Bir VPN girişini ailə ilə paylaşmaq: sonra nə pozulur

VPN istifadəçi adı və şifrəsini ikinci cihaza köçürmək bir dəqiqə çəkir və yaxşı işləyir, buna görə də problemlər aylarla sonra üzə çıxır. Verdiyiniz giriş məlumatları adətən tuneldən çoxunu idarə edir: onlar abunəyə, bərpa poçt qutusuna və cihaz siyahısına sahib ola bilər. İkinci telefon qoşulmadan əvvəl girişin həqiqətən nəyə icazə verdiyini və digərlərinə toxunmadan bir cihazı necə silməyi aydınlaşdırın.

Bir şifrə, bir neçə fərqli hüquq

Kommersiya VPN hesabları adətən bir girişin arxasında üç şeyi birləşdirir: tunel məlumatları, ödəniş və ya tarif qeydi və hesabın bərpa kanalı. Birincisini paylaşmaq — qoşulma qərarı; digər ikisini paylaşmaq — abunə üzərində nəzarəti verməkdir. Bir çox provayder onları qəsdən ayırmayınca eyni məlumatda saxlayır, ona görə sual şifrənin iki cihazda işləməsi deyil, onun başqa nəyi açmasıdır. Operatordan üçündən hansını girişin idarə etdiyini və ayrıca ödəniş sahibinin və ya bərpa ünvanının təyin oluna biləcəyini soruşun. Bu tək cavab hesabın nə qədərini həqiqətən təhvil verdiyinizi müəyyən edir.

Server tərəfində hesab — tarifi və qoşulma sayğacı olan sətirdir. Müştəri tətbiqi yalnız həmin sətrin görünüşüdür və başqa müştəri ilə yan keçə bilməyəcəyiniz heç nəyi tətbiq etmir. Buna görə «bir cihaz» tarifi server dördüncü sessiyanı rədd etməyə qərar verənə qədər üç cihazdan qoşulur.

İki faktorlu autentifikasiya paylaşma sualını kəskinləşdirir. Dörd telefonda qeydiyyata alınmış TOTP sirri eyni ikinci amilin dörd nüsxəsidir və onlardan hər hansı biri girişi təmin edə bilər. Əgər hesab ayrıca tətbiq şifrələrini və ya cihaz üzrə qeydiyyatı dəstəkləyirsə, onlardan istifadə edin; dəstəkləmirsə, paylaşılan ikinci amilə həll olunmuş problem deyil, məlum zəiflik kimi yanaşın.

Cihaz üzrə açarlar silmənin mənasını dəyişir

Özünüz yerləşdirdiyiniz qurğular kimliyin hesab sətrində deyil, konfiqurasiyada yaşaması ilə fərqlənir. WireGuard peer — açıq açar və icazə verilmiş ünvanlar dəsti, server isə həmin açarı uyğunlaşdıraraq əl sıxışmaya icazə verir. Peer qeydini silsəniz, cihaz hansı şifrəyə sahib olsa da əl sıxışmanı tamamlaya bilməz.

Bu model təmiz silmə verir, lakin adam üzrə hesabat vermir, bunu WireGuard məlum məhdudiyyət kimi sənədləşdirir. Server açarları görür, ailə üzvlərini yox.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

OpenVPN quraşdırması sertifikatlar və ləğvetmə siyahısı ilə eyni nəticəyə gəlir: hər müştəri öz sertifikatını alır və bir qeydin ləğvi digərlərini işlək saxlayır. Hər iki dizaynda kimlik cihaz üzrədir, ona görə itirilmiş telefon — bütün ev təsərrüfatı üçün giriş məlumatlarının sıfırlanması əvəzinə bir silmədir.

Eyni vaxtlılıq məhdudiyyətləri serverdə yaşayır

«Beş cihaz» satan provayderlər adətən eyni vaxtlı sessiyaları sayır, quraşdırılmış tətbiqləri yox. İki noutbuk və telefon yaxşı ola bilər, üçüncü noutbuk isə hesabı həddən çıxarır və mövcud sessiyalardan biri düşür. Müştəri bunu nadir hallarda izah edir, ona görə simptom tarif həddi deyil, qeyri-sabit bağlantı kimi görünür.

Cihaz sayını vəd etməzdən əvvəl tarif şərtlərini oxuyub həqiqi qaydanı öyrənin. Bəzi xidmətlər qoşulmaları sayır, bəziləri müəyyən dövrdə görünən fərqli cihazları sayır, digərləri eyni lokal şəbəkədə daha çox sayğa icazə verir.

Ev qaydalarını ikinci cihazdan əvvəl həll edin

Dörd şeyi yazın: bərpa poçt qutusu kimdədir, kim cihaz əlavə edə və ya silə bilər, tarif dəyişəndə kim ödəyir və kimsə köçəndə nə olur. Bunlar müştərinin heç bir parametrinin sizin üçün qəbul edə bilmədiyi siyasət qərarlarıdır və təcili silmə lazım olmadan əvvəl onlar barədə razılaşmaq xeyli asandır. Cavabları ev təsərrüfatının tapa biləcəyi bir yerə qoyun, hansı cihaz adının kimə aid olduğu da daxil olmaqla. Adlar siyahısı peer açarını və ya tətbiq şifrəsini yenidən zəng edə biləcəyiniz adama çevirən şeydir.

Tunel məlumatlarını ortaq qeydlərdən və çat tarixindən uzaq saxlayın. Ortaq seyfi olan şifrə meneceri və ya operatorun verdiyi cihaz üzrə məlumat sirri üç mesaj zəncirində nüsxə qoymadan ötürülə bilən saxlayır.

Həmçinin xidmətin nəzarət altındakı hesablara və ailə filtrlərinə necə yanaşdığını yoxlayın, çünki VPN şəbəkə yolunu dəyişir, lakin valideyn nəzarətini və ya cihaz idarəetməsini əvəz etmir. Sonra hər adam üçün bir real tapşırığı sınayın: poçt, video zəng, iş portalı. Qalxan tunel marşrutların, DNS-in və bölünmüş tunel qaydalarının hər platformada eyni davrandığını sübut etmir.

Silmə yolunu hələ asan olanda sübut edin

Silmə — hamının təxirə saldığı hissədir, ona görə onu özünüz idarə etdiyiniz cihazda sınayın. Əlavə telefon və ya noutbuk əlavə edin, onun qoşulduğunu təsdiqləyin, sonra həmin cihazı operatorun sənədləşdirilmiş üsulu ilə ləğv edin və digərləri işləyərkən tunelin düşdüyünü təsdiqləyin.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Ləğv edilmiş cihaz bir sessiya ərzində daxili ünvana çatmağı dayandırmalıdır, yalnız yenidən yükləmədən sonra qoşula bilməməsi deyil. Əgər köhnə sessiya işləməyə davam edirsə, ləğv serverə çatmayıb və giriş məlumatları hələ də qüvvədədir.

Nəticəni cihazları artıq sadalayan ev qeydinə yazın və telefon dəyişdiriləndə ona yenidən baxın. Düzən yalnız kimliklər, məhdudiyyətlər və silmə addımı hamısı yazıldığı halda idarəolunan qalır.