Berkongsi satu log masuk VPN dengan keluarga: apa yang rosak kemudian

Menyalin nama pengguna dan kata laluan VPN ke peranti kedua mengambil masa seminit dan berfungsi dengan baik, dan itulah sebabnya masalah muncul berbulan-bulan kemudian. Kredensial yang anda serahkan biasanya mengawal lebih daripada terowong: ia mungkin memiliki langganan, peti mel pemulihan dan senarai peranti. Sebelum telefon kedua bersambung, jelaskan apa sebenarnya yang dibenarkan oleh log masuk dan bagaimana satu peranti akan dibuang tanpa menyentuh yang lain.

Satu kata laluan, beberapa hak berbeza

Akaun VPN komersial biasanya menggabungkan tiga perkara di belakang satu log masuk: kredensial terowong, rekod bil atau pelan dan saluran pemulihan akaun. Berkongsi yang pertama ialah keputusan sambungan; berkongsi dua yang lain menyerahkan kawalan langganan. Banyak penyedia menyimpannya pada kredensial yang sama sehingga anda memisahkannya dengan sengaja, jadi soalannya bukan sama ada kata laluan berfungsi pada dua peranti, tetapi apa lagi yang dibukanya. Tanya pengendali yang mana antara tiga itu dikawal oleh log masuk, dan sama ada pemilik bil atau alamat pemulihan berasingan boleh dilantik. Jawapan tunggal itu menentukan berapa banyak akaun yang sebenarnya anda serahkan.

Di sebelah pelayan, akaun ialah satu baris dengan pelan dan pembilang sambungan. Aplikasi klien hanyalah paparan baris itu, dan ia tidak menguatkuasakan apa-apa yang tidak boleh anda elakkan dengan klien lain. Itulah sebabnya pelan «satu peranti» masih bersambung dari tiga peranti sehingga pelayan memutuskan untuk menolak sesi keempat.

Pengesahan dua faktor menajamkan soalan tentang perkongsian. Rahsia TOTP yang didaftarkan pada empat telefon ialah empat salinan faktor kedua yang sama, dan mana-mana daripadanya boleh memenuhi log masuk. Jika akaun menyokong kata laluan aplikasi berasingan atau pendaftaran setiap peranti, gunakannya; jika tidak, anggap faktor kedua yang dikongsi sebagai kelemahan yang diketahui dan bukan masalah yang sudah selesai.

Kunci setiap peranti mengubah maksud pembuangan

Persediaan yang dihoskan sendiri berbeza kerana identiti hidup dalam konfigurasi dan bukan dalam baris akaun. Peer WireGuard ialah kunci awam serta set alamat yang dibenarkan, dan pelayan membenarkan jabat tangan dengan memadankan kunci itu. Jika anda memadam entri peer, peranti tidak dapat menyelesaikan jabat tangan, apa pun kata laluan yang masih dimilikinya.

Model itu memberi pembuangan yang bersih tetapi tiada perakaunan setiap orang, yang didokumenkan WireGuard sebagai kekangan yang diketahui. Pelayan melihat kunci, bukan ahli keluarga.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Penggunaan OpenVPN sampai ke tempat yang sama melalui sijil dan senarai pembatalan: setiap klien mendapat sijilnya sendiri, dan membatalkan satu entri membiarkan yang lain berfungsi. Dalam kedua-dua reka bentuk identiti adalah setiap peranti, jadi telefon yang hilang ialah satu pembuangan dan bukannya penetapan semula kredensial untuk seluruh rumah.

Had serentak terletak pada pelayan

Penyedia yang menjual «lima peranti» biasanya mengira sesi serentak, bukan aplikasi yang dipasang. Dua komputer riba dan satu telefon mungkin baik-baik saja sementara komputer riba ketiga menolak akaun melebihi had dan satu sesi sedia ada digugurkan. Klien jarang menjelaskannya, jadi simptom kelihatan seperti sambungan tidak stabil dan bukannya sempadan pelan.

Baca terma pelan untuk peraturan sebenar sebelum menjanjikan bilangan peranti. Sesetengah perkhidmatan mengira sambungan, yang lain mengira peranti berbeza yang dilihat dalam satu tempoh, dan yang lain membenarkan bilangan lebih tinggi pada rangkaian tempatan yang sama.

Tentukan peraturan rumah sebelum peranti kedua

Tulis empat perkara: siapa memegang peti mel pemulihan, siapa boleh menambah atau membuang peranti, siapa membayar apabila pelan berubah, dan apa yang berlaku apabila seseorang berpindah. Ini keputusan dasar yang tiada tetapan klien boleh ambil untuk anda, dan jauh lebih mudah dipersetujui sebelum pembuangan mendesak diperlukan. Letakkan jawapan di satu tempat yang boleh ditemui keluarga, termasuk nama peranti mana milik siapa. Senarai nama itulah yang menukar kunci peer atau kata laluan aplikasi kembali menjadi seseorang yang boleh anda hubungi.

Jauhkan kredensial terowong daripada nota yang dikongsi dan sejarah sembang. Pengurus kata laluan dengan peti besi dikongsi, atau kredensial setiap peranti yang dikeluarkan oleh pengendali, mengekalkan rahsia boleh dipindahkan tanpa meninggalkan salinan dalam tiga urutan mesej.

Periksa juga bagaimana perkhidmatan mengendalikan akaun yang diselia dan penapis keluarga, kerana VPN mengubah laluan rangkaian tanpa menggantikan kawalan ibu bapa atau pengurusan peranti. Kemudian uji satu tugas sebenar bagi setiap orang: e-mel, panggilan video, portal kerja. Terowong yang timbul bukan bukti bahawa laluan, DNS dan peraturan terowong berpecah berkelakuan sama pada setiap platform.

Buktikan laluan pembuangan selagi ia masih mudah

Pembuangan ialah bahagian yang semua orang tangguhkan, jadi ujinya pada peranti yang anda kawal. Tambah telefon atau komputer riba ganti, sahkan ia bersambung, kemudian batalkan peranti itu dengan kaedah yang didokumenkan oleh pengendali dan sahkan terowong gagal sementara yang lain kekal.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Peranti yang dibatalkan sepatutnya berhenti mencapai alamat dalaman dalam satu sesi, bukan sekadar gagal menyambung semula selepas dimulakan semula. Jika sesi lama terus berfungsi, pembatalan itu tidak sampai ke pelayan, dan kredensial masih sah.

Catat hasilnya dalam nota rumah yang sudah menyenaraikan peranti, dan semak semula apabila telefon diganti. Susunan itu kekal terurus hanya selagi identiti, had dan langkah pembuangan semuanya ditulis.