Yhden VPN-kirjautumisen jakaminen perheessä: mikä hajoaa myöhemmin

VPN-käyttäjätunnuksen ja salasanan kopioiminen toiseen laitteeseen vie minuutin ja toimii hyvin, ja juuri siksi ongelmat ilmenevät kuukausia myöhemmin. Luovuttamasi tunnistetiedot hallitsevat yleensä muutakin kuin tunnelia: ne voivat omistaa tilauksen, palautuspostilaatikon ja laiteluettelon. Ennen kuin toinen puhelin yhdistää, selvitä, mitä kirjautuminen todella sallii ja miten yksi laite poistetaan koskematta muihin.

Yksi salasana, useita eri oikeuksia

Kaupalliset VPN-tilit kokoavat yleensä kolme asiaa yhden kirjautumisen taakse: tunnelin tunnistetiedot, laskutus- tai suunnitelmatietueen ja tilin palautuskanavan. Ensimmäisen jakaminen on yhteyspäätös; kahden muun jakaminen luovuttaa tilauksen hallinnan. Monet palveluntarjoajat pitävät ne samoissa tunnistetiedoissa, kunnes erotat ne tarkoituksella, joten kysymys ei ole siitä, toimiiko salasana kahdella laitteella, vaan siitä, mitä muuta se avaa. Kysy operaattorilta, mitä kolmesta kirjautuminen hallitsee ja voidaanko nimetä erillinen laskutuksen omistaja tai palautusosoite. Se yksi vastaus ratkaisee, kuinka suuren osan tilistä todella luovutat.

Palvelimen puolella tili on rivi, jossa on suunnitelma ja yhteyslaskuri. Asiakassovellus on vain näkymä tähän riviin, eikä se pakota mitään, mitä et voisi kiertää toisella asiakkaalla. Siksi ”yksi laite” -suunnitelma yhdistää silti kolmesta laitteesta, kunnes palvelin päättää hylätä neljännen istunnon.

Kaksivaiheinen todennus terävöittää jakamiskysymystä. Neljään puhelimeen rekisteröity TOTP-salaisuus on neljä kopiota samasta toisesta tekijästä, ja mikä tahansa niistä voi täyttää kirjautumisen. Jos tili tukee erillisiä sovellussalasanoja tai laitekohtaista rekisteröintiä, käytä niitä; jos ei, kohtele jaettua toista tekijää tunnettuna heikkoutena eikä ratkaistuna ongelmana.

Laitekohtaiset avaimet muuttavat sitä, mitä poistaminen tarkoittaa

Itse ylläpidetyt asennukset eroavat siinä, että identiteetti elää kokoonpanossa eikä tilin rivillä. WireGuard-peer on julkinen avain ja sallittu joukko osoitteita, ja palvelin sallii kättelyn täsmäyttämällä tuon avaimen. Poista peer-merkintä, niin laite ei voi suorittaa kättelyä loppuun, mitä salasanaa se sitten vielä pitääkin.

Tämä malli antaa siistin poistamisen mutta ei henkilökohtaista kirjanpitoa, minkä WireGuard dokumentoi tunnetuksi rajoitukseksi. Palvelin näkee avaimet, ei perheenjäseniä.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

OpenVPN-käyttöönotto päätyy samaan sertifikaateilla ja mitätöintilistalla: jokainen asiakas saa oman sertifikaattinsa, ja yhden merkinnän mitätöinti jättää muut toimimaan. Molemmissa malleissa identiteetti on laitekohtainen, joten kadonnut puhelin on yksi poisto eikä koko kotitalouden tunnistetietojen nollaus.

Samanaikaisuuden rajat ovat palvelimella

Palveluntarjoajat, jotka myyvät ”viisi laitetta”, laskevat yleensä samanaikaisia istuntoja, eivät asennettuja sovelluksia. Kaksi kannettavaa ja puhelin voivat olla kunnossa, kunnes kolmas kannettava työntää tilin rajan yli ja yksi olemassa oleva istunto pudotetaan. Asiakas selittää tätä harvoin, joten oire näyttää epävakaalta yhteydeltä eikä suunnitelman rajalta.

Lue suunnitelman ehdot todellisen säännön selvittämiseksi ennen kuin lupaat laitemäärän. Jotkin palvelut laskevat yhteyksiä, toiset laskevat eri laitteita, jotka on nähty jaksolla, ja toiset sallivat suuremman määrän samassa lähiverkossa.

Sovi kotitalouden säännöt ennen toista laitetta

Kirjoita neljä asiaa: kuka pitää palautuspostilaatikkoa, kuka voi lisätä tai poistaa laitteen, kuka maksaa, kun suunnitelma muuttuu, ja mitä tapahtuu, kun joku muuttaa pois. Nämä ovat käytäntöpäätöksiä, joita mikään asiakasasetus ei voi tehdä puolestasi, ja niistä on paljon helpompi sopia ennen kuin kiireellinen poisto tarvitaan. Laita vastaukset yhteen paikkaan, jonka kotitalous löytää, mukaan lukien mikä laitenimi kuuluu kenelle. Nimiluettelo on se, mikä muuttaa peer-avaimen tai sovellussalasanan takaisin henkilöksi, jolle voi soittaa.

Pidä tunnelin tunnistetiedot poissa jaetuista muistiinpanoista ja keskusteluhistoriasta. Salasananhallinta jaetulla holvilla tai operaattorin myöntämä laitekohtainen tunnistetieto pitää salaisuuden siirrettävänä jättämättä kopioita kolmeen viestiketjuun.

Tarkista myös, miten palvelu käsittelee valvottuja tilejä ja perhesuodattimia, koska VPN muuttaa verkkopolkua mutta ei korvaa lapsilukkoa tai laitehallintaa. Testaa sitten yksi todellinen tehtävä per henkilö: sähköposti, videopuhelu, työportaali. Nouseva tunneli ei todista, että reitit, DNS ja jaetun tunnelin säännöt käyttäytyvät samoin jokaisella alustalla.

Todista poistopolku, kun se on vielä helppoa

Poistaminen on osa, jonka kaikki lykkäävät, joten testaa se laitteella, jota hallitset. Lisää varapuhelin tai kannettava, varmista että se yhdistää, mitätöi sitten kyseinen laite operaattorin dokumentoidulla menetelmällä ja varmista, että tunneli epäonnistuu muiden pysyessä pystyssä.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Mitätöidyn laitteen pitäisi lakata saavuttamasta sisäistä osoitetta istunnon kuluessa, ei vain epäonnistua uudelleenyhdistämisessä uudelleenkäynnistyksen jälkeen. Jos vanha istunto jatkaa toimintaansa, mitätöinti ei tavoittanut palvelinta, ja tunnistetiedot ovat edelleen voimassa.

Kirjaa tulos kotitalouden muistiinpanoon, joka jo luettelee laitteet, ja palaa siihen, kun puhelin vaihdetaan. Järjestely pysyy hallittavana vain, kun identiteetit, rajat ja poistovaihe on kaikki kirjoitettu.