Partilhar um acesso VPN com a família: o que falha depois

Copiar um nome de utilizador e uma palavra-passe VPN para um segundo dispositivo leva um minuto e funciona bem, e é exatamente por isso que os problemas surgem meses depois. As credenciais que entregou costumam controlar mais do que um túnel: podem ser donas da subscrição, da caixa de recuperação e da lista de dispositivos. Antes de o segundo telemóvel se ligar, perceba o que o acesso autoriza realmente e como um dispositivo será removido sem tocar nos restantes.

Uma palavra-passe, vários privilégios diferentes

As contas VPN comerciais costumam agrupar três coisas atrás de um único acesso: a credencial do túnel, o registo de faturação ou do plano e o canal de recuperação da conta. Partilhar a primeira é uma decisão de ligação; partilhar as outras duas entrega o controlo da subscrição. Muitos fornecedores mantêm-nas na mesma credencial até as separar de propósito, por isso a pergunta não é se a palavra-passe funciona em dois dispositivos, mas o que mais ela abre. Pergunte ao operador qual das três o acesso controla, e se pode ser designado um titular de faturação ou um endereço de recuperação à parte. Essa única resposta decide quanto da conta está realmente a entregar.

Do lado do servidor, a conta é uma linha com um plano e um contador de ligações. A aplicação cliente é apenas uma vista dessa linha, e não impõe nada que não pudesse contornar com outro cliente. É por isso que um plano de «um dispositivo» continua a ligar-se a partir de três dispositivos até o servidor decidir rejeitar a quarta sessão.

A autenticação de dois fatores torna a questão da partilha mais afiada. Um segredo TOTP inscrito em quatro telemóveis são quatro cópias do mesmo segundo fator, e qualquer uma delas pode satisfazer o acesso. Se a conta suportar palavras-passe de aplicação separadas ou inscrição por dispositivo, use-as; se não, trate o segundo fator partilhado como uma fraqueza conhecida em vez de um problema resolvido.

As chaves por dispositivo mudam o que significa remover

As instalações autoalojadas são diferentes porque a identidade vive na configuração e não numa linha de conta. Um par WireGuard é uma chave pública mais um conjunto permitido de endereços, e o servidor autoriza um handshake fazendo corresponder essa chave. Se apagar a entrada do par, o dispositivo não consegue concluir um handshake, por muita palavra-passe que ainda tenha.

Esse modelo dá-lhe uma remoção limpa mas nenhuma contabilização por pessoa, o que o WireGuard documenta como uma limitação conhecida. O servidor vê chaves, não membros da família.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Uma implementação de OpenVPN chega ao mesmo ponto através de certificados e de uma lista de revogação: cada cliente recebe o seu próprio certificado, e revogar uma entrada deixa as outras a funcionar. Em ambos os desenhos a identidade é por dispositivo, por isso um telemóvel perdido é uma única eliminação em vez de um reinício de credenciais para toda a casa.

Os limites de simultaneidade vivem no servidor

Os fornecedores que vendem «cinco dispositivos» contam normalmente sessões simultâneas, não aplicações instaladas. Dois portáteis e um telemóvel podem estar bem enquanto um terceiro portátil empurra a conta acima do limite e uma sessão existente é expulsa. O cliente raramente explica isto, por isso o sintoma parece uma ligação instável em vez de um limite do plano.

Leia os termos do plano para saber a regra real antes de prometer um número de dispositivos. Alguns serviços contam ligações, outros contam dispositivos distintos vistos num período, e outros permitem um número maior na mesma rede local.

Decida as regras da casa antes do segundo dispositivo

Anote quatro coisas: quem tem a caixa de recuperação, quem pode adicionar ou remover um dispositivo, quem paga quando o plano muda e o que acontece quando alguém sai. São decisões de política que nenhuma definição do cliente pode tomar por si, e são muito mais fáceis de acordar antes de ser necessária uma remoção urgente. Coloque as respostas num lugar que a casa consiga encontrar, incluindo que nomes de dispositivo correspondem a que pessoa. Uma lista de nomes é o que transforma uma chave de par ou uma palavra-passe de aplicação em alguém a quem pode ligar.

Mantenha a credencial do túnel fora de notas partilhadas e de históricos de conversa. Um gestor de palavras-passe com um cofre partilhado, ou uma credencial por dispositivo emitida pelo operador, mantém o segredo transferível sem deixar cópias em três conversas.

Verifique também como o serviço trata contas supervisionadas e controlos familiares, porque uma VPN muda o caminho de rede sem substituir o controlo parental nem a gestão de dispositivos. Depois teste uma tarefa real por pessoa: correio, uma videochamada, um portal de trabalho. Um túnel que sobe não prova que as rotas, o DNS e as regras de túnel dividido se comportem da mesma forma em cada plataforma.

Prove o caminho de remoção enquanto ainda é fácil

A remoção é a parte que todos adiam, por isso teste-a num dispositivo que controla. Acrescente um telemóvel ou portátil de reserva, confirme que se liga, revogue depois esse dispositivo com o método documentado do operador e confirme que o túnel falha enquanto os outros continuam de pé.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Um dispositivo revogado deve deixar de alcançar o endereço interno dentro de uma sessão, e não apenas falhar a reconexão após um reinício. Se a sessão antiga continuar a funcionar, a revogação não chegou ao servidor e a credencial continua viva.

Registe o resultado na nota da casa que já lista os dispositivos, e reveja-a quando um telemóvel for substituído. O arranjo só continua a ser gerível enquanto as identidades, os limites e o passo de remoção estiverem todos escritos.