Să împarți un singur acces VPN cu familia: ce se strică mai târziu

Copierea unui nume de utilizator și a unei parole VPN pe un al doilea dispozitiv durează un minut și funcționează bine, și exact de aceea problemele apar abia peste luni. Datele de acces pe care le-ai predat controlează de obicei mai mult decât un tunel: pot deține abonamentul, căsuța de recuperare și lista de dispozitive. Înainte ca al doilea telefon să se conecteze, lămurește ce autorizează de fapt accesul și cum va fi eliminat un dispozitiv fără a le atinge pe celelalte.

O singură parolă, mai multe privilegii diferite

Conturile VPN comerciale grupează de obicei trei lucruri în spatele unui singur acces: datele tunelului, înregistrarea de facturare sau de plan și canalul de recuperare al contului. A împărtăși primul este o decizie de conectare; a le împărtăși pe celelalte două înseamnă a preda controlul abonamentului. Mulți furnizori le țin pe aceleași date până când le separi intenționat, așa că întrebarea nu este dacă parola funcționează pe două dispozitive, ci ce altceva deschide. Întreabă operatorul care dintre cele trei este controlat de acces și dacă pot fi desemnați un titular de facturare sau o adresă de recuperare separate. Acel singur răspuns decide cât din cont predai de fapt.

Pe partea de server, contul este un rând cu un plan și un contor de conexiuni. Aplicația client este doar o vizualizare a acelui rând și nu impune nimic ce nu ai putea ocoli cu un alt client. De aceea un plan pentru „un dispozitiv” se conectează totuși de pe trei dispozitive până când serverul decide să respingă a patra sesiune.

Autentificarea în doi factori ascute întrebarea despre partajare. Un secret TOTP înrolat pe patru telefoane înseamnă patru copii ale aceluiași al doilea factor, iar oricare dintre ele poate satisface accesul. Dacă contul acceptă parole de aplicație separate sau înrolare per dispozitiv, folosește-le; dacă nu, tratează al doilea factor partajat ca pe o slăbiciune cunoscută, nu ca pe o problemă rezolvată.

Cheile per dispozitiv schimbă ce înseamnă eliminarea

Instalațiile auto-găzduite diferă pentru că identitatea trăiește în configurație, nu într-un rând de cont. Un peer WireGuard este o cheie publică plus un set permis de adrese, iar serverul autorizează un handshake potrivind acea cheie. Șterge intrarea peer-ului și dispozitivul nu mai poate finaliza un handshake, indiferent ce parolă mai are.

Acest model îți dă o eliminare curată, dar nicio evidență per persoană, ceea ce WireGuard documentează ca limitare cunoscută. Serverul vede chei, nu membri ai familiei.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

O implementare OpenVPN ajunge în același punct prin certificate și o listă de revocare: fiecare client primește propriul certificat, iar revocarea unei intrări le lasă pe celelalte funcționale. În ambele modele identitatea este per dispozitiv, așa că un telefon pierdut este o singură ștergere în locul unei resetări a datelor de acces pentru toată gospodăria.

Limitele de concurență stau pe server

Furnizorii care vând „cinci dispozitive” numără de obicei sesiuni simultane, nu aplicații instalate. Două laptopuri și un telefon pot fi în regulă în timp ce un al treilea laptop împinge contul peste limită și o sesiune existentă este eliminată. Clientul explică rar acest lucru, așa că simptomul arată ca o conexiune instabilă, nu ca o limită a planului.

Citește termenii planului pentru regula reală înainte de a promite un număr de dispozitive. Unele servicii numără conexiuni, altele numără dispozitive distincte văzute într-o perioadă, iar altele permit un număr mai mare în aceeași rețea locală.

Stabilește regulile gospodăriei înainte de al doilea dispozitiv

Notează patru lucruri: cine deține căsuța de recuperare, cine poate adăuga sau elimina un dispozitiv, cine plătește când se schimbă planul și ce se întâmplă când cineva pleacă. Sunt decizii de politică pe care nicio setare a clientului nu le poate lua pentru tine și sunt mult mai ușor de convenit înainte de a fi nevoie de o eliminare urgentă. Pune răspunsurile într-un loc pe care gospodăria îl poate găsi, inclusiv ce nume de dispozitiv corespund fiecărei persoane. O listă de nume este ce transformă o cheie de peer sau o parolă de aplicație în cineva pe care poți suna.

Ține datele tunelului departe de notițe partajate și de istoricul conversațiilor. Un manager de parole cu un seif partajat, sau date de acces per dispozitiv emise de operator, păstrează secretul transferabil fără a lăsa copii în trei fire de mesaje.

Verifică și cum tratează serviciul conturile supravegheate și controalele familiale, pentru că o VPN schimbă calea rețelei fără a înlocui controlul parental sau gestionarea dispozitivelor. Apoi testează o sarcină reală pentru fiecare persoană: e-mail, un apel video, un portal de lucru. Un tunel care se ridică nu este dovada că rutele, DNS-ul și regulile de tunel divizat se comportă la fel pe fiecare platformă.

Dovedește calea de eliminare cât timp este încă ușoară

Eliminarea este partea pe care toată lumea o amână, așa că testeaz-o pe un dispozitiv pe care îl controlezi. Adaugă un telefon sau un laptop de rezervă, confirmă că se conectează, revocă apoi acel dispozitiv cu metoda documentată a operatorului și confirmă că tunelul eșuează în timp ce celelalte rămân active.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Un dispozitiv revocat ar trebui să nu mai ajungă la adresa internă în decursul unei sesiuni, nu doar să nu se mai reconecteze după o repornire. Dacă sesiunea veche continuă să funcționeze, revocarea nu a ajuns la server, iar datele de acces sunt încă valide.

Consemnează rezultatul în notița gospodăriei care listează deja dispozitivele și revizuiește-o când un telefon este înlocuit. Aranjamentul rămâne gestionabil doar cât timp identitățile, limitele și pasul de eliminare sunt toate scrise.