Kunhavigi unu VPN-an saluton kun la familio: kio rompiĝas poste
Kunhavigita VPN-pasvorto kaŝas kvar decidojn: identeco laŭ aparato, sesiaj limoj, forigo kaj reakiro. Decidu ilin antaŭ ol la dua aparato konektiĝos.
Kopii VPN-uzantnomon kaj pasvorton sur duan aparaton daŭras unu minuton kaj funkcias bone, kaj ĝuste tial la problemoj aperas monatojn poste. La legitimiloj, kiujn vi transdonis, kutime regas pli ol tunelon: ili eble posedas la abonon, la reakiran poŝtkeston kaj la aparatliston. Antaŭ ol la dua telefono konektiĝos, eltrovu kion la saluto efektive permesas kaj kiel unu aparato estos forigita sen tuŝi la aliajn.
Unu pasvorto, pluraj malsamaj privilegioj
Komercaj VPN-kontoj kutime kunigas tri aferojn malantaŭ unu saluto: la tunelan legitimilon, la fakturan aŭ planan rikordon kaj la reakiran kanalon de la konto. Kunhavigi la unuan estas konekta decido; kunhavigi la aliajn du transdonas la regadon de la abono. Multaj provizantoj tenas ilin sur la sama legitimilo ĝis vi intence apartigos ilin, do la demando ne estas ĉu la pasvorto funkcias sur du aparatoj, sed kion alian ĝi malfermas. Demandi la operatoron, kiun el la tri la saluto regas, kaj ĉu aparta faktura posedanto aŭ reakira adreso povas esti nomumita. Tiu unu respondo decidas kiom de la konto vi efektive transdonas.
Ĉe la servilo la konto estas vico kun plano kaj konekta nombrilo. La klienta aplikaĵo estas nur vido de tiu vico, kaj ĝi devigas nenion, kion vi ne povus preteriri per alia kliento. Tial plano por „unu aparato“ ankoraŭ konektiĝas de tri aparatoj ĝis la servilo decidas rifuzi la kvaran sesion.
Dufaktora aŭtentikigo pliakrigas la demandon pri kunhavigo. TOTP-sekreto registrita sur kvar telefonoj estas kvar kopioj de la sama dua faktoro, kaj iu ajn el ili povas kontentigi la saluton. Se la konto subtenas apartajn aplikaĵajn pasvortojn aŭ registradon laŭ aparato, uzu ilin; se ne, traktu la kunhavigitan duan faktoron kiel konatan malfortecon anstataŭ solvitan problemon.
Ŝlosiloj laŭ aparato ŝanĝas, kion signifas forigo
Memgastigitaj agordoj diferencas ĉar la identeco loĝas en la agordo, ne en konta vico. WireGuard-paro estas publika ŝlosilo plus permesita aro da adresoj, kaj la servilo aŭtorizas manpremon per kongruigo de tiu ŝlosilo. Se vi forigos la paran rikordon, la aparato ne povas fini manpremon, kian ajn pasvorton ĝi ankoraŭ havas.
Tiu modelo donas al vi puran forigon sed neniun kalkuladon laŭ persono, kion WireGuard dokumentas kiel konatan limigon. La servilo vidas ŝlosilojn, ne familianojn.
sudo wg show wg0 peers sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove sudo wg show wg0 latest-handshakes
OpenVPN-agordo atingas la saman lokon per atestiloj kaj revoka listo: ĉiu kliento ricevas sian propran atestilon, kaj revoki unu rikordon lasas la aliajn funkcii. En ambaŭ dezajnoj la identeco estas laŭ aparato, do perdita telefono estas unuopa forigo anstataŭ tutdoma restarigo de legitimiloj.
Samtempecaj limoj loĝas sur la servilo
Provizantoj, kiuj vendas „kvin aparatojn“, kutime kalkulas samtempajn sesiojn, ne instalitajn aplikaĵojn. Du tekokomputiloj kaj telefono povas esti en ordo dum tria tekokomputilo puŝas la konton super la limon kaj ekzistanta sesio estas elĵetita. La kliento malofte klarigas tion, do la simptomo aspektas kiel malfirma konekto anstataŭ plana limo.
| Model | What removal costs |
|---|---|
| Shared username and password | Password change for everyone, re-enrollment on every device |
| Per-device app password | Revoke one credential, others keep working |
| Per-device key or certificate | Delete one peer or revoke one certificate |
Legu la planajn kondiĉojn por la reala regulo antaŭ ol promesi nombron da aparatoj. Kelkaj servoj kalkulas konektojn, kelkaj kalkulas apartajn aparatojn viditajn en periodo, kaj kelkaj permesas pli altan nombron en la sama loka reto.
Decidu la domajn regulojn antaŭ la dua aparato
Notu kvar aferojn: kiu posedas la reakiran poŝtkeston, kiu povas aldoni aŭ forigi aparaton, kiu pagas kiam la plano ŝanĝiĝas, kaj kio okazas kiam iu foriras. Tiuj estas politikaj decidoj, kiujn neniu klienta agordo povas fari por vi, kaj ili estas multe pli facilaj interkonsenti antaŭ ol urĝa forigo necesas. Metu la respondojn en unu lokon, kiun la familio povas trovi, inkluzive kiuj aparatnomoj apartenas al kiu persono. Listo da nomoj estas tio, kio retransformas paran ŝlosilon aŭ aplikaĵan pasvorton en iun, kiun vi povas telefoni.
Tenu la tunelan legitimilon for de kunhavigitaj notoj kaj babilhistorio. Pasvortadministrilo kun kunhavigita volvaĵo, aŭ per-aparata legitimilo eldonita de la operatoro, tenas la sekreton transdonebla sen lasi kopiojn en tri mesaĝfadenoj.
Kontrolu ankaŭ kiel la servo traktas superrigardatajn kontojn kaj familiajn kontrolojn, ĉar VPN ŝanĝas la retan vojon sen anstataŭi gepatran kontrolon aŭ aparatadministradon. Poste testu unu realan taskon por ĉiu persono: retpoŝto, videovoko, laboreja portalo. Tunelo, kiu ekfunkcias, ne estas pruvo, ke itineroj, DNS kaj reguloj de dividita tunelo kondutas same sur ĉiu platformo.
Pruvu la forigan vojon dum ĝi ankoraŭ estas facila
Forigo estas la parto, kiun ĉiuj prokrastas, do testu ĝin sur aparato, kiun vi kontrolas. Aldonu rezervan telefonon aŭ tekokomputilon, konfirmu ke ĝi konektiĝas, poste revoku tiun aparaton per la dokumentita metodo de la operatoro kaj konfirmu ke la tunelo malsukcesas dum la aliaj restas aktivaj.
curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/healthRevokita aparato devus ĉesi atingi la internan adreson ene de unu sesio, ne nur malsukcesi rekonektiĝi post restartigo. Se la malnova sesio plu funkcias, la revoko ne atingis la servilon, kaj la legitimilo estas ankoraŭ viva.
Registru la rezulton en la doma noto, kiu jam listigas la aparatojn, kaj revizitu ĝin kiam telefono estas anstataŭigita. La aranĝo restas regebla nur dum la identecoj, la limoj kaj la foriga paŝo estas ĉiuj skribitaj.