الدخول التي سلمتها عادةً ما تتحكم بأكثر من نفق: قد تملك الاشتراك وصندوق بريد الاستعادة وقائمة الأجهزة. قبل أن يتصل الهاتف الثاني، تبيّن ما الذي يسمح به الدخول فعليًا وكيف سيُزال جهاز واحد دون المساس بالبقية.
كلمة مرور واحدة وصلاحيات مختلفة
تجمع حسابات VPN التجارية عادةً ثلاثة أشياء خلف تسجيل دخول واحد: بيانات النفق، وسجل الفوترة أو الخطة، وقناة استعادة الحساب. مشاركة الأول قرار اتصال؛ مشاركة الآخرين تسليم السيطرة على الاشتراك. كثير من المزودين يبقونها على البيانات ذاتها حتى تفصلها عمدًا، لذا ليس السؤال هل تعمل كلمة المرور على جهازين، بل ماذا تفتح أيضًا. اسأل المشغّل أي الثلاثة يتحكم به الدخول، وهل يمكن تعيين مالك فوترة أو عنوان استعادة منفصلين. ذلك الجواب الواحد يحدد كم من الحساب تسلّمه في الحقيقة.
على جانب الخادم، الحساب صف فيه خطة وعداد اتصالات. تطبيق العميل مجرد عرض لذلك الصف، ولا يفرض شيئًا لا يمكن تجاوزه بعميل آخر. لهذا يتصل حساب «جهاز واحد» من ثلاثة أجهزة حتى يقرر الخادم رفض الجلسة الرابعة.
التحقق بخطوتين يزيد سؤال المشاركة حدة. سر TOTP المسجل على أربعة هواتف هو أربع نسخ من العامل الثاني نفسه، وأي منها يستطيع إتمام الدخول. إذا كان الحساب يدعم كلمات مرور تطبيق منفصلة أو تسجيلًا لكل جهاز فاستخدمها؛ وإلا فتعامل مع العامل الثاني المشترك كضعف معروف لا كمسألة محلولة.
المفاتيح لكل جهاز تغيّر معنى الإزالة
تختلف التنصيبات المستضافة ذاتيًا لأن الهوية تعيش في الإعداد لا في صف الحساب. قرين WireGuard هو مفتاح عام بالإضافة إلى مجموعة عناوين مسموح بها، والخادم يأذن بالمصافحة بمطابقة ذلك المفتاح. إن حذفت سجل القرين فلن يستطيع الجهاز إكمال مصافحة، أياً كانت كلمة المرور التي ما زال يحملها.
هذا النموذج يمنح إزالة نظيفة لكن دون محاسبة لكل شخص، وهو ما يوثقه WireGuard كقيد معروف. الخادم يرى مفاتيح، لا أفراد العائلة.
sudo wg show wg0 peers sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove sudo wg show wg0 latest-handshakes
تنصيب OpenVPN يصل إلى النتيجة ذاتها عبر الشهادات وقائمة الإلغاء: كل عميل يحصل على شهادته، وإلغاء سجل واحد يبقي البقية تعمل. في التصميمين الهوية لكل جهاز، لذا فالهاتف المفقود عملية حذف واحدة بدل إعادة تعيين بيانات البيت كله.
حدود التزامن تعيش على الخادم
المزودون الذين يبيعون «خمسة أجهزة» يعدّون عادةً الجلسات المتزامنة، لا التطبيقات المثبتة. حاسوبان محمولان وهاتف قد يكونون بخير بينما يدفع حاسوب ثالث الحساب فوق الحد وتُسقط جلسة قائمة. نادرًا ما يشرح العميل ذلك، لذا تبدو الأعراض كاتصال متذبذب لا كحد خطة.
| Model | What removal costs |
|---|---|
| Shared username and password | Password change for everyone, re-enrollment on every device |
| Per-device app password | Revoke one credential, others keep working |
| Per-device key or certificate | Delete one peer or revoke one certificate |
اقرأ شروط الخطة لمعرفة القاعدة الفعلية قبل أن تعدّد الأجهزة. بعض الخدمات تعدّ الاتصالات، وبعضها يعدّ الأجهزة المختلفة التي رُئيت خلال فترة، وبعضها يسمح بعدد أكبر على الشبكة المحلية ذاتها.
احسم قواعد البيت قبل الجهاز الثاني
اكتب أربعة أشياء: من يملك صندوق بريد الاستعادة، ومن يمكنه إضافة جهاز أو إزالته، ومن يدفع عند تغير الخطة، وماذا يحدث عندما يغادر أحدهم. هذه قرارات سياسة لا يستطيع أي إعداد عميل أن يتخذها عنك، والاتفاق عليها أسهل بكثير قبل الحاجة إلى إزالة عاجلة. ضع الأجوبة في مكان واحد يجد فيه البيت ضالته، بما في ذلك أي أسماء الأجهزة تعود لمن. قائمة الأسماء هي ما يعيد مفتاح قرين أو كلمة مرور تطبيق إلى شخص يمكنك الاتصال به.
أبعد بيانات النفق عن الملاحظات المشتركة وسجل المحادثات. مدير كلمات مرور بخزنة مشتركة، أو بيانات دخول لكل جهاز يصدرها المشغّل، يحفظ السر قابلًا للنقل دون ترك نسخ في ثلاثة سلاسل رسائل.
تحقق أيضًا من كيفية تعامل الخدمة مع الحسابات الخاضعة للإشراف ومرشحات العائلة، لأن VPN يغيّر مسار الشبكة دون أن يحل محل الرقابة الأبوية أو إدارة الأجهزة. ثم اختبر مهمة حقيقية لكل شخص: البريد، مكالمة فيديو، بوابة عمل. نفق يقوم ليس دليلًا على أن المسارات وDNS وقواعد النفق المنقسم تتصرف بالطريقة ذاتها على كل منصة.
أثبت مسار الإزالة ما دام سهلًا
الإزالة هي الجزء الذي يؤجله الجميع، فاختبرها على جهاز تتحكم به. أضف هاتفًا أو حاسوبًا احتياطيًا، وأكد أنه يتصل، ثم ألغِ ذلك الجهاز بالطريقة الموثقة لدى المشغّل وأكد أن النفق يفشل بينما يبقى الآخرون.
curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/healthالجهاز الملغى يجب أن يتوقف عن الوصول إلى العنوان الداخلي خلال جلسة واحدة، لا أن يفشل في إعادة الاتصال بعد إعادة التشغيل فقط. إن استمرت الجلسة القديمة بالعمل فالإلغاء لم يصل إلى الخادم، وبيانات الدخول ما زالت حيّة.
سجل النتيجة في ملاحظة البيت التي تسرد الأجهزة أصلًا، وراجعها عند استبدال هاتف. يبقى الترتيب قابلًا للإدارة فقط ما دامت الهويات والحدود وخطوة الإزالة كلها مكتوبة.