Bendro VPN prisijungimo dalijimasis šeimoje: kas sugenda vėliau

VPN naudotojo vardo ir slaptažodžio nukopijavimas į antrą įrenginį trunka minutę ir veikia gerai, ir būtent todėl problemos iškyla po mėnesių. Perduoti prisijungimo duomenys paprastai valdo daugiau nei tunelį: jie gali turėti prenumeratą, atkūrimo pašto dėžutę ir įrenginių sąrašą. Prieš prisijungiant antram telefonui, išsiaiškinkite, ką prisijungimas iš tikrųjų leidžia ir kaip pašalinti vieną įrenginį neliečiant kitų.

Vienas slaptažodis, keli skirtingi leidimai

Komercinės VPN paskyros paprastai sujungia tris dalykus už vieno prisijungimo: tunelio prisijungimo duomenis, atsiskaitymo ar plano įrašą ir paskyros atkūrimo kanalą. Dalintis pirmuoju yra ryšio sprendimas; dalintis kitais dviem – perduoti prenumeratos kontrolę. Daugelis tiekėjų laiko juos tuose pačiuose duomenyse, kol sąmoningai neatskirsite, todėl klausimas ne ar slaptažodis veikia dviejuose įrenginiuose, o ką dar jis atveria. Paklauskite operatoriaus, kurį iš trijų valdo prisijungimas, ir ar galima paskirti atskirą atsiskaitymo savininką ar atkūrimo adresą. Tas vienas atsakymas nusprendžia, kokią paskyros dalį iš tikrųjų perduodate.

Serverio pusėje paskyra yra eilutė su planu ir prisijungimų skaitikliu. Kliento programa tėra tos eilutės vaizdas ir neįtvirtina nieko, ko negalėtumėte apeiti kita kliento programa. Todėl „vieno įrenginio“ planas vis tiek prisijungia iš trijų įrenginių, kol serveris nusprendžia atmesti ketvirtą sesiją.

Dviejų veiksnių autentifikavimas paaštrina dalijimosi klausimą. Keturiose telefonuose užregistruotas TOTP slaptasis raktas yra keturios to paties antrojo veiksnio kopijos, ir bet kuri jų gali patenkinti prisijungimą. Jei paskyra palaiko atskirus programų slaptažodžius arba registraciją pagal įrenginį, naudokite juos; jei ne, vertinkite bendrą antrąjį veiksnį kaip žinomą silpnybę, o ne išspręstą problemą.

Raktai pagal įrenginį keičia pašalinimo prasmę

Savarankiškai talpinamos sąrankos skiriasi tuo, kad identitetas gyvena konfigūracijoje, o ne paskyros eilutėje. WireGuard peer yra viešas raktas ir leistinų adresų rinkinys, o serveris leidžia rankos paspaudimą suderindamas tą raktą. Ištrinkite peer įrašą, ir įrenginys negalės užbaigti rankos paspaudimo, kad ir kokį slaptažodį dar turėtų.

Šis modelis duoda švarų pašalinimą, bet ne apskaitą pagal asmenį, ką WireGuard dokumentuoja kaip žinomą apribojimą. Serveris mato raktus, o ne šeimos narius.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

OpenVPN diegimas pasiekia tą patį sertifikatais ir atšaukimo sąrašu: kiekvienas klientas gauna savo sertifikatą, o vieno įrašo atšaukimas palieka kitus veikiančius. Abiejuose sprendimuose identitetas yra pagal įrenginį, todėl pamestas telefonas yra vienas ištrynimas, o ne viso namų ūkio prisijungimo duomenų atstatymas.

Vienalaikiškumo limitai gyvena serveryje

Tiekėjai, parduodantys „penkis įrenginius“, paprastai skaičiuoja vienalaikes sesijas, o ne įdiegtas programas. Du nešiojamieji ir telefonas gali būti gerai, kol trečias nešiojamasis pastumia paskyrą virš limito ir viena esama sesija numetama. Klientas tai retai paaiškina, todėl simptomas atrodo kaip nestabilus ryšys, o ne plano riba.

Prieš žadėdami įrenginių skaičių, perskaitykite plano sąlygas dėl tikrosios taisyklės. Vienos paslaugos skaičiuoja prisijungimus, kitos – skirtingus įrenginius, matytus per laikotarpį, o dar kitos leidžia didesnį skaičių tame pačiame vietiniame tinkle.

Nustatykite namų taisykles prieš antrą įrenginį

Užsirašykite keturis dalykus: kas turi atkūrimo pašto dėžutę, kas gali pridėti ar pašalinti įrenginį, kas moka, kai planas keičiasi, ir kas nutinka, kai kas nors išsikrausto. Tai politikos sprendimai, kurių jokia kliento nuostata už jus nepriims, ir jais daug lengviau susitarti, kol nereikia skubaus pašalinimo. Sudėkite atsakymus vienoje vietoje, kurią namų ūkis ras, įskaitant tai, kuris įrenginio pavadinimas kam priklauso. Pavadinimų sąrašas yra tai, kas peer raktą ar programos slaptažodį vėl paverčia žmogumi, kuriam galima paskambinti.

Laikykite tunelio prisijungimo duomenis atokiau nuo bendrų užrašų ir pokalbių istorijos. Slaptažodžių tvarkyklė su bendra saugykla arba operatoriaus išduoti prisijungimo duomenys pagal įrenginį leidžia paslaptį perduoti nepaliekant kopijų trijose žinučių gijose.

Taip pat patikrinkite, kaip paslauga elgiasi su prižiūrimomis paskyromis ir šeimos filtrais, nes VPN keičia tinklo kelią, bet nepakeičia tėvų kontrolės ar įrenginių valdymo. Tada išbandykite vieną tikrą užduotį kiekvienam žmogui: paštą, vaizdo skambutį, darbo portalą. Pakilęs tunelis neįrodo, kad maršrutai, DNS ir padalinto tunelio taisyklės elgiasi vienodai kiekvienoje platformoje.

Įrodykite pašalinimo kelią, kol jis dar lengvas

Pašalinimas yra dalis, kurią visi atideda, todėl išbandykite jį įrenginyje, kurį kontroliuojate. Pridėkite atsarginį telefoną ar nešiojamąjį, patvirtinkite, kad jis prisijungia, tada atšaukite tą įrenginį dokumentuotu operatoriaus metodu ir patvirtinkite, kad tunelis sugenda, o kiti veikia.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Atšauktas įrenginys turėtų nustoti pasiekti vidinį adresą per vieną sesiją, o ne tik nepavykti prisijungti iš naujo po perkrovimo. Jei sena sesija tebeveikia, atšaukimas nepasiekė serverio, ir prisijungimo duomenys dar galioja.

Įrašykite rezultatą į namų ūkio užrašą, kuriame jau išvardyti įrenginiai, ir peržiūrėkite jį, kai telefonas pakeičiamas. Tvarka lieka valdoma tik tada, kai identitetai, limitai ir pašalinimo žingsnis visi užrašyti.