পরিবারের সাথে একটি VPN লগইন ভাগ করা: পরে কী ভাঙে
একটি ভাগ করা VPN পাসওয়ার্ড চারটি সিদ্ধান্ত লুকায়: প্রতি-ডিভাইস পরিচয়, সেশন সীমা, অপসারণ ও পুনরুদ্ধার। দ্বিতীয় ডিভাইস সংযুক্ত হওয়ার আগে এগুলো ঠিক করুন।
একটি VPN ব্যবহারকারীর নাম ও পাসওয়ার্ড দ্বিতীয় ডিভাইসে কপি করতে এক মিনিট লাগে এবং ভালোভাবে চলে, আর ঠিক এ কারণেই সমস্যাগুলো মাসের পর মাস পরে দেখা দেয়। আপনি যে ক্রেডেনশিয়াল দিয়েছেন তা সাধারণত একটি টানেলের চেয়ে বেশি নিয়ন্ত্রণ করে: সেগুলো সাবস্ক্রিপশন, পুনরুদ্ধার মেইলবক্স ও ডিভাইস তালিকার মালিক হতে পারে। দ্বিতীয় ফোন সংযুক্ত হওয়ার আগে স্পষ্ট করুন লগইন আসলে কী অনুমতি দেয় এবং বাকি ডিভাইস না ছুঁয়ে একটি ডিভাইস কীভাবে সরানো হবে।
একটি পাসওয়ার্ড, কয়েকটি আলাদা অধিকার
বাণিজ্যিক VPN অ্যাকাউন্ট সাধারণত একটি লগইনের পেছনে তিনটি জিনিস রাখে: টানেলের ক্রেডেনশিয়াল, বিলিং বা প্ল্যানের রেকর্ড এবং অ্যাকাউন্টের পুনরুদ্ধার চ্যানেল। প্রথমটি ভাগ করা সংযোগের সিদ্ধান্ত; বাকি দুটি ভাগ করা সাবস্ক্রিপশনের নিয়ন্ত্রণ দেওয়া। অনেক প্রদানকারী আপনি সচেতনভাবে আলাদা না করা পর্যন্ত সেগুলো একই ক্রেডেনশিয়ালে রাখে, তাই প্রশ্নটি পাসওয়ার্ড দুটি ডিভাইসে চলে কি না নয়, বরং এটি আর কী খোলে। অপারেটরকে জিজ্ঞাসা করুন লগইন তিনটির কোনটি নিয়ন্ত্রণ করে, এবং আলাদা বিলিং মালিক বা পুনরুদ্ধার ঠিকানা নিয়োগ করা যায় কি না। সেই একটিই উত্তর ঠিক করে আপনি আসলে অ্যাকাউন্টের কতটা অংশ দিচ্ছেন।
সার্ভারের দিকে অ্যাকাউন্ট হলো প্ল্যান ও সংযোগ কাউন্টারসহ একটি সারি। ক্লায়েন্ট অ্যাপ সেই সারির শুধু একটি দৃশ্য, এবং অন্য ক্লায়েন্ট দিয়ে এড়ানো যায় না এমন কিছুই এটি প্রয়োগ করে না। তাই «একটি ডিভাইস» প্ল্যান সার্ভার চতুর্থ সেশন প্রত্যাখ্যান করার সিদ্ধান্ত নেওয়া পর্যন্ত তিনটি ডিভাইস থেকে সংযুক্ত হয়।
দুই-ফ্যাক্টর প্রমাণীকরণ ভাগ করার প্রশ্নটি আরও তীক্ষ্ণ করে। চারটি ফোনে নিবন্ধিত TOTP গোপনীয়তা একই দ্বিতীয় ফ্যাক্টরের চারটি অনুলিপি, এবং এর যেকোনোটি লগইন পূরণ করতে পারে। অ্যাকাউন্ট আলাদা অ্যাপ পাসওয়ার্ড বা প্রতি-ডিভাইস নিবন্ধন সমর্থন করলে সেগুলো ব্যবহার করুন; না করলে ভাগ করা দ্বিতীয় ফ্যাক্টরকে সমাধান হওয়া সমস্যা নয় বরং জানা দুর্বলতা হিসেবে দেখুন।
প্রতি-ডিভাইস কী অপসারণের অর্থ বদলে দেয়
স্ব-হোস্ট করা সেটআপ আলাদা কারণ পরিচয় অ্যাকাউন্ট সারিতে নয়, কনফিগারেশনে থাকে। একটি WireGuard পিয়ার হলো একটি পাবলিক কী ও অনুমোদিত ঠিকানার সেট, এবং সার্ভার সেই কী মিলিয়ে হ্যান্ডশেক অনুমোদন করে। পিয়ার এন্ট্রি মুছে দিলে ডিভাইস হ্যান্ডশেক সম্পূর্ণ করতে পারে না, তার কাছে যে পাসওয়ার্ডই থাকুক।
এই মডেল পরিষ্কার অপসারণ দেয় কিন্তু প্রতি-ব্যক্তি হিসাব দেয় না, যা WireGuard জানা সীমাবদ্ধতা হিসেবে নথিভুক্ত করে। সার্ভার কী দেখে, পরিবারের সদস্য নয়।
sudo wg show wg0 peers sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove sudo wg show wg0 latest-handshakes
OpenVPN স্থাপনা সার্টিফিকেট ও প্রত্যাহার তালিকার মাধ্যমে একই জায়গায় পৌঁছায়: প্রতিটি ক্লায়েন্ট নিজের সার্টিফিকেট পায়, এবং একটি এন্ট্রি প্রত্যাহার করলে বাকিগুলো চলতে থাকে। দুই নকশাতেই পরিচয় প্রতি ডিভাইসে, তাই হারানো ফোন পুরো বাড়ির ক্রেডেনশিয়াল রিসেট করার বদলে একটি মাত্র মুছে ফেলা।
একসাথে সংযোগের সীমা সার্ভারে থাকে
«পাঁচটি ডিভাইস» বিক্রি করা প্রদানকারীরা সাধারণত একসাথে চলা সেশন গোনে, ইনস্টল করা অ্যাপ নয়। দুটি ল্যাপটপ ও একটি ফোন ঠিক থাকতে পারে যখন তৃতীয় ল্যাপটপ অ্যাকাউন্টকে সীমার ওপরে ঠেলে দেয় এবং একটি বিদ্যমান সেশন বাদ পড়ে। ক্লায়েন্ট এটি খুব কমই ব্যাখ্যা করে, তাই লক্ষণটি অস্থির সংযোগের মতো দেখায়, প্ল্যানের সীমার মতো নয়।
| Model | What removal costs |
|---|---|
| Shared username and password | Password change for everyone, re-enrollment on every device |
| Per-device app password | Revoke one credential, others keep working |
| Per-device key or certificate | Delete one peer or revoke one certificate |
ডিভাইস সংখ্যার প্রতিশ্রুতি দেওয়ার আগে আসল নিয়মের জন্য প্ল্যানের শর্ত পড়ুন। কিছু সেবা সংযোগ গোনে, কিছু নির্দিষ্ট সময়ে দেখা আলাদা ডিভাইস গোনে, আর কিছু একই স্থানীয় নেটওয়ার্কে বেশি সংখ্যা অনুমোদন করে।
দ্বিতীয় ডিভাইসের আগে বাড়ির নিয়ম ঠিক করুন
চারটি জিনিস লিখুন: পুনরুদ্ধার মেইলবক্স কার কাছে, কে ডিভাইস যোগ বা সরাতে পারে, প্ল্যান বদলালে কে টাকা দেয়, এবং কেউ চলে গেলে কী হয়। এগুলো নীতিগত সিদ্ধান্ত যা কোনো ক্লায়েন্ট সেটিং আপনার হয়ে নিতে পারে না, আর জরুরি অপসারণ দরকার হওয়ার আগে এগুলো নিয়ে একমত হওয়া অনেক সহজ। উত্তরগুলো বাড়ি যেখানে খুঁজে পায় এমন এক জায়গায় রাখুন, কোন ডিভাইসের নাম কার তা সহ। নামের তালিকাই পিয়ার কী বা অ্যাপ পাসওয়ার্ডকে আবার এমন কারও করে তোলে যাকে আপনি ফোন করতে পারেন।
টানেলের ক্রেডেনশিয়াল ভাগ করা নোট ও চ্যাট ইতিহাস থেকে দূরে রাখুন। ভাগ করা ভল্টসহ পাসওয়ার্ড ম্যানেজার, বা অপারেটরের জারি করা প্রতি-ডিভাইস ক্রেডেনশিয়াল গোপনীয়তাকে হস্তান্তরযোগ্য রাখে এবং তিনটি বার্তা-শৃঙ্খলে অনুলিপি রেখে যায় না।
সেবাটি তত্ত্বাবধানে থাকা অ্যাকাউন্ট ও পারিবারিক ফিল্টার কীভাবে সামলায় তাও দেখুন, কারণ VPN নেটওয়ার্কের পথ বদলায় কিন্তু অভিভাবক নিয়ন্ত্রণ বা ডিভাইস ব্যবস্থাপনার জায়গা নেয় না। তারপর প্রত্যেকের জন্য একটি বাস্তব কাজ পরীক্ষা করুন: মেইল, ভিডিও কল, কাজের পোর্টাল। টানেল উঠে আসা এই প্রমাণ নয় যে রুট, DNS আর স্প্লিট-টানেল নিয়ম প্রতিটি প্ল্যাটফর্মে একইভাবে আচরণ করে।
অপসারণের পথ তখনই প্রমাণ করুন যখন এটি এখনো সহজ
অপসারণ সবাই যেটি পিছিয়ে দেয় সেই অংশ, তাই এটি আপনার নিয়ন্ত্রণে থাকা ডিভাইসে পরীক্ষা করুন। একটি অতিরিক্ত ফোন বা ল্যাপটপ যোগ করুন, এটি সংযুক্ত হয় কি না নিশ্চিত করুন, তারপর সেই ডিভাইসটি অপারেটরের নথিভুক্ত পদ্ধতিতে প্রত্যাহার করুন এবং বাকিগুলো চালু থাকা অবস্থায় টানেল ব্যর্থ হয় কি না নিশ্চিত করুন।
curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/healthপ্রত্যাহৃত ডিভাইস একটি সেশনের মধ্যে ভেতরের ঠিকানায় পৌঁছানো বন্ধ করবে, কেবল রিস্টার্টের পরে আবার সংযুক্ত হতে ব্যর্থ হবে তা নয়। পুরোনো সেশন চলতে থাকলে প্রত্যাহার সার্ভারে পৌঁছায়নি, এবং ক্রেডেনশিয়াল এখনো জীবন্ত।
ফলাফলটি বাড়ির সেই নোটে লিখুন যা আগেই ডিভাইসগুলো তালিকাভুক্ত করে, এবং ফোন বদলালে আবার দেখুন। এই ব্যবস্থা ততক্ষণই সামলানো যায় যতক্ষণ পরিচয়, সীমা ও অপসারণের ধাপ সবই লেখা থাকে।