Сумесны ўваход у VPN у сям'і: што ламаецца пазней

Капіраванне імені карыстальніка і пароля VPN на другую прыладу займае хвіліну і працуе добра, і менавіта таму праблемы ўсплываюць праз месяцы. Дадзеныя для ўваходу, якія вы перадалі, звычайна кантралююць больш за тунель: яны могуць валодаць падпіскай, скрыняй для аднаўлення і спісам прылад. Перш чым падключыцца другі тэлефон, высветліце, што ўваход насамрэч дазваляе і як выдаліць одну прыладу, не кранаючы астатніх.

Адзін пароль, некалькі розных правоў

Камерцыйныя ўліковыя запісы VPN звычайна аб'ядноўваюць тры рэчы за адным уваходам: дадзеныя тунеля, запіс пра аплату або тарыф і канал аднаўлення ўліковага запісу. Дзяліцца першым — гэта рашэнне пра злучэнне; дзяліцца двума астатнімі — перадаць кантроль над падпіскай. Многія пастаўшчыкі трымаюць іх на адных дадзеных, пакуль вы свядома не падзеліце іх, таму пытанне не ў тым, ці працуе пароль на дзвюх прыладах, а ў тым, што яшчэ ён адкрывае. Спытайце аператара, які з трох кантралюецца ўваходам, і ці можна прызначыць асобнага ўласніка аплаты або адрас для аднаўлення. Адзін гэты адказ вызначае, якую частку ўліковага запісу вы насамрэч перадаяце.

На баку сервера ўліковы запіс — гэта радок з тарыфам і лічыльнікам злучэнняў. Кліенцкая праграма — толькі прадстаўленне гэтага радка, і яна не ўводзіць нічога, што нельга было б абысці іншым кліентам. Таму тарыф «адна прылада» ўсё яшчэ падключаецца з трох прылад, пакуль сервер не вырашыць адхіліць чацвёртую сесію.

Двухфактарная аўтэнтыфікацыя робіць пытанне пра сумеснае карыстанне вастрэйшым. Сакрэт TOTP, зарэгістраваны на чатырох тэлефонах, — гэта чатыры копіі аднаго і таго ж другога фактару, і любая з іх можа задаволіць уваход. Калі ўліковы запіс падтрымлівае асобныя паролі праграм або рэгістрацыю на прыладзе, выкарыстоўвайце іх; калі не, стаўцеся да сумеснага другога фактару як да вядомай слабасці, а не як да вырашанай праблемы.

Ключы на прыладу мяняюць сэнс выдалення

Самастойна размешчаныя ўстаноўкі адрозніваюцца тым, што ідэнтычнасць жыве ў канфігурацыі, а не ў радку ўліковага запісу. Peer WireGuard — гэта публічны ключ плюс дазволены набор адрасоў, і сервер дазваляе рукапоціск, звяраючы гэты ключ. Выдаліце запіс peera, і прылада не зможа завяршыць рукапоціск, незалежна ад таго, які пароль у яе яшчэ ёсць.

Гэтая мадэль дае чыстае выдаленне, але не дае ўліку на чалавека, што WireGuard дакументуе як вядомае абмежаванне. Сервер бачыць ключы, а не членаў сям'і.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Устаноўка OpenVPN дасягае таго ж праз сертыфікаты і спіс адклікання: кожны кліент атрымлівае свой сертыфікат, а адкліканне аднаго запісу пакідае іншыя працаваць. У абодвух варыянтах ідэнтычнасць на прыладу, таму згублены тэлефон — гэта адно выдаленне замест скідвання дадзеных для ўсёй сям'і.

Абмежаванні адначасовасці жывуць на серверы

Пастаўшчыкі, якія прадаюць «пяць прылад», звычайна лічаць адначасовыя сесіі, а не ўсталяваныя праграмы. Два ноўтбукі і тэлефон могуць быць у парадку, пакуль трэці ноўтбук штурхае ўліковы запіс за мяжу і адна існуючая сесія скідаецца. Кліент рэдка гэта тлумачыць, таму сімптом выглядае як няўстойлівае злучэнне, а не як мяжа тарыфу.

Прачытайце ўмовы тарыфу, каб даведацца сапраўднае правіла, перш чым абяцаць колькасць прылад. Некаторыя сэрвісы лічаць злучэнні, іншыя — розныя прылады, убачаныя за перыяд, а трэція дазваляюць большую колькасць у той жа лакальнай сетцы.

Усталюйце сямейныя правілы да другой прылады

Запішыце чатыры рэчы: хто трымае скрыню для аднаўлення, хто можа дадаць або выдаліць прыладу, хто плаціць, калі тарыф змяняецца, і што адбываецца, калі нехта выязджае. Гэта рашэнні палітыкі, якія ніякая налада кліента не прыме за вас, і значна лягчэй дамовіцца пра іх, перш чым спатрэбіцца тэрміновае выдаленне. Пакладзіце адказы ў адно месца, якое сям'я знойдзе, уключаючы, якія назвы прылад належаць якому чалавеку. Спіс імён — гэта тое, што вяртае ключ peera або пароль праграмы ў кагосьці, каму можна патэлефанаваць.

Трымайце дадзеныя тунеля далей ад агульных нататак і гісторыі чата. Менеджэр пароляў з агульным сховішчам або дадзеныя на прыладу, выдадзеныя аператарам, захоўваюць сакрэт пераносным, не пакідаючы копій у трох ланцугах паведамленняў.

Праверце таксама, як сэрвіс ставіцца да паднаглядных уліковых запісаў і сямейных фільтраў, бо VPN змяняе сеткавы шлях, але не замяняе бацькоўскі кантроль або кіраванне прыладамі. Затым праверце адну рэальную задачу на чалавека: пошту, відэавыклік, працоўны партал. Тунель, які ўзнімаецца, не даказвае, што маршруты, DNS і правілы падзеленага тунеля паводзяць сябе аднолькава на кожнай платформе.

Дакажыце шлях выдалення, пакуль ён яшчэ просты

Выдаленне — гэта частка, якую ўсе адкладаюць, таму праверце яе на прыладзе, якой вы кіруеце. Дадайце запасны тэлефон або ноўтбук, пацвердзіце, што ён падключаецца, затым адклічце гэтую прыладу дакументаваным метадам аператара і пацвердзіце, што тунель падае, пакуль астатнія працуюць.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Адкліканая прылада павінна перастаць дасягаць унутраны адрас на працягу сесіі, а не проста не змагчы падключыцца пасля перазагрузкі. Калі старая сесія працягвае працаваць, адкліканне не дайшло да сервера, і дадзеныя для ўваходу ўсё яшчэ актыўныя.

Запішыце вынік у сямейнай нататцы, якая ўжо пералічвае прылады, і вярніцеся да яе, калі тэлефон замяняюць. Схема застаецца кіравальнай толькі тады, калі ідэнтычнасці, абмежаванні і крок выдалення ўсе запісаны.