Κοινή σύνδεση VPN στην οικογένεια: τι χαλάει αργότερα

Η αντιγραφή ενός ονόματος χρήστη και κωδικού VPN σε δεύτερη συσκευή παίρνει ένα λεπτό και λειτουργεί καλά, και γι' αυτό ακριβώς τα προβλήματα εμφανίζονται μήνες αργότερα. Τα διαπιστευτήρια που παραδώσατε συνήθως ελέγχουν περισσότερα από μια σήραγγα: μπορεί να κατέχουν τη συνδρομή, το γραμματοκιβώτιο ανάκτησης και τη λίστα συσκευών. Πριν συνδεθεί το δεύτερο τηλέφωνο, ξεκαθαρίστε τι επιτρέπει πραγματικά η σύνδεση και πώς θα αφαιρεθεί μία συσκευή χωρίς να αγγίξετε τις άλλες.

Ένας κωδικός, πολλά διαφορετικά δικαιώματα

Οι εμπορικοί λογαριασμοί VPN συνήθως ομαδοποιούν τρία πράγματα πίσω από μία σύνδεση: τα διαπιστευτήρια της σήραγγας, την εγγραφή χρέωσης ή πλάνου και το κανάλι ανάκτησης του λογαριασμού. Το μοίρασμα του πρώτου είναι απόφαση σύνδεσης· το μοίρασμα των άλλων δύο παραδίδει τον έλεγχο της συνδρομής. Πολλοί πάροχοι τα κρατούν στα ίδια διαπιστευτήρια μέχρι να τα διαχωρίσετε σκόπιμα, οπότε το ερώτημα δεν είναι αν ο κωδικός λειτουργεί σε δύο συσκευές, αλλά τι άλλο ανοίγει. Ρωτήστε τον πάροχο ποιο από τα τρία ελέγχει η σύνδεση και αν μπορεί να οριστεί ξεχωριστός κάτοχος χρέωσης ή διεύθυνση ανάκτησης. Αυτή η μία απάντηση καθορίζει πόσο από τον λογαριασμό παραδίδετε στην πραγματικότητα.

Στην πλευρά του διακομιστή, ο λογαριασμός είναι μια γραμμή με πλάνο και μετρητή συνδέσεων. Η εφαρμογή πελάτη είναι μόνο μια προβολή αυτής της γραμμής και δεν επιβάλλει τίποτα που δεν θα μπορούσατε να παρακάμψετε με άλλον πελάτη. Γι' αυτό ένα πλάνο «μία συσκευή» εξακολουθεί να συνδέεται από τρεις συσκευές μέχρι ο διακομιστής να αποφασίσει να απορρίψει την τέταρτη συνεδρία.

Η επαλήθευση δύο παραγόντων οξύνει το ερώτημα του μοιράσματος. Ένα μυστικό TOTP εγγεγραμμένο σε τέσσερα τηλέφωνα είναι τέσσερα αντίγραφα του ίδιου δεύτερου παράγοντα, και οποιοδήποτε από αυτά μπορεί να ικανοποιήσει τη σύνδεση. Αν ο λογαριασμός υποστηρίζει ξεχωριστούς κωδικούς εφαρμογών ή εγγραφή ανά συσκευή, χρησιμοποιήστε τους· αν όχι, αντιμετωπίστε τον κοινόχρηστο δεύτερο παράγοντα ως γνωστή αδυναμία και όχι ως λυμένο πρόβλημα.

Τα κλειδιά ανά συσκευή αλλάζουν το νόημα της αφαίρεσης

Οι αυτο-φιλοξενούμενες εγκαταστάσεις διαφέρουν επειδή η ταυτότητα ζει στη διαμόρφωση και όχι σε μια γραμμή λογαριασμού. Ένα WireGuard peer είναι ένα δημόσιο κλειδί συν ένα επιτρεπόμενο σύνολο διευθύνσεων, και ο διακομιστής εξουσιοδοτεί μια χειραψία αντιστοιχίζοντας αυτό το κλειδί. Αν διαγράψετε την καταχώριση του peer, η συσκευή δεν μπορεί να ολοκληρώσει χειραψία, όποιον κωδικό κι αν έχει ακόμη.

Αυτό το μοντέλο δίνει καθαρή αφαίρεση αλλά καμία λογιστική ανά άτομο, το οποίο το WireGuard τεκμηριώνει ως γνωστό περιορισμό. Ο διακομιστής βλέπει κλειδιά, όχι μέλη της οικογένειας.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Μια εγκατάσταση OpenVPN φτάνει στο ίδιο σημείο μέσω πιστοποιητικών και λίστας ανάκλησης: κάθε πελάτης παίρνει το δικό του πιστοποιητικό, και η ανάκληση μιας καταχώρισης αφήνει τις άλλες να λειτουργούν. Και στα δύο σχέδια η ταυτότητα είναι ανά συσκευή, οπότε ένα χαμένο τηλέφωνο είναι μία μόνο διαγραφή αντί για επαναφορά διαπιστευτηρίων για όλο το σπίτι.

Τα όρια ταυτόχρονων συνδέσεων ζουν στον διακομιστή

Οι πάροχοι που πουλούν «πέντε συσκευές» συνήθως μετρούν ταυτόχρονες συνεδρίες, όχι εγκατεστημένες εφαρμογές. Δύο φορητοί και ένα τηλέφωνο μπορεί να είναι εντάξει, ενώ ένας τρίτος φορητός σπρώχνει τον λογαριασμό πάνω από το όριο και μια υπάρχουσα συνεδρία πέφτει. Ο πελάτης σπάνια το εξηγεί, οπότε το σύμπτωμα μοιάζει με ασταθή σύνδεση και όχι με όριο πλάνου.

Διαβάστε τους όρους του πλάνου για τον πραγματικό κανόνα πριν υποσχεθείτε αριθμό συσκευών. Κάποιες υπηρεσίες μετρούν συνδέσεις, άλλες μετρούν διαφορετικές συσκευές που εμφανίστηκαν σε μια περίοδο, και άλλες επιτρέπουν μεγαλύτερο αριθμό στο ίδιο τοπικό δίκτυο.

Ορίστε τους κανόνες του σπιτιού πριν τη δεύτερη συσκευή

Γράψτε τέσσερα πράγματα: ποιος κρατά το γραμματοκιβώτιο ανάκτησης, ποιος μπορεί να προσθέσει ή να αφαιρέσει συσκευή, ποιος πληρώνει όταν αλλάζει το πλάνο, και τι συμβαίνει όταν κάποιος φεύγει. Είναι αποφάσεις πολιτικής που καμία ρύθμιση πελάτη δεν μπορεί να πάρει για εσάς, και είναι πολύ πιο εύκολο να συμφωνηθούν πριν χρειαστεί μια επείγουσα αφαίρεση. Βάλτε τις απαντήσεις σε ένα σημείο που το σπίτι μπορεί να βρει, μαζί με το ποιο όνομα συσκευής ανήκει σε ποιον. Μια λίστα ονομάτων είναι αυτό που μετατρέπει ένα κλειδί peer ή έναν κωδικό εφαρμογής ξανά σε κάποιον που μπορείτε να καλέσετε.

Κρατήστε τα διαπιστευτήρια της σήραγγας μακριά από κοινόχρηστες σημειώσεις και ιστορικό συνομιλιών. Ένας διαχειριστής κωδικών με κοινόχρηστο θησαυροφυλάκιο, ή διαπιστευτήρια ανά συσκευή που εκδίδονται από τον πάροχο, κρατούν το μυστικό μεταβιβάσιμο χωρίς αντίγραφα σε τρεις αλυσίδες μηνυμάτων.

Ελέγξτε επίσης πώς η υπηρεσία χειρίζεται εποπτευόμενους λογαριασμούς και οικογενειακά φίλτρα, γιατί ένα VPN αλλάζει τη διαδρομή δικτύου χωρίς να αντικαθιστά τον γονικό έλεγχο ή τη διαχείριση συσκευών. Στη συνέχεια δοκιμάστε μία πραγματική εργασία ανά άτομο: αλληλογραφία, βιντεοκλήση, πύλη εργασίας. Μια σήραγγα που σηκώνεται δεν αποδεικνύει ότι οι διαδρομές, το DNS και οι κανόνες διαχωρισμένης σήραγγας συμπεριφέρονται το ίδιο σε κάθε πλατφόρμα.

Αποδείξτε τη διαδρομή αφαίρεσης όσο είναι ακόμη εύκολη

Η αφαίρεση είναι το μέρος που όλοι αναβάλλουν, γι' αυτό δοκιμάστε την σε μια συσκευή που ελέγχετε. Προσθέστε ένα εφεδρικό τηλέφωνο ή φορητό, επιβεβαιώστε ότι συνδέεται, μετά ανακαλέστε αυτή τη συσκευή με την τεκμηριωμένη μέθοδο του παρόχου και επιβεβαιώστε ότι η σήραγγα αποτυγχάνει ενώ οι άλλες μένουν.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Μια ανακληθείσα συσκευή θα πρέπει να σταματήσει να φτάνει στην εσωτερική διεύθυνση μέσα σε μία συνεδρία, όχι μόνο να αποτυγχάνει να επανασυνδεθεί μετά από επανεκκίνηση. Αν η παλιά συνεδρία συνεχίζει να λειτουργεί, η ανάκληση δεν έφτασε στον διακομιστή και τα διαπιστευτήρια είναι ακόμη ενεργά.

Καταγράψτε το αποτέλεσμα στη σημείωση του σπιτιού που ήδη απαριθμεί τις συσκευές, και επανεξετάστε την όταν αντικατασταθεί ένα τηλέφωνο. Η ρύθμιση παραμένει διαχειρίσιμη μόνο όσο οι ταυτότητες, τα όρια και το βήμα αφαίρεσης είναι όλα γραμμένα.