Zajednička VPN prijava u obitelji: što se kasnije pokvari
Zajednička VPN lozinka skriva četiri odluke: identitet po uređaju, ograničenja sesija, uklanjanje i oporavak. Riješite ih prije nego se poveže drugi uređaj.
Kopiranje VPN korisničkog imena i lozinke na drugi uređaj traje minutu i radi dobro, i upravo zato problemi izbiju mjesecima kasnije. Vjerodajnice koje ste predali obično kontroliraju više od tunela: možda posjeduju pretplatu, poštanski sandučić za oporavak i popis uređaja. Prije nego se poveže drugi telefon, razjasnite što prijava zapravo odobrava i kako će se ukloniti jedan uređaj bez diranja ostalih.
Jedna lozinka, nekoliko različitih ovlasti
Komercijalni VPN računi obično okupljaju tri stvari iza jedne prijave: vjerodajnicu tunela, zapis o naplati ili planu te kanal za oporavak računa. Dijeljenje prve je odluka o vezi; dijeljenje ostalih dviju predaje kontrolu nad pretplatom. Mnogi pružatelji drže ih na istim vjerodajnicama dok ih namjerno ne razdvojite, pa pitanje nije radi li lozinka na dva uređaja, nego što još otvara. Pitajte operatera kojoj od triju prijava upravlja i može li se imenovati zaseban vlasnik naplate ili adresa za oporavak. Taj jedan odgovor odlučuje koliko računa doista predajete.
Na strani poslužitelja račun je redak s planom i brojačem veza. Klijentska aplikacija samo je pogled na taj redak i ne provodi ništa što ne biste mogli zaobići drugim klijentom. Zato se plan za »jedan uređaj« još uvijek povezuje s tri uređaja dok poslužitelj ne odluči odbiti četvrtu sesiju.
Dvofaktorska autentikacija izoštrava pitanje dijeljenja. TOTP tajna upisana na četiri telefona četiri su kopije istog drugog faktora i bilo koja od njih može zadovoljiti prijavu. Ako račun podržava zasebne lozinke aplikacija ili upis po uređaju, upotrijebite ih; ako ne, tretirajte podijeljeni drugi faktor kao poznatu slabost, a ne kao riješen problem.
Ključevi po uređaju mijenjaju što uklanjanje znači
Samostalno hostane instalacije razlikuju se jer identitet živi u konfiguraciji, a ne u retku računa. WireGuard peer je javni ključ plus dopušteni skup adresa, a poslužitelj odobrava rukovanje usklađivanjem tog ključa. Izbrišete li zapis peera, uređaj ne može dovršiti rukovanje, bez obzira na to koju lozinku još ima.
Taj model daje čisto uklanjanje, ali nikakvo razduživanje po osobi, što WireGuard dokumentira kao poznato ograničenje. Poslužitelj vidi ključeve, ne članove obitelji.
sudo wg show wg0 peers sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove sudo wg show wg0 latest-handshakes
Postava OpenVPN dolazi do istoga pomoću certifikata i popisa opozvanih certifikata: svaki klijent dobiva vlastiti certifikat, a opoziv jednog zapisa ostavlja ostale da rade. U oba nacrta identitet je po uređaju, pa je izgubljeni telefon jedno brisanje umjesto resetiranja vjerodajnica za cijelo kućanstvo.
Ograničenja istovremenosti žive na poslužitelju
Pružatelji koji prodaju »pet uređaja« obično broje istovremene sesije, a ne instalirane aplikacije. Dva prijenosnika i telefon mogu biti u redu dok treći prijenosnik gura račun preko ograničenja i jedna postojeća sesija biva izbačena. Klijent to rijetko objašnjava, pa simptom izgleda kao nestabilna veza umjesto granice plana.
| Model | What removal costs |
|---|---|
| Shared username and password | Password change for everyone, re-enrollment on every device |
| Per-device app password | Revoke one credential, others keep working |
| Per-device key or certificate | Delete one peer or revoke one certificate |
Pročitajte uvjete plana za stvarno pravilo prije nego obećate broj uređaja. Neke usluge broje veze, neke broje različite uređaje viđene u razdoblju, a neke dopuštaju veći broj na istoj lokalnoj mreži.
Dogovorite kućna pravila prije drugog uređaja
Zapišite četiri stvari: tko ima poštanski sandučić za oporavak, tko može dodati ili ukloniti uređaj, tko plaća kad se plan promijeni i što se događa kad netko ode. To su odluke o politici koje nijedna postavka klijenta ne može donijeti umjesto vas i mnogo je lakše dogovoriti ih prije nego što zatreba hitno uklanjanje. Stavite odgovore na jedno mjesto koje kućanstvo može naći, uključujući koja imena uređaja pripadaju kojoj osobi. Popis imena je ono što ključ peera ili lozinku aplikacije vraća u nekoga koga možete nazvati.
Držite vjerodajnicu tunela izvan zajedničkih bilješki i povijesti razgovora. Upravitelj lozinkama sa zajedničkim trezorom ili vjerodajnica po uređaju koju izdaje operater drži tajnu prenosivom bez ostavljanja kopija u tri niti poruka.
Provjerite i kako usluga tretira nadzirane račune i obiteljske filtre, jer VPN mijenja mrežni put, ali ne zamjenjuje roditeljski nadzor ni upravljanje uređajima. Zatim testirajte jedan stvarni zadatak po osobi: poštu, videopoziv, radni portal. Tunel koji se uspostavi nije dokaz da se rute, DNS i pravila podijeljenog tunela ponašaju isto na svakoj platformi.
Dokažite put uklanjanja dok je još jednostavan
Uklanjanje je dio koji svi odgađaju, pa ga testirajte na uređaju koji kontrolirate. Dodajte rezervni telefon ili prijenosnik, potvrdite da se povezuje, zatim opozovite taj uređaj dokumentiranom metodom operatera i potvrdite da tunel pada dok ostali ostaju aktivni.
curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/healthOpozvan uređaj trebao bi prestati dosezati internu adresu unutar jedne sesije, a ne samo neuspješno se ponovno povezati nakon restarta. Ako stara sesija nastavi raditi, opoziv nije stigao do poslužitelja i vjerodajnica je još aktivna.
Zapišite rezultat u kućnu bilješku koja već navodi uređaje i vratite se na nju kad se telefon zamijeni. Raspored ostaje upravljiv samo dok su identiteti, ograničenja i korak uklanjanja svi zapisani.