Dijeljenje jedne VPN prijave u porodici: šta se kasnije pokvari

Kopiranje VPN korisničkog imena i lozinke na drugi uređaj traje minutu i dobro funkcioniše, i upravo zato se problemi pojave mjesecima kasnije. Vjerodajnice koje ste predali obično kontrolišu više od tunela: možda posjeduju pretplatu, sandučić za oporavak i spisak uređaja. Prije nego se drugi telefon poveže, razjasnite šta prijava zapravo odobrava i kako će se ukloniti jedan uređaj bez diranja ostalih.

Jedna lozinka, nekoliko različitih ovlaštenja

Komercijalni VPN računi obično grupišu tri stvari iza jedne prijave: vjerodajnicu tunela, zapis o naplati ili planu i kanal za oporavak računa. Dijeljenje prve je odluka o povezivanju; dijeljenje ostale dvije predaje kontrolu nad pretplatom. Mnogi pružaoci drže ih na istim vjerodajnicama dok ih namjerno ne razdvojite, pa pitanje nije radi li lozinka na dva uređaja, nego šta još otvara. Pitajte operatera kojoj od tri prijava upravlja i može li se imenovati poseban vlasnik naplate ili adresa za oporavak. Taj jedan odgovor odlučuje koliko računa zaista predajete.

Na strani servera račun je red sa planom i brojačem veza. Klijentska aplikacija je samo pregled tog reda i ne provodi ništa što ne biste mogli zaobići drugim klijentom. Zato se plan za »jedan uređaj« i dalje povezuje s tri uređaja dok server ne odluči odbiti četvrtu sesiju.

Dvofaktorska autentifikacija zaoštrava pitanje dijeljenja. TOTP tajna upisana na četiri telefona četiri su kopije istog drugog faktora i bilo koja od njih može zadovoljiti prijavu. Ako račun podržava zasebne lozinke aplikacija ili upis po uređaju, koristite ih; ako ne, tretirajte podijeljeni drugi faktor kao poznatu slabost, a ne kao riješen problem.

Ključevi po uređaju mijenjaju šta uklanjanje znači

Samostalno hostane instalacije se razlikuju jer identitet živi u konfiguraciji, a ne u redu računa. WireGuard peer je javni ključ plus dozvoljeni skup adresa, a server odobrava rukovanje upoređivanjem tog ključa. Izbrišite li zapis peera, uređaj ne može dovršiti rukovanje, bez obzira na to koju lozinku još ima.

Taj model daje čisto uklanjanje, ali nikakvo razduživanje po osobi, što WireGuard dokumentuje kao poznato ograničenje. Server vidi ključeve, ne članove porodice.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Postavka OpenVPN dolazi do istog pomoću certifikata i spiska opozvanih certifikata: svaki klijent dobija vlastiti certifikat, a opoziv jednog zapisa ostavlja ostale da rade. U oba nacrta identitet je po uređaju, pa je izgubljeni telefon jedno brisanje umjesto resetovanja vjerodajnica za cijelo domaćinstvo.

Ograničenja istovremenosti žive na serveru

Pružaoci koji prodaju »pet uređaja« obično broje istovremene sesije, a ne instalirane aplikacije. Dva prijenosnika i telefon mogu biti u redu dok treći prijenosnik gura račun preko ograničenja i jedna postojeća sesija bude izbačena. Klijent to rijetko objašnjava, pa simptom izgleda kao nestabilna veza umjesto granice plana.

Pročitajte uslove plana za stvarno pravilo prije nego obećate broj uređaja. Neke usluge broje veze, neke broje različite uređaje viđene u periodu, a neke dozvoljavaju veći broj na istoj lokalnoj mreži.

Dogovorite kućna pravila prije drugog uređaja

Zapišite četiri stvari: ko ima sandučić za oporavak, ko može dodati ili ukloniti uređaj, ko plaća kad se plan promijeni i šta se događa kad neko ode. To su odluke o politici koje nijedna postavka klijenta ne može donijeti umjesto vas i mnogo ih je lakše dogovoriti prije nego što zatreba hitno uklanjanje. Stavite odgovore na jedno mjesto koje domaćinstvo može naći, uključujući koja imena uređaja pripadaju kojoj osobi. Spisak imena je ono što ključ peera ili lozinku aplikacije vraća u nekoga koga možete nazvati.

Držite vjerodajnicu tunela izvan zajedničkih bilješki i historije razgovora. Upravitelj lozinkama sa zajedničkim trezorom ili vjerodajnica po uređaju koju izdaje operater drži tajnu prenosivom bez ostavljanja kopija u tri niti poruka.

Provjerite i kako usluga tretira nadzirane račune i porodične filtere, jer VPN mijenja mrežni put, ali ne zamjenjuje roditeljski nadzor ni upravljanje uređajima. Zatim testirajte jedan stvarni zadatak po osobi: poštu, video poziv, radni portal. Tunel koji se uspostavi nije dokaz da se rute, DNS i pravila podijeljenog tunela ponašaju isto na svakoj platformi.

Dokažite put uklanjanja dok je još jednostavan

Uklanjanje je dio koji svi odgađaju, pa ga testirajte na uređaju koji kontrolišete. Dodajte rezervni telefon ili prijenosnik, potvrdite da se povezuje, zatim opozovite taj uređaj dokumentovanom metodom operatera i potvrdite da tunel pada dok ostali ostaju aktivni.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Opozvan uređaj bi trebalo da prestane dosezati internu adresu unutar jedne sesije, a ne samo da se neuspješno ponovo poveže nakon restarta. Ako stara sesija nastavi raditi, opoziv nije stigao do servera i vjerodajnica je još aktivna.

Zapišite rezultat u kućnu bilješku koja već navodi uređaje i vratite se na nju kad se telefon zamijeni. Raspored ostaje upravljiv samo dok su identiteti, ograničenja i korak uklanjanja svi zapisani.