Å dele éin VPN-innlogging med familien: kva som knekk seinare

Å kopiere eit VPN-brukarnamn og eit passord over til ei ny eining tek eit minutt og fungerer fint, og det er nettopp derfor problema dukkar opp månader seinare. Innloggingsdetaljane du gav vidare, styrer som regel meir enn ein tunnel: dei eig kanskje abonnementet, attopprettingspostkassen og einingslista. Før den andre telefonen koplar til, må du finne ut kva innlogginga faktisk autoriserer og korleis éi eining blir fjerna utan å røre dei andre.

Eitt passord, fleire ulike rettar

Kommersielle VPN-kontoar samlar vanlegvis tre ting bak éi innlogging: tunnelinnlogginga, faktura- eller planposten og attopprettingskanalen til kontoen. Å dele den første er ei tilkoplingavgjerd; å dele dei to andre overfører kontrollen over abonnementet. Mange leverandørar held dei på same innlogging til du medvite skil dei, så spørsmålet er ikkje om passordet verkar på to einingar, men kva anna det opnar. Spør operatøren kva av dei tre innlogginga styrer, og om ein eigen fakturaeigar eller attopprettingsadresse kan peikast ut. Det eine svaret avgjer kor mykje av kontoen du eigentleg gir frå deg.

På serversida er kontoen ei rad med eit abonnement og ein tilkoplingsteljar. Klientappen er berre ei vising av den rada, og han handhevar ingenting du ikkje kunne omgå med ein annan klient. Derfor koplar ein plan for «éi eining» framleis til frå tre einingar, heilt til serveren bestemmer seg for å avvise den fjerde sesjonen.

Tofaktorautentisering gjer dele-spørsmålet skarpare. Ei TOTP-hemmelegheit som er registrert på fire telefonar, er fire kopiar av same andre faktor, og kven som helst av dei kan oppfylle innlogginga. Viss kontoen støttar eigne app-passord eller registrering per eining, bruk dei; viss ikkje, må den delte andre faktoren handsamast som ein kjend svakheit i staden for eit løyst problem.

Nøklar per eining endrar kva fjerning betyr

Sjølvhosta oppsett er annleis fordi identiteten ligg i konfigurasjonen og ikkje i ei kontorad. Ein WireGuard-peer er ein offentleg nøkkel pluss eit tillate sett med adresser, og serveren autoriserer eit handtrykk ved å matche den nøkkelen. Slettar du peer-oppføringa, kan eininga ikkje fullføre eit handtrykk, same kva passord ho framleis har.

Den modellen gir deg rein fjerning, men inga fordeling per person, noko WireGuard dokumenterer som ei kjend avgrensing. Serveren ser nøklar, ikkje familiemedlemmer.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Ei OpenVPN-utrulling når same stad via sertifikat og ei tilbakekallingsliste: kvar klient får sitt eige sertifikat, og tilbakekalling av éi oppføring lèt dei andre verke. I begge designa er identiteten per eining, så ein tapt telefon er éin enkelt sletting i staden for ein tilbakestilling av innlogginga for heile husstanden.

Samtidigheitsgrenser ligg på serveren

Leverandørar som sel «fem einingar», tel vanlegvis samtidige sesjonar, ikkje installerte apppar. To berbare maskiner og ein telefon kan vere greitt medan ein tredje berbar maskin skuvar kontoen over grensa og ein eksisterande sesjon blir kasta ut. Klienten forklarer dette sjeldan, så symptomet ser ut som ei ustabil tilkopling i staden for ei plangrense.

Les planvilkåra for den faktiske regelen før du lovar eit tal på einingar. Nokre tenester tel tilkoplingar, nokre tel ulike einingar som er sette i ein periode, og nokre tillèt eit høgare tal på same lokale nettverk.

Avtal husstandsreglane før eining nummer to

Skriv ned fire ting: kven som har attopprettingspostkassen, kven som kan leggje til eller fjerne ei eining, kven som betaler når planen blir endra, og kva som skjer når nokon flyttar ut. Dette er policyavgjerder som ingen klientinnstilling kan ta for deg, og dei er mykje lettare å bli samde om før ei akutt fjerning er nødvendig. Legg svara éin stad husstanden kan finne, inkludert kva einingnamn som høyrer til kven. Ei namneliste er det som gjer ein peer-nøkkel eller eit app-passord om til nokon du kan ringje.

Hald tunnelinnlogginga unna felles notat og chatthistorikk. Ein passordhandsamar med eit delt kvelv, eller ei innlogging per eining som operatøren gjev ut, held hemmelegheita overførbar utan å leggje igjen kopiar i tre meldingstrådar.

Sjekk òg korleis tenesta handsamar overvaka kontoar og familiekontrollar, fordi eit VPN endrar nettverksvegen utan å erstatte foreldrekontroll eller einingstyring. Test deretter éin reell oppgåve per person: e-post, ein videosamtale, ein arbeidsportal. Ein tunnel som kjem opp, er ikkje bevis for at ruter, DNS og delt-tunnel-reglar oppfører seg likt på kvar plattform.

Bevis fjerningsvegen medan han framleis er enkel

Fjerning er den delen alle utset, så test han på ei eining du kontrollerer. Legg til ein ekstra telefon eller berbar maskin, stadfest at ho koplar til, tilbakekall deretter eininga med den dokumenterte metoden til operatøren og stadfest at tunnelen feilar medan dei andre står.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Ei tilbakekalla eining bør slutte å nå den interne adressa innan éin sesjon, ikkje berre unngå å kople til att etter ein omstart. Viss den gamle sesjonen held fram med å verke, nådde ikkje tilbakekallinga serveren, og innlogginga er framleis levande.

Noter resultatet i husstandsnotatet som allereie listar einingane, og gå gjennom det når ein telefon blir bytt ut. Ordninga blir berre handterbar så lenge identitetane, grensene og fjerningssteget alle er skrivne ned.