Ien VPN-oanmelding diele mei it húshâlden: wat letter misgiet
In dield VPN-wachtwurd ferberget fjouwer besluten: identiteit per apparaat, sesjelimiten, fuortheljen en werstel. Regelje se foar't it twadde apparaat ferbine makket.
In VPN-brûkersnamme en wachtwurd nei in twadde apparaat kopiearje kostet in minút en wurket prima, en dêrom komme de problemen pas moannen letter oan it ljocht. De oanmeldgegevens dy't jo oerjûn hawwe, beheare meastentiids mear as in tunnel: se besitte miskien it abonnemint, de werstelpostbus en de apparaatlist. Foar't de twadde telefoan ferbynt, sykje jo út wat de oanmelding wier autorisearret en hoe't ien apparaat ferwidere wurdt sûnder de oare oan te taasten.
Ien wachtwurd, ferskate rjochten
Kommersjele VPN-akkounts bondelje meastentiids trije dingen efter ien oanmelding: de tunnelgegevens, de faktuer- of planrigel en it werstelkanaal fan it akkount. It earste diele is in ferbiningsbeslút; de oare twa diele draacht de kontrôle oer it abonnemint oer. In protte oanbieders hâlde se op deselde gegevens oant jo se bewust skiede, dus de fraach is net oft it wachtwurd op twa apparaten wurket, mar wat it fierder iepenet. Freegje de operator hokker fan de trije de oanmelding beheart, en oft in aparte faktuer-eigner of wersteladres oanwiisd wurde kin. Dat iene antwurd bepaalt hoefolle fan it akkount jo wier oerdrage.
Oan de serverkant is it akkount in rige mei in plan en in ferbiningsteller. De klantapp is allinnich in werjefte fan dy rige, en hy twingt neat ôf dat jo net mei in oare klant omgean koene. Dêrom ferbynt in plan foar “ien apparaat” altyd noch fan trije apparaten, oant de server beslút de fjirde sesje te wegerjen.
Twa-faktor-autentikaasje makket de dielefraach skerper. In TOTP-geheim dat op fjouwer telefoans registrearre is, binne fjouwer kopyen fan deselde twadde faktor, en elk dêrfan kin de oanmelding ferfolje. As it akkount aparte app-wachtwurden of registraasje per apparaat stipet, brûk se; sa net, behannelje de dielde twadde faktor as in bekende swakte ynstee fan in oplost probleem.
Kaaien per apparaat feroarje wat fuortheljen betsjut
Sels hoste opset ferskilt om't de identiteit yn 'e konfiguraasje sit ynstee fan yn in akkountrige. In WireGuard-peer is in iepenbiere kaai plus in tastien set adressen, en de server autorisearret in hânskip troch dy kaai te matsen. Ferwiderje jo de peer-rigel, dan kin it apparaat gjin hânskip foltôgje, hokker wachtwurd it ek noch hat.
Dat model jout jo skjin fuortheljen mar gjin taskriuwing per persoan, wat WireGuard as in bekende beheining dokumintearret. De server sjocht kaaien, gjin húshâldleden.
sudo wg show wg0 peers sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove sudo wg show wg0 latest-handshakes
In OpenVPN-ymplemintaasje berikt itselde fia sertifikaten en in ynlûklist: elke klant krijt syn eigen sertifikaat, en it ynlûken fan ien rigel lit de oare wurkje. Yn beide ûntwerpen is de identiteit per apparaat, dus in ferlerne telefoan is ien ferwidering ynstee fan in weromset fan oanmeldgegevens foar it hiele húshâlden.
Tagelykheidslimiten sitte op de server
Oanbieders dy't “fiif apparaten” ferkeapje, telle meastentiids tagelyk aktive sesjes, net ynstallearre apps. Twa laptops en in telefoan kinne prima wêze wylst in tredde laptop it akkount oer de grins skoot en in besteande sesje ferfalt. De klant ferklearret dit selden, dus it symptoom liket op in wifkige ferbining ynstee fan in plangrins.
| Model | What removal costs |
|---|---|
| Shared username and password | Password change for everyone, re-enrollment on every device |
| Per-device app password | Revoke one credential, others keep working |
| Per-device key or certificate | Delete one peer or revoke one certificate |
Lês de planbetingsten foar de wiere regel foar't jo in tal apparaten taseit. Guon tsjinsten telle ferbiningen, guon telle ferskate apparaten dy't yn in perioade sjoen binne, en guon tastean in heger tal op itselde lokale netwurk.
Bepaal de húshâldregels foar apparaat twa
Skriuw fjouwer dingen op: wa't de werstelpostbus hat, wa't in apparaat taheakje of ferwiderje mei, wa't betellet as it plan feroaret, en wat der bart as immen ferhúzet. Dat binne beliedsbesluten dy't gjin inkelde klantynstelling foar jo nimme kin, en se binne folle makliker ôf te praten foar't in driuwende ferwidering nedich is. Set de antwurden op ien plak dat it húshâlden fine kin, ynklusyf hokker apparaatnammen by hokker persoan hearre. In list mei nammen is wat in peer-kaai of in app-wachtwurd wer ferandert yn immen dy't jo belje kinne.
Hâld de tunnelgegevens út dielde notysjes en chat-skiednis. In wachtwurdbehearder mei in dielde klús, of in oanmelding per apparaat dat de operator útjout, hâldt it geheim oerdraachber sûnder kopyen efter te litten yn trije berjochtenrigen.
Kontrolearje ek hoe't de tsjinst omgiet mei tafersjoch-akkounts en húshâldkontrôles, om't in VPN it netwurkpaad feroaret sûnder âlderlik tafersjoch of apparaatbehear te ferfangen. Test dan ien echte taak per persoan: e-post, in fideo-oprop, in wurkportaal. In tunnel dy't ta stân komt is gjin bewiis dat rûtes, DNS en split-tunnelregels op elk platfoarm itselde wurkje.
Bewiis it fuorthelpaad wylst it noch maklik is
Fuortheljen is it part dat elkenien útstelt, dus test it op in apparaat dat jo sels beheare. Foegje in ekstra telefoan of laptop ta, befêstigje dat dy ferbynt, lûk dat apparaat dan yn mei de dokumintearre metoade fan de operator en befêstigje dat de tunnel mislearret wylst de oaren oan bliuwe.
curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/healthIn ynlutsen apparaat heart it interne adres binnen ien sesje net mear te berikken, net allinnich nei in werstart gjin ferbining mear te meitsjen. As de âlde sesje wurkjen bliuwt, hat de ynlûking de server net berikt, en binne de oanmeldgegevens noch jildich.
Skriuw it resultaat op yn 'e húshâldnotysje dy't de apparaten al listet, en besjoch it op 'e nij as in telefoan ferfongen wurdt. De regeling bliuwt allinnich behearber salang't de identiteiten, de limiten en de fuorthelstap allegearre opskreaun binne.