Sdílení jednoho přihlášení VPN v rodině: co se později pokazí

Zkopírovat uživatelské jméno a heslo VPN na druhé zařízení trvá minutu a funguje bez problémů, a právě proto se potíže objeví až po měsících. Přihlašovací údaje, které jste předali, obvykle ovládají víc než tunel: mohou vlastnit předplatné, schránku pro obnovu i seznam zařízení. Než se připojí druhý telefon, zjistěte, co přihlášení skutečně opravňuje a jak se jedno zařízení odebere, aniž byste se dotkli ostatních.

Jedno heslo, několik různých oprávnění

Komerční účty VPN obvykle sdružují tři věci za jediným přihlášením: údaje tunelu, záznam o fakturaci nebo tarifu a kanál pro obnovu účtu. Sdílet první je rozhodnutí o připojení; sdílet zbylé dvě znamená předat kontrolu nad předplatným. Mnoho poskytovatelů je drží na stejných údajích, dokud je vědomě neoddělíte, takže otázka není, zda heslo funguje na dvou zařízeních, ale co dalšího otevírá. Zeptejte se provozovatele, kterou ze tří věcí přihlášení ovládá, a zda lze určit samostatného vlastníka fakturace nebo adresu pro obnovu. Jediná odpověď rozhoduje o tom, jak velkou část účtu skutečně předáváte.

Na straně serveru je účet řádek s tarifem a počítadlem připojení. Klientská aplikace je jen pohled na tento řádek a neprosazuje nic, co byste neobešli jiným klientem. Proto se tarif „jedno zařízení“ stále připojuje ze tří zařízení, dokud se server nerozhodne odmítnout čtvrtou relaci.

Dvoufaktorové ověřování zostřuje otázku sdílení. Tajemství TOTP zaregistrované na čtyřech telefonech jsou čtyři kopie téhož druhého faktoru a kterákoli z nich může přihlášení splnit. Pokud účet podporuje samostatná hesla aplikací nebo registraci zařízení, použijte je; pokud ne, berte sdílený druhý faktor jako známou slabinu, ne jako vyřešený problém.

Klíče na zařízení mění, co znamená odebrání

Vlastní hostované instalace se liší, protože identita žije v konfiguraci, nikoli v řádku účtu. Peer WireGuard je veřejný klíč plus povolená sada adres a server autorizuje handshake porovnáním tohoto klíče. Smažte záznam peeru a zařízení nemůže dokončit handshake, ať má jakékoli heslo.

Tento model dává čisté odebrání, ale žádné účtování na osobu, což WireGuard dokumentuje jako známé omezení. Server vidí klíče, ne členy rodiny.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Nasazení OpenVPN dosáhne téhož pomocí certifikátů a seznamu odvolaných certifikátů: každý klient dostane vlastní certifikát a odvolání jednoho záznamu nechá ostatní fungovat. V obou návrzích je identita na zařízení, takže ztracený telefon je jedno smazání místo resetu přihlašovacích údajů pro celou domácnost.

Limity souběžnosti žijí na serveru

Poskytovatelé, kteří prodávají „pět zařízení“, obvykle počítají souběžné relace, ne nainstalované aplikace. Dva notebooky a telefon mohou být v pořádku, zatímco třetí notebook vytlačí účet přes limit a jedna stávající relace se ukončí. Klient to zřídka vysvětluje, takže příznak vypadá jako nestabilní připojení místo hranice tarifu.

Přečtěte si podmínky tarifu kvůli skutečnému pravidlu, než slíbíte počet zařízení. Některé služby počítají připojení, jiné počítají různá zařízení viděná v určitém období a další povolují vyšší počet ve stejné místní síti.

Stanovte pravidla domácnosti před druhým zařízením

Zapište čtyři věci: kdo má schránku pro obnovu, kdo může přidat nebo odebrat zařízení, kdo platí, když se tarif změní, a co se stane, když někdo odejde. To jsou rozhodnutí o politice, která za vás žádné nastavení klienta neudělá, a mnohem snáze se na nich dohodnete, než bude nutné naléhavé odebrání. Uložte odpovědi na jedno místo, které domácnost najde, včetně toho, která jména zařízení patří které osobě. Seznam jmen je to, co promění klíč peeru nebo heslo aplikace zpět v někoho, komu lze zavolat.

Držte údaje tunelu mimo sdílené poznámky a historii chatu. Správce hesel se sdíleným trezorem nebo údaj na zařízení vydaný provozovatelem udrží tajemství přenositelné, aniž by zanechal kopie ve třech vláknech zpráv.

Zkontrolujte také, jak služba zachází se sledovanými účty a rodinnými filtry, protože VPN mění síťovou cestu, ale nenahrazuje rodičovskou kontrolu ani správu zařízení. Potom otestujte jeden skutečný úkol na osobu: poštu, videohovor, pracovní portál. Tunel, který se naváže, není důkazem, že se trasy, DNS a pravidla rozděleného tunelu chovají na každé platformě stejně.

Dokažte cestu odebrání, dokud je ještě snadná

Odebírání je část, kterou všichni odkládají, takže ji otestujte na zařízení, které ovládáte. Přidejte náhradní telefon nebo notebook, potvrďte, že se připojí, poté toto zařízení odvolejte zdokumentovanou metodou provozovatele a potvrďte, že tunel selže, zatímco ostatní zůstanou funkční.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Odvolané zařízení by mělo přestat dosáhnout interní adresy v rámci jedné relace, ne jen po restartu selhat při opětovném připojení. Pokud stará relace dál funguje, odvolání se k serveru nedostalo a údaje jsou stále aktivní.

Zapište výsledek do poznámky domácnosti, která už zařízení uvádí, a vraťte se k ní, když se telefon vymění. Uspořádání zůstává zvládnutelné jen tehdy, když jsou identity, limity a krok odebrání všechny zapsané.