Eén VPN-login delen met het gezin: wat later misgaat

Een VPN-gebruikersnaam en wachtwoord naar een tweede apparaat kopiëren kost een minuut en werkt prima, en dat is precies waarom de problemen pas maanden later opduiken. De inloggegevens die je hebt doorgegeven, beheren meestal meer dan een tunnel: ze bezitten mogelijk het abonnement, de herstelmailbox en de apparatenlijst. Voordat de tweede telefoon verbinding maakt, zoek je uit wat de login werkelijk machtigt en hoe één apparaat wordt verwijderd zonder de rest aan te raken.

Eén wachtwoord, meerdere verschillende rechten

Commerciële VPN-accounts bundelen doorgaans drie dingen achter één login: de tunnelingegevens, het factuur- of planrecord en het herstelkanaal van het account. Het eerste delen is een verbindingsbeslissing; de andere twee delen draagt de controle over het abonnement over. Veel aanbieders houden ze op dezelfde inloggegevens tot je ze bewust scheidt, dus de vraag is niet of het wachtwoord op twee apparaten werkt, maar wat het verder opent. Vraag de operator welke van de drie de login beheert, en of er een aparte factuurowner of hersteladres kan worden aangewezen. Dat ene antwoord bepaalt hoeveel van het account je werkelijk overdraagt.

Aan de serverkant is het account een rij met een plan en een verbindingsteller. De client-app is slechts een weergave van die rij, en hij dwingt niets af wat je niet met een andere client kon omzeilen. Daarom maakt een plan voor “één apparaat” nog steeds verbinding vanaf drie apparaten, tot de server besluit de vierde sessie te weigeren.

Tweefactorauthenticatie maakt de deelvraag scherper. Een TOTP-geheim dat op vier telefoons is ingeschreven, zijn vier kopieën van dezelfde tweede factor, en elk daarvan kan de login vervullen. Als het account aparte app-wachtwoorden of inschrijving per apparaat ondersteunt, gebruik ze; zo niet, behandel de gedeelde tweede factor als een bekende zwakte in plaats van een opgelost probleem.

Sleutels per apparaat veranderen wat verwijderen betekent

Zelfgehoste opstellingen verschillen omdat identiteit in de configuratie zit in plaats van in een accountrij. Een WireGuard-peer is een openbare sleutel plus een toegestane set adressen, en de server autoriseert een handshake door die sleutel te matchen. Verwijder je de peer-regel, dan kan het apparaat geen handshake voltooien, welk wachtwoord het ook nog heeft.

Dat model geeft je schoon verwijderen maar geen toerekening per persoon, wat WireGuard als bekende beperking documenteert. De server ziet sleutels, geen gezinsleden.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Een OpenVPN-implementatie bereikt hetzelfde via certificaten en een intrekkingslijst: elke client krijgt zijn eigen certificaat, en het intrekken van één regel laat de andere werken. In beide ontwerpen is de identiteit per apparaat, dus een verloren telefoon is één verwijdering in plaats van een accountbrede reset van inloggegevens.

Gelijktijdigheidslimieten zitten op de server

Aanbieders die “vijf apparaten” verkopen, tellen meestal gelijktijdige sessies, niet geïnstalleerde apps. Twee laptops en een telefoon kunnen prima zijn terwijl een derde laptop het account over de grens duwt en een bestaande sessie wordt verbroken. De client legt dit zelden uit, dus het symptoom lijkt op een wankele verbinding in plaats van een plangrens.

Lees de planvoorwaarden voor de werkelijke regel voordat je een aantal apparaten belooft. Sommige diensten tellen verbindingen, sommige tellen afzonderlijke apparaten die in een periode zijn gezien, en sommige staan een hoger aantal toe op hetzelfde lokale netwerk.

Bepaal de huisregels vóór apparaat twee

Schrijf vier dingen op: wie de herstelmailbox beheert, wie een apparaat mag toevoegen of verwijderen, wie betaalt als het plan verandert, en wat er gebeurt als iemand vertrekt. Dat zijn beleidsbeslissingen die geen enkele clientinstelling voor je kan nemen, en ze zijn veel makkelijker af te spreken voordat een dringende verwijdering nodig is. Zet de antwoorden op één plek die het gezin kan vinden, inclusief welke apparaatnamen bij welke persoon horen. Een lijst met namen is wat een peersleutel of een app-wachtwoord terugverandert in iemand die je kunt bellen.

Houd de tunnelingegevens uit gedeelde notities en chatgeschiedenis. Een wachtwoordmanager met een gedeelde kluis, of een inloggegeven per apparaat dat de operator uitgeeft, houdt het geheim overdraagbaar zonder kopieën achter te laten in drie berichtthreads.

Controleer ook hoe de dienst omgaat met beheerde accounts en gezinsinstellingen, want een VPN verandert het netwerkpad zonder ouderlijk toezicht of apparaatbeheer te vervangen. Test daarna één echte taak per persoon: mail, een videogesprek, een werkportaal. Een tunnel die tot stand komt, is geen bewijs dat routes, DNS en split-tunnelregels op elk platform hetzelfde werken.

Bewijs het verwijderpad terwijl het nog makkelijk is

Verwijderen is het deel dat iedereen uitstelt, dus test het op een apparaat dat je zelf beheert. Voeg een reservetelefoon of -laptop toe, bevestig dat die verbinding maakt, trek dat apparaat dan in met de gedocumenteerde methode van de operator en bevestig dat de tunnel faalt terwijl de andere blijven werken.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Een ingetrokken apparaat hoort het interne adres binnen één sessie niet meer te bereiken, niet alleen na een herstart geen verbinding meer te maken. Als de oude sessie blijft werken, heeft de intrekking de server niet bereikt, en zijn de inloggegevens nog steeds geldig.

Leg het resultaat vast in de huisnotitie die de apparaten al vermeldt, en herzie het wanneer een telefoon wordt vervangen. De regeling blijft alleen beheersbaar zolang de identiteiten, de limieten en de verwijderstap allemaal opgeschreven zijn.