Egy VPN-bejelentkezés megosztása a családdal: mi törik el később

Egy VPN-felhasználónév és -jelszó átmásolása egy második eszközre egy percet vesz igénybe, és jól működik, és éppen ezért jelentkeznek a problémák hónapokkal később. Az átadott belépési adatok általában többet irányítanak egy alagúnál: birtokolhatják az előfizetést, a helyreállítási postafiókot és az eszközlistát. Mielőtt a második telefon csatlakozik, tisztázd, mire ad valójában jogot a belépés, és hogyan távolítasz el egy eszközt anélkül, hogy a többit érintenéd.

Egy jelszó, több különböző jogosultság

A kereskedelmi VPN-fiókok általában három dolgot vonnak egyetlen belépés mögé: az alagút belépési adatait, a számlázási vagy csomagrekordot és a fiók helyreállítási csatornáját. Az első megosztása kapcsolódási döntés; a másik kettő megosztása az előfizetés feletti ellenőrzés átadása. Sok szolgáltató ugyanazokon az adatokon tartja őket, amíg tudatosan szét nem választod őket, ezért a kérdés nem az, hogy működik-e a jelszó két eszközön, hanem hogy mi mást nyit meg. Kérdezd meg az operátort, hogy a három közül melyiket irányítja a belépés, és kijelölhető-e külön számlázási tulajdonos vagy helyreállítási cím. Az az egyetlen válasz dönti el, hogy a fiók mekkora részét adod át valójában.

A szerver oldalán a fiók egy sor csomaggal és kapcsolatszámlálóval. Az ügyfélalkalmazás csak ennek a sornak a nézete, és semmi olyat nem kényszerít ki, amit ne lehetne megkerülni egy másik ügyféllel. Ezért az „egy eszköz” csomag mégis három eszközről kapcsolódik, amíg a szerver nem dönt úgy, hogy elutasítja a negyedik munkamenetet.

A kétfaktoros hitelesítés élesebbé teszi a megosztás kérdését. A négy telefonon regisztrált TOTP-titok ugyanannak a második tényezőnek négy példánya, és bármelyikük kielégítheti a belépést. Ha a fiók támogat külön alkalmazásjelszavakat vagy eszközönkénti regisztrációt, használd őket; ha nem, kezeld a megosztott második tényezőt ismert gyengeségként, nem megoldott problémaként.

Az eszközönkénti kulcsok megváltoztatják az eltávolítás jelentését

A saját üzemeltetésű beállítások abban különböznek, hogy az identitás a konfigurációban él, nem egy fióksorban. A WireGuard-peer egy nyilvános kulcs plusz egy engedélyezett címkészlet, és a szerver a kézfogást e kulcs egyeztetésével engedélyezi. Ha törlöd a peer bejegyzését, az eszköz nem tudja befejezni a kézfogást, bármilyen jelszava is van még.

Ez a modell tiszta eltávolítást ad, de személyenkénti elszámolást nem, amit a WireGuard ismert korlátozásként dokumentál. A szerver kulcsokat lát, nem családtagokat.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Egy OpenVPN-telepítés ugyanoda jut tanúsítványokkal és visszavonási listával: minden ügyfél a saját tanúsítványát kapja, és egy bejegyzés visszavonása a többieket működésben hagyja. Mindkét felépítésben az identitás eszközönkénti, ezért egy elveszett telefon egyetlen törlés, nem pedig az egész háztartás belépési adatainak visszaállítása.

Az egyidejűségi korlátok a szerveren élnek

Azok a szolgáltatók, amelyek „öt eszközt” adnak el, általában az egyidejű munkameneteket számolják, nem a telepített alkalmazásokat. Két laptop és egy telefon rendben lehet, miközben egy harmadik laptop a korlát fölé löki a fiókot, és egy meglévő munkamenet kiesik. Az ügyfél ezt ritkán magyarázza, ezért a tünet instabil kapcsolatnak tűnik, nem csomaghatárnak.

Olvasd el a csomag feltételeit a tényleges szabályért, mielőtt eszközszámot ígérsz. Egyes szolgáltatások kapcsolatokat számolnak, mások az adott időszakban látott különböző eszközöket, megint mások nagyobb számot engednek ugyanazon a helyi hálózaton.

Döntsd el a háztartási szabályokat a második eszköz előtt

Írj le négy dolgot: kinél van a helyreállítási postafiók, ki adhat hozzá vagy távolíthat el eszközt, ki fizet, amikor a csomag változik, és mi történik, ha valaki elköltözik. Ezek olyan szabályozási döntések, amelyeket egyetlen ügyfélbeállítás sem hozhat meg helyetted, és sokkal könnyebb megállapodni bennük, mint sürgős eltávolítás esetén. Tedd a válaszokat egy helyre, amit a háztartás megtalál, beleértve azt, hogy melyik eszköznév kihez tartozik. A névlista az, ami a peer-kulcsot vagy az alkalmazásjelszót újra valakivé teszi, akit fel lehet hívni.

Tartsd az alagút belépési adatait távol a megosztott jegyzetektől és a csevegési előzményektől. A megosztott trezorral rendelkező jelszókezelő vagy az operátor által kiadott eszközönkénti belépési adat átadhatóvá teszi a titkot anélkül, hogy példányokat hagyna három üzenetszálban.

Azt is ellenőrizd, hogyan kezeli a szolgáltatás a felügyelt fiókokat és a családi szűrőket, mert a VPN megváltoztatja a hálózati útvonalat, de nem helyettesíti a szülői felügyeletet vagy az eszközkezelést. Utána tesztelj egy valódi feladatot személyenként: levelezés, videóhívás, munkaügyi portál. A felálló alagút nem bizonyítja, hogy az útvonalak, a DNS és a megosztott alagút szabályai minden platformon ugyanúgy viselkednek.

Bizonyítsd az eltávolítás útját, amíg még könnyű

Az eltávolítás az a rész, amit mindenki halaszt, ezért teszteld egy általad irányított eszközön. Adj hozzá egy tartalék telefont vagy laptopot, igazold, hogy csatlakozik, majd vonja vissza az eszközt az operátor dokumentált módszerével, és igazold, hogy az alagút elbukik, miközben a többi működik.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Egy visszavont eszköznek egy munkameneten belül fel kell hagynia a belső cím elérésével, nem csak újraindítás után kell sikertelenül újracsatlakoznia. Ha a régi munkamenet tovább működik, a visszavonás nem ért el a szerverig, és a belépési adatok még érvényesek.

Jegyezd fel az eredményt a háztartási jegyzetbe, amely már felsorolja az eszközöket, és nézd át újra, amikor egy telefont cserélnek. A felállás csak akkor marad kezelhető, ha az identitások, a korlátok és az eltávolítási lépés mind le vannak írva.