שיתוף התחברות VPN אחת עם המשפחה: מה נשבר אחר כך
סיסמת VPN משותפת מסתירה ארבע החלטות: זהות לכל מכשיר, מגבלות הפעלה, הסרה ושחזור. הכריעו בהן לפני שהמכשיר השני מתחבר.
העתקת שם משתמש וסיסמת VPN למכשיר שני אורכת דקה ועובדת היטב, ובדיוק משום כך הבעיות צצות חודשים אחר כך. פרטי הכניסה שמסרתם שולטים בדרך כלל ביותר מאשר במנהרה: הם עשויים להיות הבעלים של המנוי, של תיבת הדואר לשחזור ושל רשימת המכשירים. לפני שהטלפון השני מתחבר, בררו למה הכניסה מאפשרת באמת וכיצד יוסר מכשיר אחד בלי לפגוע בשאר.
סיסמה אחת, כמה הרשאות שונות
חשבונות VPN מסחריים אוגדים בדרך כלל שלושה דברים מאחורי כניסה אחת: פרטי המנהרה, רשומת החיוב או התוכנית וערוץ השחזור של החשבון. שיתוף הראשון הוא החלטת חיבור; שיתוף השניים האחרים הוא מסירת השליטה במנוי. ספקים רבים משאירים אותם על אותם פרטים עד שתפרידו אותם במכוון, ולכן השאלה אינה אם הסיסמה עובדת בשני מכשירים אלא מה עוד היא פותחת. שאלו את המפעיל איזה מן השלושה נשלט בידי הכניסה, והאם אפשר למנות בעל חיוב או כתובת שחזור נפרדים. אותה תשובה אחת קובעת כמה מהחשבון אתם מוסרים בפועל.
בצד השרת, החשבון הוא שורה עם תוכנית ומונה חיבורים. אפליקציית הלקוח היא רק תצוגה של אותה שורה, והיא אינה אוכפת דבר שאי אפשר היה לעקוף בלקוח אחר. לכן תוכנית «מכשיר אחד» עדיין מתחברת משלושה מכשירים עד שהשרת מחליט לדחות את החיבור הרביעי.
אימות דו-שלבי מחדד את שאלת השיתוף. סוד TOTP הרשום בארבעה טלפונים הוא ארבע עותקים של אותו גורם שני, וכל אחד מהם יכול למלא את הכניסה. אם החשבון תומך בסיסמאות אפליקציה נפרדות או ברישום לפי מכשיר, השתמשו בהן; אם לא, התייחסו לגורם השני המשותף כחולשה ידועה ולא כבעיה שנפתרה.
מפתחות לפי מכשיר משנים את משמעות ההסרה
התקנות מתארחות עצמית נבדלות משום שהזהות חיה בתצורה ולא בשורת חשבון. עמית WireGuard הוא מפתח ציבורי וערכת כתובות מורשות, והשרת מתיר לחיצת יד על ידי התאמת אותו מפתח. אם תמחקו את רשומת העמית, המכשיר לא יוכל להשלים לחיצת יד, יהיה אשר יהיה הסיסמה שעוד מצויה בו.
המודל הזה נותן הסרה נקייה אבל לא חשבונאות לאדם, מה ש-WireGuard מתעד כמגבלה ידועה. השרת רואה מפתחות, לא בני משפחה.
sudo wg show wg0 peers sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove sudo wg show wg0 latest-handshakes
פריסת OpenVPN מגיעה לאותו מקום בעזרת תעודות ורשימת ביטול: כל לקוח מקבל תעודה משלו, וביטול רשומה אחת משאיר את האחרות עובדות. בשני התכנונים הזהות היא לפי מכשיר, ולכן טלפון שאבד הוא מחיקה אחת ולא איפוס פרטי כניסה לכל הבית.
מגבלות ההפעלה הבו-זמנית נמצאות בשרת
ספקים שמוכרים «חמישה מכשירים» סופרים בדרך כלל הפעלות בו-זמניות, לא אפליקציות מותקנות. שני מחשבים ניידים וטלפון יכולים להיות בסדר בזמן שמחשב נייד שלישי דוחף את החשבון מעל המגבלה והפעלה קיימת נזרקת. הלקוח ממעט להסביר זאת, ולכן התסמין נראה כמו חיבור לא יציב ולא כמו גבול של תוכנית.
| Model | What removal costs |
|---|---|
| Shared username and password | Password change for everyone, re-enrollment on every device |
| Per-device app password | Revoke one credential, others keep working |
| Per-device key or certificate | Delete one peer or revoke one certificate |
קראו את תנאי התוכנית כדי לדעת את הכלל האמיתי לפני שמבטיחים מספר מכשירים. יש שירותים שסופרים חיבורים, אחרים סופרים מכשירים שונים שנראו בתקופה, ואחרים מתירים מספר גבוה יותר באותה רשת מקומית.
החליטו את כללי הבית לפני המכשיר השני
כתבו ארבעה דברים: מי מחזיק בתיבת הדואר לשחזור, מי יכול להוסיף או להסיר מכשיר, מי משלם כשהתוכנית משתנה, ומה קורה כשמישהו עוזב. אלה החלטות מדיניות ששום הגדרת לקוח לא יכולה לקבל בשבילכם, והרבה יותר קל להסכים עליהן לפני שצריך הסרה דחופה. שימו את התשובות במקום אחד שהבית יכול למצוא, כולל איזה שם מכשיר שייך למי. רשימת שמות היא מה שהופך מפתח עמית או סיסמת אפליקציה חזרה לאדם שאפשר להתקשר אליו.
הרחיקו את פרטי המנהרה מהערות משותפות ומהיסטוריית צ׳אט. מנהל סיסמאות עם כספת משותפת, או פרטי כניסה לכל מכשיר שהמפעיל מנפיק, משאירים את הסוד ניתן להעברה בלי להשאיר עותקים בשלושה שרשורי הודעות.
בדקו גם איך השירות מתייחס לחשבונות בפיקוח ולמסננים משפחתיים, מפני ש-VPN משנה את נתיב הרשת אבל לא מחליף בקרת הורים או ניהול מכשירים. אחר כך נסו משימה אמיתית אחת לכל אדם: דואר, שיחת וידאו, פורטל עבודה. מנהרה שעולה אינה הוכחה שהנתיבים, ה-DNS וכללי המנהרה המפוצלת מתנהגים אותו דבר בכל פלטפורמה.
הוכיחו את מסלול ההסרה כל עוד הוא קל
ההסרה היא החלק שכולם דוחים, ולכן נסו אותה במכשיר שאתם שולטים בו. הוסיפו טלפון או מחשב נייד חלופי, אשרו שהוא מתחבר, ואז בטלו את אותו מכשיר בשיטה המתועדת של המפעיל ואשרו שהמנהרה נכשלת בזמן שהאחרים ממשיכים.
curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/healthמכשיר מבוטל צריך להפסיק להגיע לכתובת הפנימית בתוך הפעלה אחת, לא רק להיכשל בהתחברות מחדש אחרי אתחול. אם ההפעלה הישנה ממשיכה לעבוד, הביטול לא הגיע לשרת, ופרטי הכניסה עדיין חיים.
רשמו את התוצאה בהערת הבית שכבר מפרטת את המכשירים, וחזרו אליה כשמחליפים טלפון. ההסדר נשאר בר-ניהול רק כל עוד הזהויות, המגבלות ושלב ההסרה כולם כתובים.