Ühe VPN-sisselogimise jagamine perega: mis hiljem katki läheb
Jagatud VPN-parool varjab nelja otsust: seadmepõhine identiteet, sessioonipiirangud, eemaldamine ja taastamine. Lahendage need enne, kui teine seade ühendub.
VPN-i kasutajanime ja parooli kopeerimine teise seadmesse võtab minuti ja töötab hästi, ja just sellepärast ilmnevad probleemid kuude pärast. Teie antud sisselogimisandmed kontrollivad tavaliselt enamat kui tunnel: need võivad omada tellimust, taastamise postkasti ja seadmete loendit. Enne kui teine telefon ühendub, tehke selgeks, mida sisselogimine tegelikult lubab ja kuidas üks seade eemaldada teisi puutumata.
Üks parool, mitu erinevat õigust
Kommertsiaalsed VPN-kontod koondavad tavaliselt ühe sisselogimise taha kolm asja: tunneli sisselogimisandmed, arveldus- või paketikirje ja konto taastamise kanali. Esimese jagamine on ühenduse otsus; ülejäänud kahe jagamine annab tellimuse kontrolli üle. Paljud teenusepakkujad hoiavad neid samade andmete peal, kuni te need teadlikult eraldate, seega küsimus pole selles, kas parool töötab kahes seadmes, vaid mida veel see avab. Küsige operaatorilt, millist kolmest sisselogimine kontrollib, ja kas saab määrata eraldi arveldusomaniku või taastamisaadressi. See üks vastus otsustab, kui suure osa kontost te tegelikult üle annate.
Serveripoolel on konto rida, millel on pakett ja ühendusloendur. Kliendirakendus on ainult selle rea vaade ega sunni midagi, mida ei saaks teise kliendiga mööda minna. Seetõttu ühendub „ühe seadme” pakett ikkagi kolmest seadmest, kuni server otsustab neljanda sessiooni tagasi lükata.
Kahefaktoriline autentimine teravdab jagamise küsimust. Nelja telefoni registreeritud TOTP-saladus on sama teise faktori neli koopiat ja ükskõik milline neist saab sisselogimise rahuldada. Kui konto toetab eraldi rakenduseparoolid või seadmepõhist registreerimist, kasutage neid; kui mitte, käsitlege jagatud teist faktorit teadaoleva nõrkusena, mitte lahendatud probleemina.
Seadmepõhised võtmed muudavad eemaldamise tähendust
Ise majutatud seadistused erinevad selle poolest, et identiteet elab konfiguratsioonis, mitte konto real. WireGuard-peer on avalik võti pluss lubatud aadresside kogum, ja server lubab kätlust selle võtme sobitamisega. Kustutage peer-kirje ja seade ei saa kätlust lõpule viia, ükskõik milline parool tal veel on.
See mudel annab puhta eemaldamise, aga mitte isikupõhist arvestust, mida WireGuard dokumenteerib teadaoleva piiranguna. Server näeb võtmeid, mitte pereliikmeid.
sudo wg show wg0 peers sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove sudo wg show wg0 latest-handshakes
OpenVPN paigaldus jõuab samani sertifikaatide ja tühistusnimekirja kaudu: iga klient saab oma sertifikaadi ja ühe kirje tühistamine jätab teised tööle. Mõlemas lahenduses on identiteet seadmepõhine, seega kaotatud telefon on üks kustutamine, mitte kogu majapidamise sisselogimisandmete lähtestamine.
Samaaegsuse piirangud elavad serveris
Pakkujad, kes müüvad „viit seadet”, loevad tavaliselt samaaegseid sessioone, mitte paigaldatud rakendusi. Kaks sülearvutit ja telefon võivad olla korras, kuni kolmas sülearvuti lükkab konto üle piiri ja üks olemasolev sessioon lüüakse välja. Klient selgitab seda harva, seega sümptom näeb välja nagu kõikuv ühendus, mitte paketi piir.
| Model | What removal costs |
|---|---|
| Shared username and password | Password change for everyone, re-enrollment on every device |
| Per-device app password | Revoke one credential, others keep working |
| Per-device key or certificate | Delete one peer or revoke one certificate |
Lugege paketi tingimusi tegeliku reegli jaoks enne, kui lubate seadmete arvu. Mõned teenused loevad ühendusi, teised loevad erinevaid seadmeid, mida on perioodi jooksul nähtud, ja veel teised lubavad samas kohalikus võrgus suuremat arvu.
Otsustage majapidamise reeglid enne teist seadet
Kirjutage üles neli asja: kelle käes on taastamise postkast, kes võib seadet lisada või eemaldada, kes maksab, kui pakett muutub, ja mis juhtub, kui keegi ära kolib. Need on poliitikaotsused, mida ükski kliendiseade teie eest teha ei saa, ja nendes on palju lihtsam kokku leppida enne, kui vajatakse kiiret eemaldamist. Pange vastused ühte kohta, mille majapidamine üles leiab, sealhulgas see, milline seadmenimi kellele kuulub. Nimede nimekiri on see, mis muudab peer-võtme või rakenduseparooli tagasi inimeseks, kellele saab helistada.
Hoidke tunneli sisselogimisandmed eemal jagatud märkmetest ja vestlusajaloost. Paroolihaldur jagatud hoidlaga või operaatori väljastatud seadmepõhine sisselogimisandmed hoiavad saladuse üleantavana, jätmata koopiaid kolme sõnumiahelasse.
Kontrollige ka, kuidas teenus käsitleb järelevalvega kontosid ja perefiltreid, sest VPN muudab võrguteed, kuid ei asenda lapsevanema kontrolli ega seadmehaldust. Seejärel testige üht tõelist ülesannet iga inimese kohta: e-post, videokõne, tööportaal. Püsti tõusnud tunnel ei tõesta, et marsruudid, DNS ja jagatud tunneli reeglid käituvad igal platvormil ühtemoodi.
Tõestage eemaldamise tee, kuni see on veel lihtne
Eemaldamine on osa, mida kõik lükkavad edasi, seega testige seda seadmes, mida te kontrollite. Lisage varutelefon või sülearvuti, kinnitage, et see ühendub, seejärel tühistage see seade operaatori dokumenteeritud meetodiga ja kinnitage, et tunnel ebaõnnestub, samal ajal kui teised püsivad.
curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/healthTühistatud seade peaks lõpetama sisemise aadressi kättesaamise ühe sessiooni jooksul, mitte ainult pärast taaskäivitust ühenduse loomata jääma. Kui vana sessioon jätkab töötamist, ei jõudnud tühistamine serverini ja sisselogimisandmed on endiselt kehtivad.
Kirjutage tulemus majapidamise märkmesse, mis juba loetleb seadmed, ja vaadake see uuesti üle, kui telefon välja vahetatakse. Korraldus jääb juhitavaks ainult siis, kui identiteedid, piirangud ja eemaldamise samm on kõik kirja pandud.