Compartir un acceso VPN con la familia: qué falla después

Copiar un nombre de usuario y una contraseña de VPN a un segundo dispositivo lleva un minuto y funciona sin problemas, y por eso mismo los problemas aparecen meses después. Las credenciales que entregaste suelen controlar más que un túnel: puede que sean dueñas de la suscripción, del buzón de recuperación y de la lista de dispositivos. Antes de que se conecte el segundo teléfono, aclara qué autoriza realmente el acceso y cómo se retirará un dispositivo sin tocar los demás.

Una contraseña, varios privilegios distintos

Las cuentas VPN comerciales suelen agrupar tres cosas detrás de un solo acceso: la credencial del túnel, el registro de facturación o del plan y el canal de recuperación de la cuenta. Compartir la primera es una decisión de conexión; compartir las otras dos entrega el control de la suscripción. Muchos proveedores las mantienen en la misma credencial hasta que las separas a propósito, así que la pregunta no es si la contraseña funciona en dos dispositivos, sino qué más abre. Pregunta al operador cuál de las tres controla el acceso y si se puede designar un titular de facturación o una dirección de recuperación aparte. Esa única respuesta decide cuánto de la cuenta estás entregando en realidad.

En el servidor, la cuenta es una fila con un plan y un contador de conexiones. La aplicación cliente solo es una vista de esa fila, y no impone nada que no pudieras saltarte con otro cliente. Por eso un plan de «un dispositivo» sigue conectando desde tres dispositivos hasta que el servidor decide rechazar la cuarta sesión.

La autenticación de dos factores afila la pregunta sobre compartir. Un secreto TOTP inscrito en cuatro teléfonos son cuatro copias del mismo segundo factor, y cualquiera de ellas puede satisfacer el acceso. Si la cuenta admite contraseñas de aplicación independientes o inscripción por dispositivo, úsalas; si no, trata el segundo factor compartido como una debilidad conocida en lugar de un problema resuelto.

Las claves por dispositivo cambian lo que significa retirar

Las instalaciones autoalojadas son distintas porque la identidad vive en la configuración y no en una fila de cuenta. Un par de WireGuard es una clave pública más un conjunto permitido de direcciones, y el servidor autoriza un handshake haciendo coincidir esa clave. Si borras la entrada del par, el dispositivo no puede completar un handshake, por mucha contraseña que siga teniendo.

Ese modelo te da una retirada limpia pero ninguna contabilidad por persona, lo que WireGuard documenta como una limitación conocida. El servidor ve claves, no miembros de la familia.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Una instalación de OpenVPN llega al mismo sitio mediante certificados y una lista de revocación: cada cliente recibe su propio certificado, y revocar una entrada deja funcionando las demás. En ambos diseños la identidad es por dispositivo, así que un teléfono perdido es un único borrado en lugar de un restablecimiento de credenciales para todo el hogar.

Los límites de concurrencia viven en el servidor

Los proveedores que venden «cinco dispositivos» suelen contar sesiones simultáneas, no aplicaciones instaladas. Dos portátiles y un teléfono pueden ir bien mientras un tercer portátil empuja la cuenta por encima del límite y se expulsa una sesión existente. El cliente rara vez lo explica, así que el síntoma parece una conexión inestable en lugar de un límite del plan.

Lee los términos del plan para conocer la regla real antes de prometer un número de dispositivos. Algunos servicios cuentan conexiones, otros cuentan dispositivos distintos vistos en un periodo, y otros permiten un número mayor en la misma red local.

Decide las reglas del hogar antes del segundo dispositivo

Anota cuatro cosas: quién tiene el buzón de recuperación, quién puede añadir o retirar un dispositivo, quién paga cuando cambia el plan y qué pasa cuando alguien se va. Son decisiones de política que ninguna configuración del cliente puede tomar por ti, y son mucho más fáciles de acordar antes de que haga falta una retirada urgente. Pon las respuestas en un lugar que el hogar pueda encontrar, incluido qué nombres de dispositivo corresponden a qué persona. Una lista de nombres es lo que convierte una clave de par o una contraseña de aplicación en alguien a quien puedes llamar.

Mantén la credencial del túnel fuera de notas compartidas e historiales de chat. Un gestor de contraseñas con una bóveda compartida, o una credencial por dispositivo emitida por el operador, mantiene el secreto transferible sin dejar copias en tres hilos de mensajes.

Comprueba también cómo trata el servicio las cuentas supervisadas y los controles familiares, porque una VPN cambia la ruta de red sin sustituir el control parental ni la gestión de dispositivos. Después prueba una tarea real por persona: correo, una videollamada, un portal de trabajo. Un túnel que se levanta no demuestra que las rutas, el DNS y las reglas de túnel dividido se comporten igual en cada plataforma.

Demuestra la vía de retirada mientras todavía es fácil

La retirada es la parte que todo el mundo aplaza, así que pruébala en un dispositivo que controles. Añade un teléfono o un portátil de repuesto, confirma que se conecta, revoca después ese dispositivo con el método documentado del operador y confirma que el túnel falla mientras los demás siguen en pie.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Un dispositivo revocado debería dejar de alcanzar la dirección interna dentro de una sesión, no solo fallar al reconectar tras un reinicio. Si la sesión antigua sigue funcionando, la revocación no llegó al servidor y la credencial sigue viva.

Registra el resultado en la nota del hogar que ya enumera los dispositivos, y revísala cuando se sustituya un teléfono. El arreglo solo sigue siendo manejable mientras las identidades, los límites y el paso de retirada estén todos escritos.