Compartir un accés VPN en família: què falla després

Copiar un nom d'usuari i una contrasenya de VPN a un segon dispositiu costa un minut i funciona bé, i és justament per això que els problemes surten mesos després. Les credencials que has lliurat solen controlar més que un túnel: potser són propietàries de la subscripció, de la bústia de recuperació i de la llista de dispositius. Abans que es connecti el segon telèfon, esbrina què autoritza realment l'accés i com es retirarà un dispositiu sense tocar els altres.

Una contrasenya, diversos privilegis diferents

Els comptes VPN comercials solen agrupar tres coses darrere un sol accés: la credencial del túnel, el registre de facturació o del pla i el canal de recuperació del compte. Compartir la primera és una decisió de connexió; compartir les altres dues lliura el control de la subscripció. Molts proveïdors les mantenen en la mateixa credencial fins que les separes a propòsit, així que la pregunta no és si la contrasenya funciona en dos dispositius, sinó què més obre. Pregunta a l'operador quina de les tres controla l'accés i si es pot designar un titular de facturació o una adreça de recuperació a part. Aquesta única resposta decideix quant del compte estàs lliurant en realitat.

Al servidor, el compte és una fila amb un pla i un comptador de connexions. L'aplicació client només és una vista d'aquesta fila, i no imposa res que no poguessis saltar amb un altre client. Per això un pla d'«un dispositiu» continua connectant des de tres dispositius fins que el servidor decideix rebutjar la quarta sessió.

L'autenticació de dos factors fa més aguda la pregunta sobre compartir. Un secret TOTP inscrit en quatre telèfons són quatre còpies del mateix segon factor, i qualsevol d'elles pot satisfer l'accés. Si el compte admet contrasenyes d'aplicació separades o inscripció per dispositiu, fes-les servir; si no, tracta el segon factor compartit com una feblesa coneguda en lloc d'un problema resolt.

Les claus per dispositiu canvien què vol dir retirar

Les instal·lacions autoallotjades són diferents perquè la identitat viu a la configuració i no en una fila de compte. Un parell de WireGuard és una clau pública més un conjunt permès d'adreces, i el servidor autoritza una encaixada de mans fent coincidir aquesta clau. Si esborres l'entrada del parell, el dispositiu no pot completar una encaixada de mans, per molta contrasenya que encara tingui.

Aquest model et dona una retirada neta però cap comptabilitat per persona, cosa que WireGuard documenta com una limitació coneguda. El servidor veu claus, no membres de la família.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Un desplegament OpenVPN arriba al mateix lloc mitjançant certificats i una llista de revocació: cada client rep el seu propi certificat, i revocar una entrada deixa funcionant les altres. En tots dos dissenys la identitat és per dispositiu, així que un telèfon perdut és una sola eliminació en lloc d'un restabliment de credencials per a tota la llar.

Els límits de simultaneïtat viuen al servidor

Els proveïdors que venen «cinc dispositius» solen comptar sessions simultànies, no aplicacions instal·lades. Dos portàtils i un telèfon poden anar bé mentre un tercer portàtil empeny el compte per sobre del límit i una sessió existent queda expulsada. El client poques vegades ho explica, així que el símptoma sembla una connexió inestable en lloc d'un límit del pla.

Llegeix els termes del pla per conèixer la regla real abans de prometre un nombre de dispositius. Alguns serveis compten connexions, d'altres compten dispositius diferents vistos en un període, i d'altres permeten un nombre més alt a la mateixa xarxa local.

Decideix les regles de la llar abans del segon dispositiu

Anota quatre coses: qui té la bústia de recuperació, qui pot afegir o retirar un dispositiu, qui paga quan canvia el pla i què passa quan algú se'n va. Són decisions de política que cap configuració del client pot prendre per tu, i són molt més fàcils d'acordar abans que calgui una retirada urgent. Posa les respostes en un lloc que la llar pugui trobar, incloent-hi quins noms de dispositiu corresponen a quina persona. Una llista de noms és el que converteix una clau de parell o una contrasenya d'aplicació en algú a qui pots trucar.

Mantén la credencial del túnel fora de notes compartides i d'historials de xat. Un gestor de contrasenyes amb una cambra forta compartida, o una credencial per dispositiu emesa per l'operador, manté el secret transferible sense deixar còpies en tres fils de missatges.

Comprova també com tracta el servei els comptes supervisats i els controls familiars, perquè una VPN canvia el camí de xarxa sense substituir el control parental ni la gestió de dispositius. Després prova una tasca real per persona: correu, una videotrucada, un portal de feina. Un túnel que s'aixeca no demostra que les rutes, el DNS i les regles de túnel dividit es comportin igual a cada plataforma.

Demostra la via de retirada mentre encara és fàcil

La retirada és la part que tothom ajorna, així que prova-la en un dispositiu que controlis. Afegeix un telèfon o un portàtil de recanvi, confirma que es connecta, revoca després aquest dispositiu amb el mètode documentat de l'operador i confirma que el túnel falla mentre els altres segueixen drets.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Un dispositiu revocat hauria de deixar d'arribar a l'adreça interna dins d'una sessió, no només fallar en reconnectar després d'un reinici. Si la sessió antiga continua funcionant, la revocació no va arribar al servidor i la credencial encara és viva.

Registra el resultat a la nota de la llar que ja llista els dispositius, i revisa-la quan es substitueix un telèfon. L'arranjament només continua sent manejable mentre les identitats, els límits i el pas de retirada estiguin tots escrits.