Wspólny login VPN w rodzinie: co psuje się później

Skopiowanie nazwy użytkownika i hasła VPN na drugie urządzenie zajmuje minutę i działa dobrze — i właśnie dlatego problemy pojawiają się dopiero po miesiącach. Przekazane dane logowania zwykle kontrolują więcej niż tunel: mogą być właścicielem subskrypcji, skrzynki odzyskiwania i listy urządzeń. Zanim podłączy się drugi telefon, ustal co faktycznie autoryzuje login i jak usunąć jedno urządzenie, nie ruszając pozostałych.

Jedno hasło, kilka różnych uprawnień

Komercyjne konta VPN zwykle łączą trzy rzeczy za jednym loginem: dane tunelu, rekord rozliczeniowy lub planu oraz kanał odzyskiwania konta. Współdzielenie pierwszego to decyzja o połączeniu; współdzielenie pozostałych dwóch oddaje kontrolę nad subskrypcją. Wielu dostawców trzyma je na tych samych danych, dopóki świadomie ich nie rozdzielisz, więc pytanie nie brzmi, czy hasło działa na dwóch urządzeniach, ale co jeszcze otwiera. Zapytaj operatora, którą z trzech rzeczy kontroluje login i czy można wyznaczyć odrębnego właściciela rozliczeń lub adres odzyskiwania. Ta jedna odpowiedź decyduje, jak dużą część konta naprawdę oddajesz.

Po stronie serwera konto to wiersz z planem i licznikiem połączeń. Aplikacja klienta jest tylko widokiem tego wiersza i nie wymusza niczego, czego nie dałoby się obejść innym klientem. Dlatego plan „jedno urządzenie” nadal łączy się z trzech urządzeń, dopóki serwer nie zdecyduje się odrzucić czwartej sesji.

Uwierzytelnianie dwuetapowe wyostrza pytanie o współdzielenie. Sekret TOTP zarejestrowany na czterech telefonach to cztery kopie tego samego drugiego czynnika i każda z nich może spełnić login. Jeśli konto obsługuje osobne hasła aplikacji lub rejestrację na urządzenie, użyj ich; jeśli nie, traktuj współdzielony drugi czynnik jako znaną słabość, a nie rozwiązany problem.

Klucze na urządzenie zmieniają znaczenie usuwania

Instalacje hostowane samodzielnie różnią się, bo tożsamość mieszka w konfiguracji, a nie w wierszu konta. Peer WireGuard to klucz publiczny plus dozwolony zestaw adresów, a serwer autoryzuje uścisk dłoni, dopasowując ten klucz. Usuń wpis peera, a urządzenie nie ukończy uścisku dłoni, niezależnie od tego, jakie hasło jeszcze ma.

Ten model daje czyste usuwanie, ale żadnego rozliczania na osobę, co WireGuard dokumentuje jako znane ograniczenie. Serwer widzi klucze, nie członków rodziny.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Wdrożenie OpenVPN dochodzi do tego samego przez certyfikaty i listę odwołań: każdy klient dostaje własny certyfikat, a odwołanie jednego wpisu zostawia pozostałe w działaniu. W obu projektach tożsamość jest na urządzenie, więc zgubiony telefon to jedno usunięcie, a nie reset danych logowania dla całego domu.

Limity równoczesności mieszkają na serwerze

Dostawcy sprzedający „pięć urządzeń” liczą zwykle równoczesne sesje, a nie zainstalowane aplikacje. Dwa laptopy i telefon mogą być w porządku, gdy trzeci laptop wypycha konto poza limit i jedna istniejąca sesja zostaje rozłączona. Klient rzadko to wyjaśnia, więc objaw wygląda na niestabilne połączenie, a nie na granicę planu.

Przeczytaj warunki planu, aby poznać rzeczywistą regułę, zanim obiecasz liczbę urządzeń. Niektóre usługi liczą połączenia, inne liczą różne urządzenia widziane w danym okresie, a jeszcze inne pozwalają na wyższą liczbę w tej samej sieci lokalnej.

Ustal zasady domu przed drugim urządzeniem

Zapisz cztery rzeczy: kto ma skrzynkę odzyskiwania, kto może dodać lub usunąć urządzenie, kto płaci, gdy zmienia się plan, i co się dzieje, gdy ktoś się wyprowadza. To decyzje polityki, których żadne ustawienie klienta nie podejmie za ciebie, i znacznie łatwiej się na nie zgodzić, zanim potrzebne będzie pilne usunięcie. Umieść odpowiedzi w jednym miejscu, które dom znajdzie, wraz z informacją, które nazwy urządzeń należą do której osoby. Lista nazw jest tym, co zamienia klucz peera lub hasło aplikacji z powrotem w kogoś, do kogo można zadzwonić.

Trzymaj dane tunelu z dala od współdzielonych notatek i historii czatu. Menedżer haseł ze wspólnym sejfem albo dane logowania na urządzenie wydawane przez operatora utrzymują sekret w obiegu, nie zostawiając kopii w trzech wątkach wiadomości.

Sprawdź też, jak usługa traktuje konta nadzorowane i kontrolę rodzicielską, ponieważ VPN zmienia ścieżkę sieci, ale nie zastępuje kontroli rodzicielskiej ani zarządzania urządzeniami. Potem przetestuj jedno realne zadanie na osobę: pocztę, rozmowę wideo, portal pracy. Tunel, który wstaje, nie dowodzi, że trasy, DNS i reguły podzielonego tunelu zachowują się tak samo na każdej platformie.

Udowodnij ścieżkę usuwania, póki jest jeszcze łatwa

Usuwanie to część, którą wszyscy odkładają, więc przetestuj ją na urządzeniu, które kontrolujesz. Dodaj zapasowy telefon lub laptop, potwierdź, że się łączy, następnie odwołaj to urządzenie metodą udokumentowaną przez operatora i potwierdź, że tunel zawodzi, podczas gdy pozostałe działają.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Odwołane urządzenie powinno przestać docierać do adresu wewnętrznego w obrębie jednej sesji, a nie tylko nie łączyć się ponownie po restarcie. Jeśli stara sesja nadal działa, odwołanie nie dotarło do serwera, a dane logowania są wciąż aktywne.

Zapisz wynik w nocie domowej, która już wymienia urządzenia, i wróć do niej, gdy telefon zostanie wymieniony. Układ pozostaje do opanowania tylko wtedy, gdy tożsamości, limity i krok usuwania są wszystkie spisane.