ერთი VPN შესვლის ოჯახთან გაზიარება: რა ფუჭდება მოგვიანებით
საერთო VPN პაროლი ოთხ გადაწყვეტილებას მალავს: იდენტობა მოწყობილობაზე, სესიის ლიმიტები, წაშლა და აღდგენა. მოაგვარეთ ისინი, სანამ მეორე მოწყობილობა დაუკავშირდება.
VPN-ის მომხმარებლის სახელისა და პაროლის მეორე მოწყობილობაზე კოპირება ერთ წუთს იკავებს და კარგად მუშაობს, სწორედ ამიტომ ჩნდება პრობლემები თვეების შემდეგ. თქვენ მიერ გადაცემული შესვლის მონაცემები ჩვეულებრივ ტუნელზე მეტს აკონტროლებს: შესაძლოა მათ ფლობდეს გამოწერას, აღდგენის საფოსტო ყუთსა და მოწყობილობების სიას. სანამ მეორე ტელეფონი დაუკავშირდება, გაარკვიეთ რას აძლევს შესვლა რეალურად ნებას და როგორ წაიშლება ერთი მოწყობილობა დანარჩენებზე ხელის შეუხებლად.
ერთი პაროლი, რამდენიმე განსხვავებული უფლება
კომერციული VPN ანგარიშები ჩვეულებრივ ერთი შესვლის უკან სამ რამეს აერთიანებს: ტუნელის მონაცემებს, გადახდის ან ტარიფის ჩანაწერს და ანგარიშის აღდგენის არხს. პირველის გაზიარება კავშირის გადაწყვეტილებაა; დანარჩენი ორის გაზიარება გამოწერაზე კონტროლის გადაცემაა. ბევრი პროვაიდერი მათ ერთსა და იმავე მონაცემებზე ინახავს, სანამ განზრახ არ გაყოფთ, ამიტომ კითხვა არ არის პაროლი მუშაობს თუ არა ორ მოწყობილობაზე, არამედ კიდევ რას ხსნის ის. ჰკითხეთ ოპერატორს, სამიდან რომელს აკონტროლებს შესვლა და შეიძლება თუ არა ცალკე გადახდის მფლობელის ან აღდგენის მისამართის დანიშვნა. ეს ერთი პასუხი წყვეტს, ანგარიშის რა ნაწილს გადასცემთ სინამდვილეში.
სერვერის მხარეს ანგარიში არის სტრიქონი ტარიფითა და კავშირების მთვლელით. კლიენტის აპლიკაცია მხოლოდ ამ სტრიქონის ხედია და არ ახდენს არაფრის იძულებას, რისი გვერდის ავლაც სხვა კლიენტით ვერ მოხერხდებოდა. ამიტომ «ერთი მოწყობილობის» ტარიფი მაინც სამი მოწყობილობიდან უკავშირდება, სანამ სერვერი მეოთხე სესიის უარყოფას გადაწყვეტს.
ორფაქტორიანი აუთენტიფიკაცია ამკვეთრებს გაზიარების კითხვას. ოთხ ტელეფონზე რეგისტრირებული TOTP საიდუმლო იგივე მეორე ფაქტორის ოთხი ასლია და ნებისმიერს მათგანს შეუძლია შესვლის დაკმაყოფილება. თუ ანგარიში მხარს უჭერს ცალკე აპლიკაციის პაროლებს ან მოწყობილობაზე რეგისტრაციას, გამოიყენეთ ისინი; თუ არა, გაზიარებულ მეორე ფაქტორს მოეკიდეთ როგორც ცნობილ სისუსტეს და არა როგორც მოგვარებულ პრობლემას.
მოწყობილობაზე გასაღებები ცვლის წაშლის მნიშვნელობას
თვითგანლაგებული კონფიგურაციები იმით განსხვავდება, რომ იდენტობა კონფიგურაციაში ცხოვრობს და არა ანგარიშის სტრიქონში. WireGuard peer არის საჯარო გასაღები პლუს დაშვებული მისამართების ნაკრები, და სერვერი ნებას რთავს ხელის ჩამორთმევას ამ გასაღების შედარებით. თუ peer-ის ჩანაწერს წაშლით, მოწყობილობა ვერ დაასრულებს ხელის ჩამორთმევას, რომელი პაროლიც არ უნდა ჰქონდეს.
ეს მოდელი სუფთა წაშლას იძლევა, მაგრამ არა ადამიანზე აღრიცხვას, რასაც WireGuard ცნობილ შეზღუდვად აღნიშნავს. სერვერი გასაღებებს ხედავს, ოჯახის წევრებს არა.
sudo wg show wg0 peers sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove sudo wg show wg0 latest-handshakes
OpenVPN-ის განლაგება იმავეს აღწევს სერტიფიკატებითა და გაუქმების სიით: ყოველი კლიენტი იღებს საკუთარ სერტიფიკატს, და ერთი ჩანაწერის გაუქმება დანარჩენებს მუშაობაში ტოვებს. ორივე დიზაინში იდენტობა მოწყობილობაზეა, ამიტომ დაკარგული ტელეფონი ერთი წაშლაა და არა მთელი ოჯახისთვის შესვლის მონაცემების განულება.
ერთდროულობის ლიმიტები სერვერზე ცხოვრობს
პროვაიდერები, რომლებიც «ხუთ მოწყობილობას» ყიდიან, ჩვეულებრივ ერთდროულ სესიებს ითვლიან და არა დაყენებულ აპლიკაციებს. ორი ლეპტოპი და ტელეფონი შეიძლება კარგად იყოს, სანამ მესამე ლეპტოპი ანგარიშს ლიმიტს გადააჭარბებს და ერთი არსებული სესია ჩამოვარდება. კლიენტი ამას იშვიათად ხსნის, ამიტომ სიმპტომი ტარიფის ზღვარს არ ჰგავს, არამედ არასტაბილურ კავშირს.
| Model | What removal costs |
|---|---|
| Shared username and password | Password change for everyone, re-enrollment on every device |
| Per-device app password | Revoke one credential, others keep working |
| Per-device key or certificate | Delete one peer or revoke one certificate |
სანამ მოწყობილობების რაოდენობას დაჰპირდებით, წაიკითხეთ ტარიფის პირობები და გაიგეთ ნამდვილი წესი. ზოგიერთი სერვისი კავშირებს ითვლის, ზოგიერთი პერიოდში ნანახ სხვადასხვა მოწყობილობას, ზოგიერთი კი იმავე ლოკალურ ქსელში მეტ რაოდენობას იძლევა.
ოჯახის წესები მეორე მოწყობილობამდე გადაწყვიტეთ
ოთხი რამ ჩამოწერეთ: ვის აქვს აღდგენის საფოსტო ყუთი, ვის შეუძლია მოწყობილობის დამატება ან წაშლა, ვინ იხდის ტარიფის შეცვლისას და რა ხდება, როცა ვინმე გადადის. ეს პოლიტიკის გადაწყვეტილებებია, რომლებსაც კლიენტის არცერთი პარამეტრი ვერ მიიღებს თქვენ ნაცვლად, და მათზე შეთანხმება გაცილებით ადვილია, სანამ სასწრაფო წაშლა დაგჭირდებათ. პასუხები ერთ ადგილას ჩასვით, სადაც ოჯახი იპოვის, მათ შორის რომელი მოწყობილობის სახელი ვის ეკუთვნის. სახელების სია არის ის, რაც peer-ის გასაღებს ან აპლიკაციის პაროლს ისევ იმ ადამიანად აქცევს, ვისაც დარეკვა შეგიძლიათ.
ტუნელის მონაცემები საერთო ჩანაწერებისა და ჩატის ისტორიისგან მოშორებით შეინახეთ. საერთო სეიფის მქონე პაროლების მენეჯერი ან ოპერატორის მიერ გაცემული მოწყობილობის მონაცემები საიდუმლოს გადატანად ვარგისად ინახავს სამი შეტყობინებების ჯაჭვში ასლის დატოვების გარეშე.
ასევე შეამოწმეთ, როგორ ეპყრობა სერვისი ზედამხედველობის ქვეშ მყოფ ანგარიშებსა და ოჯახურ ფილტრებს, რადგან VPN ცვლის ქსელურ გზას, მაგრამ არ ცვლის მშობლის კონტროლს ან მოწყობილობების მართვას. შემდეგ გამოსცადეთ თითო ნამდვილი ამოცანა თითო ადამიანზე: ფოსტა, ვიდეოზარი, სამუშაო პორტალი. აწეული ტუნელი არ ამტკიცებს, რომ მარშრუტები, DNS და გაყოფილი ტუნელის წესები ყველა პლატფორმაზე ერთნაირად იქცევა.
წაშლის გზა იმით დაამტკიცეთ, სანამ ის ჯერ კიდევ მარტივია
წაშლა ის ნაწილია, რომელსაც ყველა გადადებს, ამიტომ გამოსცადეთ ის მოწყობილობაზე, რომელსაც თქვენ აკონტროლებთ. დაამატეთ სათადარიგო ტელეფონი ან ლეპტოპი, დაადასტურეთ, რომ უკავშირდება, შემდეგ გააუქმეთ ეს მოწყობილობა ოპერატორის დოკუმენტირებული მეთოდით და დაადასტურეთ, რომ ტუნელი ვარდება, სანამ დანარჩენები მუშაობს.
curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/healthგაუქმებული მოწყობილობა უნდა შეწყვიტოს შიდა მისამართზე მიღწევა ერთი სესიის განმავლობაში და არა მხოლოდ ხელახალი ჩატვირთვის შემდეგ ვერ დაუკავშირდეს. თუ ძველი სესია აგრძელებს მუშაობას, გაუქმება სერვერამდე არ მივიდა და შესვლის მონაცემები ჯერ კიდევ მოქმედია.
შედეგი ჩაწერეთ ოჯახურ ჩანაწერში, რომელიც უკვე ჩამოთვლის მოწყობილობებს, და დაუბრუნდით მას ტელეფონის შეცვლისას. წესრიგი მართვადი რჩება მხოლოდ მაშინ, როცა იდენტობები, ლიმიტები და წაშლის ნაბიჯი ყველა ჩაწერილია.