परिवार के साथ एक VPN लॉगिन साझा करना: बाद में क्या टूटता है
साझा किया गया VPN पासवर्ड चार फैसले छिपाता है: प्रति डिवाइस पहचान, सत्र सीमाएँ, हटाना और रिकवरी। दूसरे डिवाइस के जुड़ने से पहले इन्हें तय कर लें।
किसी VPN का उपयोगकर्ता नाम और पासवर्ड दूसरे डिवाइस पर कॉपी करने में एक मिनट लगता है और यह ठीक चलता है, और ठीक इसी वजह से समस्याएँ महीनों बाद सामने आती हैं। आपने जो क्रेडेंशियल सौंपे हैं वे आम तौर पर सिर्फ़ एक टनल से ज़्यादा नियंत्रित करते हैं: वे सब्सक्रिप्शन, रिकवरी मेलबॉक्स और डिवाइस सूची के मालिक हो सकते हैं। दूसरे फ़ोन के जुड़ने से पहले स्पष्ट करें कि लॉगिन वास्तव में किस चीज़ की अनुमति देता है और बाक़ी डिवाइसों को छुए बिना एक डिवाइस को कैसे हटाया जाएगा।
एक पासवर्ड, कई अलग-अलग अधिकार
व्यावसायिक VPN खाते आम तौर पर एक ही लॉगिन के पीछे तीन चीज़ें रखते हैं: टनल की क्रेडेंशियल, बिलिंग या प्लान का रिकॉर्ड और खाते की रिकवरी चैनल। पहली चीज़ साझा करना कनेक्शन का फैसला है; बाक़ी दो साझा करना सब्सक्रिप्शन का नियंत्रण सौंपना है। कई प्रदाता इन्हें एक ही क्रेडेंशियल पर रखते हैं जब तक आप जानबूझकर इन्हें अलग न करें, इसलिए सवाल यह नहीं है कि पासवर्ड दो डिवाइसों पर चलता है या नहीं, बल्कि यह है कि वह और क्या खोलता है। ऑपरेटर से पूछें कि लॉगिन तीनों में से किसे नियंत्रित करता है, और क्या अलग बिलिंग मालिक या रिकवरी पता नियुक्त किया जा सकता है। वही एक जवाब तय करता है कि आप वास्तव में खाते का कितना हिस्सा सौंप रहे हैं।
सर्वर की ओर खाता एक पंक्ति है जिसमें प्लान और कनेक्शन काउंटर है। क्लाइंट ऐप उस पंक्ति का केवल एक दृश्य है, और यह ऐसा कुछ भी लागू नहीं करता जिसे किसी दूसरे क्लाइंट से बचा न जा सके। इसीलिए «एक डिवाइस» वाला प्लान सर्वर के चौथे सत्र को अस्वीकार करने तक तीन डिवाइसों से जुड़ता रहता है।
दो-कारक प्रमाणीकरण साझा करने का सवाल और तीखा कर देता है। चार फ़ोनों पर दर्ज TOTP गोपनीयता एक ही दूसरे कारक की चार प्रतियाँ हैं, और इनमें से कोई भी लॉगिन पूरा कर सकती है। अगर खाता अलग ऐप पासवर्ड या प्रति-डिवाइस नामांकन का समर्थन करता है तो उन्हें इस्तेमाल करें; अगर नहीं, तो साझा किए गए दूसरे कारक को सुलझी हुई समस्या नहीं बल्कि ज्ञात कमज़ोरी मानें।
प्रति-डिवाइस कुंजियाँ हटाने का अर्थ बदल देती हैं
स्वयं-होस्ट किए गए सेटअप अलग होते हैं क्योंकि पहचान खाते की पंक्ति में नहीं, कॉन्फ़िगरेशन में रहती है। एक WireGuard पीयर एक सार्वजनिक कुंजी और अनुमत पतों का समूह है, और सर्वर उस कुंजी को मिलाकर हैंडशेक को अधिकृत करता है। पीयर प्रविष्टि हटा दें तो डिवाइस हैंडशेक पूरा नहीं कर सकता, चाहे उसके पास कोई भी पासवर्ड बचा हो।
यह मॉडल साफ़ हटाने की सुविधा देता है लेकिन प्रति व्यक्ति हिसाब नहीं, जिसे WireGuard एक ज्ञात सीमा के रूप में दर्ज करता है। सर्वर कुंजियाँ देखता है, परिवार के सदस्य नहीं।
sudo wg show wg0 peers sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove sudo wg show wg0 latest-handshakes
OpenVPN तैनाती प्रमाणपत्रों और निरसन सूची के ज़रिए उसी जगह पहुँचती है: हर क्लाइंट को अपना प्रमाणपत्र मिलता है, और एक प्रविष्टि निरस्त करने पर बाक़ी चलते रहते हैं। दोनों डिज़ाइनों में पहचान प्रति डिवाइस है, इसलिए खोया फ़ोन पूरे घर के क्रेडेंशियल रीसेट करने के बजाय एक ही विलोपन है।
एक साथ जुड़ने की सीमाएँ सर्वर पर रहती हैं
«पाँच डिवाइस» बेचने वाले प्रदाता आम तौर पर एक साथ चल रहे सत्र गिनते हैं, इंस्टॉल किए गए ऐप नहीं। दो लैपटॉप और एक फ़ोन ठीक हो सकते हैं जबकि तीसरा लैपटॉप खाते को सीमा से आगे धकेल देता है और एक मौजूदा सत्र गिर जाता है। क्लाइंट यह शायद ही समझाता है, इसलिए लक्षण डगमगाते कनेक्शन जैसा दिखता है, प्लान की सीमा जैसा नहीं।
| Model | What removal costs |
|---|---|
| Shared username and password | Password change for everyone, re-enrollment on every device |
| Per-device app password | Revoke one credential, others keep working |
| Per-device key or certificate | Delete one peer or revoke one certificate |
डिवाइसों की संख्या का वादा करने से पहले असली नियम के लिए प्लान की शर्तें पढ़ें। कुछ सेवाएँ कनेक्शन गिनती हैं, कुछ किसी अवधि में देखे गए अलग-अलग डिवाइस गिनती हैं, और कुछ उसी स्थानीय नेटवर्क पर ज़्यादा संख्या की अनुमति देती हैं।
दूसरे डिवाइस से पहले घर के नियम तय करें
चार बातें लिख लें: रिकवरी मेलबॉक्स किसके पास है, कौन डिवाइस जोड़ या हटा सकता है, प्लान बदलने पर कौन भुगतान करता है, और किसी के जाने पर क्या होगा। ये ऐसे नीतिगत फैसले हैं जो कोई भी क्लाइंट सेटिंग आपके लिए नहीं ले सकती, और तत्काल हटाने की ज़रूरत पड़ने से पहले इन पर सहमति बनाना कहीं आसान है। जवाबों को एक ऐसी जगह रखें जो घर को मिल सके, जिसमें यह भी शामिल हो कि कौन-सा डिवाइस नाम किसका है। नामों की सूची ही वह चीज़ है जो पीयर कुंजी या ऐप पासवर्ड को फिर से किसी ऐसे व्यक्ति में बदल देती है जिसे आप फ़ोन कर सकते हैं।
टनल क्रेडेंशियल को साझा नोट्स और चैट इतिहास से दूर रखें। साझा तिजोरी वाला पासवर्ड मैनेजर, या ऑपरेटर द्वारा जारी प्रति-डिवाइस क्रेडेंशियल, रहस्य को स्थानांतरणीय रखता है और तीन संदेश शृंखलाओं में प्रतियाँ नहीं छोड़ता।
यह भी देखें कि सेवा पर्यवेक्षित खातों और पारिवारिक फ़िल्टरों को कैसे संभालती है, क्योंकि VPN नेटवर्क का रास्ता बदलता है पर माता-पिता नियंत्रण या डिवाइस प्रबंधन की जगह नहीं लेता। फिर हर व्यक्ति के लिए एक असली काम जाँचें: मेल, वीडियो कॉल, कार्य पोर्टल। टनल का बन जाना इस बात का सबूत नहीं है कि रूट, DNS और स्प्लिट-टनल नियम हर प्लेटफ़ॉर्म पर एक जैसे बर्ताव करते हैं।
हटाने का रास्ता तब साबित करें जब वह अभी आसान है
हटाना वह हिस्सा है जिसे सब टालते हैं, इसलिए इसे अपने नियंत्रण वाले डिवाइस पर जाँचें। एक अतिरिक्त फ़ोन या लैपटॉप जोड़ें, पुष्टि करें कि वह जुड़ता है, फिर उस डिवाइस को ऑपरेटर की दर्ज विधि से निरस्त करें और पुष्टि करें कि बाक़ी चलते रहने पर टनल विफल हो जाता है।
curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/healthनिरस्त किया गया डिवाइस एक सत्र के भीतर आंतरिक पते तक पहुँचना बंद कर दे, सिर्फ़ रीस्टार्ट के बाद दोबारा न जुड़ पाना नहीं। अगर पुराना सत्र चलता रहता है, तो निरसन सर्वर तक नहीं पहुँचा और क्रेडेंशियल अब भी जीवित हैं।
नतीजा उस घर वाली नोट में दर्ज करें जो पहले से डिवाइसों की सूची रखती है, और फ़ोन बदलने पर उसे दोबारा देखें। यह व्यवस्था तभी संभाली जा सकती है जब पहचान, सीमाएँ और हटाने का चरण सब लिखे हुए हों।