Compartir un acceso VPN en familia: que falla despois

Copiar un nome de usuario e un contrasinal de VPN a un segundo dispositivo leva un minuto e funciona ben, e por iso mesmo os problemas aparecen meses despois. As credenciais que entregaches adoitan controlar máis que un túnel: poden ser donas da subscrición, do buzón de recuperación e da lista de dispositivos. Antes de que se conecte o segundo teléfono, aclara que autoriza realmente o acceso e como se retirará un dispositivo sen tocar os demais.

Un contrasinal, varios privilexios distintos

As contas VPN comerciais adoitan agrupar tres cousas detrás dun só acceso: a credencial do túnel, o rexistro de facturación ou do plan e a canle de recuperación da conta. Compartir a primeira é unha decisión de conexión; compartir as outras dúas entrega o control da subscrición. Moitos provedores mantéñenas na mesma credencial ata que as separas a propósito, así que a pregunta non é se o contrasinal funciona en dous dispositivos, senón que máis abre. Pregunta ao operador cal das tres controla o acceso e se se pode designar un titular de facturación ou un enderezo de recuperación á parte. Esa única resposta decide canto da conta estás entregando en realidade.

No servidor, a conta é unha fila cun plan e un contador de conexións. A aplicación cliente só é unha vista desa fila, e non impón nada que non puideses saltar con outro cliente. Por iso un plan de «un dispositivo» segue conectando desde tres dispositivos ata que o servidor decide rexeitar a cuarta sesión.

A autenticación de dous factores afía a pregunta sobre compartir. Un segredo TOTP inscrito en catro teléfonos son catro copias do mesmo segundo factor, e calquera delas pode satisfacer o acceso. Se a conta admite contrasinais de aplicación separados ou inscrición por dispositivo, úsaos; se non, trata o segundo factor compartido como unha debilidade coñecida en lugar dun problema resolto.

As claves por dispositivo cambian o que significa retirar

As instalacións autoaloxadas son distintas porque a identidade vive na configuración e non nunha fila de conta. Un par de WireGuard é unha clave pública máis un conxunto permitido de enderezos, e o servidor autoriza un aperto de mans facendo coincidir esa clave. Se borras a entrada do par, o dispositivo non pode completar un aperto de mans, por moito contrasinal que siga tendo.

Ese modelo dache unha retirada limpa pero ningunha contabilidade por persoa, o que WireGuard documenta como unha limitación coñecida. O servidor ve claves, non membros da familia.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Un despregamento OpenVPN chega ao mesmo sitio mediante certificados e unha lista de revocación: cada cliente recibe o seu propio certificado, e revogar unha entrada deixa funcionando as demais. En ambos os deseños a identidade é por dispositivo, así que un teléfono perdido é unha única eliminación en lugar dun restablecemento de credenciais para toda a casa.

Os límites de simultaneidade viven no servidor

Os provedores que venden «cinco dispositivos» adoitan contar sesións simultáneas, non aplicacións instaladas. Dous portátiles e un teléfono poden ir ben mentres un terceiro portátil empurra a conta por riba do límite e unha sesión existente queda expulsada. O cliente raramente o explica, así que o síntoma parece unha conexión inestable en lugar dun límite do plan.

Le os termos do plan para coñecer a regra real antes de prometer un número de dispositivos. Algúns servizos contan conexións, outros contan dispositivos distintos vistos nun período, e outros permiten un número maior na mesma rede local.

Decide as regras da casa antes do segundo dispositivo

Anota catro cousas: quen ten o buzón de recuperación, quen pode engadir ou retirar un dispositivo, quen paga cando cambia o plan e que pasa cando alguén se vai. Son decisións de política que ningunha configuración do cliente pode tomar por ti, e son moito máis fáciles de acordar antes de que faga falta unha retirada urxente. Pon as respostas nun lugar que a casa poida atopar, incluíndo que nomes de dispositivo corresponden a que persoa. Unha lista de nomes é o que converte unha clave de par ou un contrasinal de aplicación en alguén a quen podes chamar.

Mantén a credencial do túnel fóra de notas compartidas e de historiais de chat. Un xestor de contrasinais cunha bóveda compartida, ou unha credencial por dispositivo emitida polo operador, mantén o segredo transferible sen deixar copias en tres fíos de mensaxes.

Comproba tamén como trata o servizo as contas supervisadas e os controis familiares, porque unha VPN cambia o camiño de rede sen substituír o control parental nin a xestión de dispositivos. Despois proba unha tarefa real por persoa: correo, unha videollamada, un portal de traballo. Un túnel que se levanta non demostra que as rutas, o DNS e as regras de túnel dividido se comporten igual en cada plataforma.

Demostra a vía de retirada mentres aínda é doada

A retirada é a parte que todo o mundo apraza, así que proba en un dispositivo que controles. Engade un teléfono ou un portátil de reposto, confirma que se conecta, revoga despois ese dispositivo co método documentado do operador e confirma que o túnel falla mentres os demais seguen en pé.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Un dispositivo revogado debería deixar de chegar ao enderezo interno dentro dunha sesión, non só fallar ao reconectar tras un reinicio. Se a sesión antiga segue funcionando, a revocación non chegou ao servidor, e a credencial segue viva.

Rexistra o resultado na nota da casa que xa lista os dispositivos, e revísaa cando se substitúe un teléfono. O arranxo só segue sendo manexable mentres as identidades, os límites e o paso de retirada estean todos escritos.