Споделување една VPN најава во семејството: што се крши подоцна

Копирањето на VPN корисничко име и лозинка на втор уред трае една минута и работи добро, и токму затоа проблемите се појавуваат месеци подоцна. Акредитивите што сте ги предале обично контролираат повеќе од тунел: можеби ја поседуваат претплатата, сандачето за обнова и списокот на уреди. Пред вториот телефон да се поврзе, разјаснете што најавата всушност одобрува и како ќе се отстрани еден уред без допирање на останатите.

Една лозинка, неколку различни овластувања

Комерцијалните VPN сметки обично групираат три работи зад една најава: акредитивот на тунелот, записот за наплата или планот и каналот за обнова на сметката. Споделувањето на првиот е одлука за поврзување; споделувањето на другите два ја предава контролата врз претплатата. Многу даватели ги држат на исти акредитиви додека намерно не ги разделите, па прашањето не е дали лозинката работи на два уреда, туку што друго отвора. Прашајте го операторот кој од трите го контролира најавата и дали може да се именува посебен сопственик на наплата или адреса за обнова. Тој еден одговор одлучува колку од сметката навистина предавате.

На страната на серверот, сметката е ред со план и бројач на врски. Клиентската апликација е само приказ на тој ред и не спроведува ништо што не би можеле да го заобиколите со друг клиент. Затоа планот за »еден уред« и понатаму се поврзува од три уреда додека серверот не одлучи да ја одбие четвртата сесија.

Двофакторската автентикација го заострува прашањето за споделување. TOTP тајна запишана на четири телефони се четири копии од истиот втор фактор и која било од нив може да ја задоволи најавата. Ако сметката поддржува посебни лозинки за апликации или запишување по уред, користете ги; ако не, третирајте го споделениот втор фактор како позната слабост, а не како решен проблем.

Клучевите по уред го менуваат значењето на отстранувањето

Самостојно хостираните поставувања се разликуваат бидејќи идентитетот живее во конфигурацијата, а не во ред од сметка. WireGuard peer е јавен клуч плус дозволено множество адреси, а серверот одобрува ракување со споредување на тој клуч. Избришете го записот на peer-от и уредот не може да го заврши ракувањето, без оглед на лозинката што ја има.

Тој модел дава чисто отстранување, но никакво раздолжување по личност, што WireGuard го документира како познато ограничување. Серверот гледа клучеви, не членови на семејството.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Поставување OpenVPN доаѓа до истото преку сертификати и список на отповикани сертификати: секој клиент добива свој сертификат, а отповикувањето на еден запис ги остава другите да работат. Во двете решенија идентитетот е по уред, па изгубен телефон е едно бришење наместо ресетирање на акредитивите за цело домаќинство.

Ограничувањата за истовременост живеат на серверот

Давателите што продаваат »пет уреди« обично бројат истовремени сесии, а не инсталирани апликации. Два преносни компјутери и телефон може да бидат во ред додека трет преносен компјутер ја турка сметката преку ограничувањето и една постоечка сесија биде исфрлена. Клиентот ретко го објаснува ова, па симптомот изгледа како нестабилна врска наместо граница на планот.

Прочитајте ги условите на планот за вистинското правило пред да ветите број на уреди. Некои услуги бројат врски, некои бројат различни уреди видени во период, а некои дозволуваат поголем број на истата локална мрежа.

Договорете ги куќните правила пред вториот уред

Запишете четири работи: кој го има сандачето за обнова, кој може да додаде или отстрани уред, кој плаќа кога планот се менува и што се случува кога некој ќе замине. Тоа се одлуки за политика што ниту една поставка на клиентот не може да ги донесе наместо вас и многу полесно се договараат пред да биде потребно итно отстранување. Ставете ги одговорите на едно место што домаќинството може да го најде, вклучително кои имиња на уреди припаѓаат на која личност. Список со имиња е она што клучот на peer-от или лозинката на апликацијата ги враќа во некој што можете да го повикате.

Држете ги акредитивите на тунелот надвор од заеднички белешки и историја на разговор. Менаџер за лозинки со заеднички трезор, или акредитив по уред издаден од операторот, ја држи тајната пренослива без да остави копии во три нишки со пораки.

Проверете и како услугата се однесува кон надгледувани сметки и семејни филтри, бидејќи VPN ја менува мрежната патека без да ја замени родителската контрола или управувањето со уреди. Потоа тестирајте една вистинска задача по личност: пошта, видео повик, работен портал. Тунел што се воспоставува не е доказ дека рутите, DNS и правилата за поделен тунел се однесуваат исто на секоја платформа.

Докажете ја патеката на отстранување додека е уште лесна

Отстранувањето е делот што сите го одложуваат, па тестирајте го на уред што го контролирате. Додајте резервен телефон или преносен компјутер, потврдете дека се поврзува, потоа отповикајте го тој уред со документираниот метод на операторот и потврдете дека тунелот паѓа додека останатите остануваат активни.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Отповикан уред треба да престане да ја достигнува внатрешната адреса во рамките на една сесија, а не само да не успее повторно да се поврзе по рестарт. Ако старата сесија продолжи да работи, отповикувањето не стигнало до серверот и акредитивот останува активен.

Запишете го резултатот во куќната белешка што веќе ги наведува уредите и вратете се на неа кога телефонот ќе се замени. Аранжманот останува управлив само додека идентитетите, ограничувањата и чекорот на отстранување се сите запишани.