家族で一つのVPNログインを共有する：後で壊れるもの

VPNのユーザー名とパスワードを二台目のデバイスにコピーするのは一分で済み、問題なく動くからこそ、トラブルは数か月後に表面化します。渡した認証情報は通常、トンネル以上のものを支配し、サブスクリプション、復旧用メールボックス、デバイス一覧の所有者になっている可能性があります。二台目のスマートフォンが接続する前に、ログインが実際に何を許可するのか、他の機器に触れずに一台を削除する方法を確認してください。

一つのパスワード、いくつもの異なる権限

商用VPNアカウントは通常、一つのログインの背後に三つを束ねています。トンネルの認証情報、請求やプランの記録、そしてアカウントの復旧経路です。一つ目を共有するのは接続の判断ですが、残り二つを共有するのはサブスクリプションの制御を渡すことです。多くの事業者はあなたが意図的に分けるまで同じ認証情報に載せたままなので、問いはパスワードが二台で使えるかではなく、ほかに何を開くかです。事業者に、ログインが三つのどれを制御するのか、請求の名義や復旧アドレスを別に置けるのかを確認してください。その一つの答えが、実際にどれだけのアカウントを渡すのかを決めます。

サーバー側では、アカウントはプランと接続カウンターを持つ一行にすぎません。クライアントアプリはその行の見え方でしかなく、別のクライアントで回避できないものは何も強制していません。だから「一台のデバイス」プランでも、サーバーが四つ目のセッションを拒否するまで三台から接続できてしまうのです。

二要素認証は、共有という問いをさらに鋭くします。四台のスマートフォンに登録したTOTPの秘密は同じ第二要素の四つの複製であり、そのどれでもログインを満たせます。アカウントが個別のアプリパスワードやデバイスごとの登録に対応しているならそれを使い、対応していないなら共有した第二要素を「解決済み」ではなく既知の弱点として扱ってください。

デバイスごとの鍵が「削除」の意味を変える

自前でホストする構成は、身元がアカウントの行ではなく設定の中に住む点で異なります。WireGuardのpeerは公開鍵と許可されたアドレスの集合で、サーバーはその鍵を照合してハンドシェイクを許可します。peerの項目を消せば、そのデバイスはどんなパスワードをまだ持っていてもハンドシェイクを完了できません。

この方式はきれいに削除できますが、人ごとの計上はできません。WireGuardもそれを既知の制約として記しています。サーバーが見るのは鍵であり、家族ではありません。

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

OpenVPNの配備は証明書と失効リストで同じ地点に達します。各クライアントが自分の証明書を受け取り、一つの項目を失効させても他は動き続けます。どちらの設計でも身元はデバイス単位なので、落としたスマートフォンは一家全体の認証情報のリセットではなく、一回の削除で済みます。

同時接続の上限はサーバー側にある

「五台のデバイス」を売る事業者は通常、同時セッションを数えており、インストール済みアプリは数えません。ノートPC二台とスマートフォン一台は問題なくても、三台目のノートPCでアカウントが上限を超え、既存のセッションが一つ落とされます。クライアントはこれをほとんど説明しないため、症状はプランの境界ではなく不安定な接続に見えます。

デバイス数を約束する前に、プランの条件で実際の規則を確かめてください。接続数を数えるサービスもあれば、一定期間に見た異なるデバイスを数えるところもあり、同じローカルネットワーク内なら多くを許すところもあります。

二台目の前に家のルールを決める

四つを書き留めてください。復旧用メールボックスを誰が持つか、誰がデバイスを追加・削除できるか、プランが変わったとき誰が払うか、そして誰かが出ていくときどうするか。これらはどのクライアント設定も代わりに決められない方針の判断で、緊急の削除が必要になる前に合意するほうがはるかに楽です。答えは家族が見つけられる一か所に置き、どのデバイス名が誰のものかも書いておきます。peerの鍵やアプリパスワードを、電話できる相手に戻すのはこの名簿です。

トンネルの認証情報は共有ノートやチャット履歴に残さないでください。共有ボールト付きのパスワードマネージャーか、事業者が発行するデバイスごとの認証情報なら、三つのメッセージ欄に複製を残さずに秘密を引き継げます。

サービスが監護アカウントや家族向けフィルターをどう扱うかも確認してください。VPNはネットワーク経路を変えるだけで、ペアレンタルコントロールやデバイス管理の代わりにはなりません。そのうえで、一人につき実際の作業を一つ、つまりメールやビデオ通話、仕事のポータルを試します。トンネルが張れても、経路、DNS、分割トンネルの規則がどのプラットフォームでも同じように振る舞う証明にはなりません。

削除の道筋を、まだ簡単なうちに証明する

削除は誰もが後回しにする部分なので、自分が管理するデバイスで試してください。予備のスマートフォンかノートPCを追加して接続を確認し、そのうえで事業者の文書化された方法でそのデバイスを失効させ、他の機器は動いたままトンネルだけが失敗することを確かめます。

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

失効したデバイスは、再起動後に再接続できないだけでなく、一つのセッションのうちに内部アドレスへ届かなくなるべきです。古いセッションが動き続けるなら、失効はサーバーに届いておらず、認証情報はまだ生きています。

結果は、すでにデバイスを並べている家庭のノートに書き、スマートフォンを替えたときに見返してください。身元、上限、削除の手順がすべて書かれている間だけ、この取り決めは管理可能であり続けます。