به اشتراک گذاشتن یک ورود VPN با خانواده: بعداً چه چیزی می‌شکند
یک گذرواژه VPN مشترک چهار تصمیم را پنهان می‌کند: هویت هر دستگاه، محدودیت نشست، حذف و بازیابی. پیش از اتصال دستگاه دوم آن‌ها را روشن کنید.
کپی کردن نام کاربری و گذرواژه VPN روی دستگاه دوم یک دقیقه وقت می‌گیرد و خوب کار می‌کند، و دقیقاً به همین دلیل مشکلات ماه‌ها بعد سر باز می‌کنند. اطلاعات ورودی که تحویل داده‌اید معمولاً بیش از یک تونل را کنترل می‌کند: ممکن است مالک اشتراک، صندوق بازیابی و فهرست دستگاه‌ها باشد. پیش از اتصال تلفن دوم روشن کنید ورود واقعاً به چه چیزی اجازه می‌دهد و چگونه یک دستگاه بدون دست زدن به بقیه حذف می‌شود.
یک گذرواژه، چند حق متفاوت
حساب‌های تجاری VPN معمولاً سه چیز را پشت یک ورود جمع می‌کنند: اطلاعات تونل، سابقه صورت‌حساب یا طرح، و کانال بازیابی حساب. به اشتراک گذاشتن اولی تصمیمی درباره اتصال است؛ به اشتراک گذاشتن دو مورد دیگر یعنی سپردن کنترل اشتراک. بسیاری از ارائه‌دهندگان آن‌ها را روی یک اطلاعات نگه می‌دارند تا وقتی خودتان آگاهانه جدا کنید، پس پرسش این نیست که گذرواژه روی دو دستگاه کار می‌کند یا نه، بلکه این است که چه چیز دیگری را باز می‌کند. از اپراتور بپرسید ورود کدام یک از آن سه را کنترل می‌کند و آیا می‌توان مالک صورت‌حساب یا نشانی بازیابی جداگانه تعیین کرد. همان یک پاسخ تعیین می‌کند چه مقدار از حساب را واقعاً تحویل می‌دهید.
در سمت سرور، حساب ردیفی است با یک طرح و شمارنده اتصال. برنامه کلاینت تنها نمایی از آن ردیف است و چیزی را تحمیل نمی‌کند که با کلاینت دیگری نتوان دور زد. به همین دلیل طرح «یک دستگاه» هنوز از سه دستگاه وصل می‌شود تا سرور تصمیم بگیرد نشست چهارم را رد کند.
احراز هویت دو مرحله‌ای پرسش اشتراک‌گذاری را تیزتر می‌کند. رمز TOTP ثبت‌شده روی چهار گوشی چهار نسخه از همان عامل دوم است و هر یک از آن‌ها می‌تواند ورود را برآورده کند. اگر حساب گذرواژه‌های برنامه جداگانه یا ثبت به ازای دستگاه را پشتیبانی می‌کند از آن‌ها استفاده کنید؛ اگر نه، عامل دوم مشترک را ضعفی شناخته‌شده بدانید نه مسئله‌ای حل‌شده.
کلیدهای هر دستگاه معنای حذف را تغییر می‌دهند
نصب‌های خودمیزبان متفاوت‌اند چون هویت در پیکربندی زندگی می‌کند نه در ردیف حساب. همتای WireGuard یک کلید عمومی به‌علاوه مجموعه‌ای از نشانی‌های مجاز است و سرور دست‌دادن را با تطبیق آن کلید مجاز می‌کند. اگر ورودی همتا را پاک کنید دستگاه نمی‌تواند دست‌دادن را کامل کند، هر گذرواژه‌ای هم که داشته باشد.
آن مدل حذف تمیزی می‌دهد اما حسابداری به ازای هر شخص نمی‌دهد، که WireGuard آن را محدودیتی شناخته‌شده ثبت می‌کند. سرور کلیدها را می‌بیند، نه اعضای خانواده را.
sudo wg show wg0 peers sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove sudo wg show wg0 latest-handshakes
استقرار OpenVPN با گواهی‌ها و فهرست ابطال به همان نقطه می‌رسد: هر کلاینت گواهی خودش را می‌گیرد و ابطال یک ورودی بقیه را فعال نگه می‌دارد. در هر دو طراحی هویت به ازای دستگاه است، پس گوشی گم‌شده یک پاک‌کردن است نه بازنشانی اطلاعات کل خانه.
محدودیت‌های هم‌زمانی روی سرور هستند
ارائه‌دهندگانی که «پنج دستگاه» می‌فروشند معمولاً نشست‌های هم‌زمان را می‌شمارند، نه برنامه‌های نصب‌شده را. دو لپ‌تاپ و یک گوشی می‌توانند خوب باشند در حالی که لپ‌تاپ سوم حساب را از حد رد می‌کند و یک نشست موجود می‌افتد. کلاینت به‌ندرت این را توضیح می‌دهد، پس نشانه شبیه اتصالی ناپایدار به نظر می‌رسد نه مرز طرح.
| Model | What removal costs |
|---|---|
| Shared username and password | Password change for everyone, re-enrollment on every device |
| Per-device app password | Revoke one credential, others keep working |
| Per-device key or certificate | Delete one peer or revoke one certificate |
پیش از وعده دادن تعداد دستگاه، شرایط طرح را برای قاعده واقعی بخوانید. بعضی سرویس‌ها اتصال‌ها را می‌شمارند، بعضی دستگاه‌های متفاوت دیده‌شده در یک دوره را، و بعضی تعداد بیشتری روی همان شبکه محلی مجاز می‌دانند.
قواعد خانه را پیش از دستگاه دوم روشن کنید
چهار چیز را بنویسید: صندوق بازیابی دست کیست، چه کسی می‌تواند دستگاه اضافه یا حذف کند، وقتی طرح عوض می‌شود چه کسی پول می‌دهد، و وقتی کسی می‌رود چه اتفاقی می‌افتد. این‌ها تصمیم‌های سیاستی‌اند که هیچ تنظیم کلاینتی به جای شما نمی‌گیرد و توافق بر آن‌ها پیش از نیاز به حذفی فوری بسیار آسان‌تر است. پاسخ‌ها را در جایی بگذارید که خانه پیدا کند، از جمله اینکه نام هر دستگاه از کیست. فهرست نام‌ها همان چیزی است که یک کلید همتا یا گذرواژه برنامه را دوباره به کسی تبدیل می‌کند که می‌توانید زنگ بزنید.
اطلاعات تونل را از یادداشت‌های مشترک و تاریخچه گفتگو دور نگه دارید. مدیر گذرواژه با گاوصندوق مشترک، یا اطلاعات ورود به ازای هر دستگاه که اپراتور صادر می‌کند، راز را قابل انتقال نگه می‌دارد بدون آنکه نسخه‌هایی در سه رشته پیام جا بگذارد.
همچنین بررسی کنید سرویس با حساب‌های تحت نظارت و فیلترهای خانوادگی چگونه رفتار می‌کند، چون VPN مسیر شبکه را عوض می‌کند اما جای کنترل والدین یا مدیریت دستگاه را نمی‌گیرد. سپس یک کار واقعی برای هر شخص بیازمایید: ایمیل، تماس تصویری، درگاه کاری. بالا آمدن تونل دلیل آن نیست که مسیرها، DNS و قواعد تونل تقسیم‌شده روی هر سکو یکسان رفتار می‌کنند.
مسیر حذف را تا وقتی هنوز آسان است اثبات کنید
حذف همان بخشی است که همه عقب می‌اندازند، پس آن را روی دستگاهی که کنترل می‌کنید بیازمایید. یک گوشی یا لپ‌تاپ یدکی اضافه کنید، تأیید کنید که وصل می‌شود، سپس آن دستگاه را با روش مستند اپراتور باطل کنید و تأیید کنید که تونل شکست می‌خورد در حالی که بقیه برپا می‌مانند.
curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/healthدستگاه باطل‌شده باید در همان یک نشست دسترسی به نشانی داخلی را متوقف کند، نه اینکه فقط پس از راه‌اندازی دوباره نتواند وصل شود. اگر نشست قدیمی به کار ادامه دهد، ابطال به سرور نرسیده و اطلاعات ورود هنوز زنده است.
نتیجه را در یادداشت خانه که از قبل دستگاه‌ها را فهرست می‌کند ثبت کنید و وقتی گوشی عوض می‌شود دوباره سراغش بروید. این ترتیب تنها زمانی مدیریت‌شدنی می‌ماند که هویت‌ها، محدودیت‌ها و گام حذف همه نوشته شده باشند.