Å dele én VPN-pålogging med familien: hva som knekker senere
Et delt VPN-passord skjuler fire beslutninger: identitet per enhet, sesjonsgrenser, fjerning og gjenoppretting. Avklar dem før den andre enheten kobler til.
Å kopiere et VPN-brukernavn og et passord over til en ny enhet tar et minutt og fungerer fint, og det er nettopp derfor problemene dukker opp måneder senere. Påloggingsdetaljene du ga videre, styrer som regel mer enn en tunnel: de eier kanskje abonnementet, gjenopprettingspostkassen og enhetslisten. Før den andre telefonen kobler til, må du finne ut hva påloggingen faktisk autoriserer og hvordan én enhet fjernes uten å røre de andre.
Ett passord, flere forskjellige rettigheter
Kommersielle VPN-kontoer samler vanligvis tre ting bak én pålogging: tunnelpåloggingen, faktura- eller planposten og kontoens gjenopprettingskanal. Å dele den første er en tilkoblingsbeslutning; å dele de to andre overfører kontrollen over abonnementet. Mange leverandører holder dem på samme pålogging til du bevisst skiller dem, så spørsmålet er ikke om passordet virker på to enheter, men hva annet det åpner. Spør operatøren hvilken av de tre påloggingen styrer, og om en egen fakturaeier eller gjenopprettingsadresse kan utpekes. Det ene svaret avgjør hvor mye av kontoen du egentlig gir fra deg.
På serversiden er kontoen en rad med et abonnement og en tilkoblingsteller. Klientappen er bare en visning av den raden, og den håndhever ingenting du ikke kunne omgå med en annen klient. Derfor kobler en plan for «én enhet» fortsatt til fra tre enheter, helt til serveren bestemmer seg for å avvise den fjerde sesjonen.
Tofaktorautentisering gjør dele-spørsmålet skarpere. En TOTP-hemmelighet som er registrert på fire telefoner, er fire kopier av samme andre faktor, og enhver av dem kan oppfylle påloggingen. Hvis kontoen støtter egne app-passord eller registrering per enhet, bruk dem; hvis ikke, må den delte andre faktoren behandles som en kjent svakhet i stedet for et løst problem.
Nøkler per enhet endrer hva fjerning betyr
Selvhostede oppsett er annerledes fordi identiteten ligger i konfigurasjonen og ikke i en kontorad. En WireGuard-peer er en offentlig nøkkel pluss et tillatt sett med adresser, og serveren autoriserer et håndtrykk ved å matche den nøkkelen. Sletter du peer-oppføringen, kan enheten ikke fullføre et håndtrykk, uansett hvilket passord den fortsatt har.
Den modellen gir deg ren fjerning, men ingen fordeling per person, noe WireGuard dokumenterer som en kjent begrensning. Serveren ser nøkler, ikke familiemedlemmer.
sudo wg show wg0 peers sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove sudo wg show wg0 latest-handshakes
En OpenVPN-utrulling når samme sted via sertifikater og en tilbakekallingsliste: hver klient får sitt eget sertifikat, og tilbakekalling av én oppføring lar de andre virke. I begge designene er identiteten per enhet, så en tapt telefon er én enkelt sletting i stedet for en tilbakestilling av påloggingen for hele husstanden.
Samtidighetsgrenser ligger på serveren
Leverandører som selger «fem enheter», teller vanligvis samtidige sesjoner, ikke installerte apper. To bærbare maskiner og en telefon kan være greit mens en tredje bærbar maskin skyver kontoen over grensen og en eksisterende sesjon blir kastet ut. Klienten forklarer dette sjelden, så symptomet ser ut som en ustabil tilkobling i stedet for en plangrense.
| Model | What removal costs |
|---|---|
| Shared username and password | Password change for everyone, re-enrollment on every device |
| Per-device app password | Revoke one credential, others keep working |
| Per-device key or certificate | Delete one peer or revoke one certificate |
Les planvilkårene for den faktiske regelen før du lover et antall enheter. Noen tjenester teller tilkoblinger, noen teller ulike enheter sett i en periode, og noen tillater et høyere antall på samme lokale nettverk.
Avtal husstandsreglene før enhet nummer to
Skriv ned fire ting: hvem som har gjenopprettingspostkassen, hvem som kan legge til eller fjerne en enhet, hvem som betaler når planen endres, og hva som skjer når noen flytter ut. Dette er policybeslutninger som ingen klientinnstilling kan ta for deg, og de er mye lettere å bli enige om før en akutt fjerning er nødvendig. Legg svarene ett sted husstanden kan finne, inkludert hvilke enhetsnavn som hører til hvilken person. En navneliste er det som gjør en peer-nøkkel eller et app-passord om til noen du kan ringe.
Hold tunnelpåloggingen unna felles notater og chatthistorikk. En passordbehandler med et delt hvelv, eller en pålogging per enhet som operatøren utsteder, holder hemmeligheten overførbar uten å legge igjen kopier i tre meldingstråder.
Sjekk også hvordan tjenesten håndterer overvåkede kontoer og familiekontroller, fordi et VPN endrer nettverksveien uten å erstatte foreldrekontroll eller enhetsstyring. Test deretter én reell oppgave per person: e-post, et videosamtal, en arbeidsportal. En tunnel som kommer opp, er ikke bevis for at ruter, DNS og delt-tunnel-regler oppfører seg likt på hver plattform.
Bevis fjerningsveien mens den fortsatt er enkel
Fjerning er den delen alle utsetter, så test den på en enhet du kontrollerer. Legg til en ekstra telefon eller bærbar maskin, bekreft at den kobler til, tilbakekall deretter enheten med operatørens dokumenterte metode og bekreft at tunnelen feiler mens de andre står.
curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/healthEn tilbakekalt enhet bør slutte å nå den interne adressen innen én sesjon, ikke bare unnlate å koble til igjen etter en omstart. Hvis den gamle sesjonen fortsetter å virke, nådde ikke tilbakekallingen serveren, og påloggingen er fortsatt levende.
Noter resultatet i husstandsnotatet som allerede lister enhetene, og gå gjennom det når en telefon byttes ut. Ordningen forblir bare håndterbar så lenge identitetene, grensene og fjerningssteget alle er skrevet ned.