Deljenje jedne VPN prijave u porodici: šta se kasnije pokvari

Kopiranje VPN korisničkog imena i lozinke na drugi uređaj traje minut i dobro funkcioniše, i upravo zato se problemi pojave mesecima kasnije. Akreditivi koje ste predali obično kontrolišu više od tunela: možda poseduju pretplatu, sanduče za oporavak i spisak uređaja. Pre nego što se drugi telefon poveže, razjasnite šta prijava zapravo odobrava i kako će se ukloniti jedan uređaj bez diranja ostalih.

Jedna lozinka, nekoliko različitih ovlašćenja

Komercijalni VPN računi obično grupišu tri stvari iza jedne prijave: akreditive tunela, zapis o naplati ili planu i kanal za oporavak računa. Deljenje prve je odluka o povezivanju; deljenje preostale dve predaje kontrolu nad pretplatom. Mnogi provajderi drže ih na istim akreditivima dok ih namerno ne razdvojite, pa pitanje nije radi li lozinka na dva uređaja, nego šta još otvara. Pitajte operatera kojoj od tri prijava upravlja i može li se imenovati poseban vlasnik naplate ili adresa za oporavak. Taj jedan odgovor odlučuje koliko računa zaista predajete.

Na strani servera račun je red sa planom i brojačem veza. Klijentska aplikacija je samo pregled tog reda i ne sprovodi ništa što ne biste mogli zaobići drugim klijentom. Zato se plan za »jedan uređaj« i dalje povezuje sa tri uređaja dok server ne odluči da odbije četvrtu sesiju.

Dvofaktorska autentifikacija zaoštrava pitanje deljenja. TOTP tajna upisana na četiri telefona četiri su kopije istog drugog faktora i bilo koja od njih može da zadovolji prijavu. Ako račun podržava zasebne lozinke aplikacija ili upis po uređaju, koristite ih; ako ne, tretirajte podeljeni drugi faktor kao poznatu slabost, a ne kao rešen problem.

Ključevi po uređaju menjaju šta uklanjanje znači

Samostalno hostovane instalacije se razlikuju jer identitet živi u konfiguraciji, a ne u redu računa. WireGuard peer je javni ključ plus dozvoljeni skup adresa, a server odobrava rukovanje upoređivanjem tog ključa. Izbrišete li zapis peera, uređaj ne može da dovrši rukovanje, bez obzira na to koju lozinku još ima.

Taj model daje čisto uklanjanje, ali nikakvo razduživanje po osobi, što WireGuard dokumentuje kao poznato ograničenje. Server vidi ključeve, ne članove porodice.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Postavka OpenVPN dolazi do istog pomoću sertifikata i spiska opozvanih sertifikata: svaki klijent dobija sopstveni sertifikat, a opoziv jednog zapisa ostavlja ostale da rade. U oba nacrta identitet je po uređaju, pa je izgubljeni telefon jedno brisanje umesto resetovanja akreditiva za celo domaćinstvo.

Ograničenja istovremenosti žive na serveru

Provajderi koji prodaju »pet uređaja« obično broje istovremene sesije, a ne instalirane aplikacije. Dva prenosnika i telefon mogu biti u redu dok treći prenosnik gura račun preko ograničenja i jedna postojeća sesija bude izbačena. Klijent to retko objašnjava, pa simptom izgleda kao nestabilna veza umesto granice plana.

Pročitajte uslove plana za stvarno pravilo pre nego što obećate broj uređaja. Neke usluge broje veze, neke broje različite uređaje viđene u periodu, a neke dozvoljavaju veći broj na istoj lokalnoj mreži.

Dogovorite kućna pravila pre drugog uređaja

Zapišite četiri stvari: ko ima sanduče za oporavak, ko može da doda ili ukloni uređaj, ko plaća kad se plan promeni i šta se događa kad neko ode. To su odluke o politici koje nijedna postavka klijenta ne može da donese umesto vas i mnogo ih je lakše dogovoriti pre nego što zatreba hitno uklanjanje. Stavite odgovore na jedno mesto koje domaćinstvo može da nađe, uključujući koja imena uređaja pripadaju kojoj osobi. Spisak imena je ono što ključ peera ili lozinku aplikacije vraća u nekoga koga možete da nazovete.

Držite akreditive tunela izvan zajedničkih beleški i istorije razgovora. Menadžer lozinkama sa zajedničkim trezorom ili akreditiv po uređaju koji izdaje operater drži tajnu prenosivom bez ostavljanja kopija u tri niti poruka.

Proverite i kako usluga tretira nadzirane račune i porodične filtere, jer VPN menja mrežni put, ali ne zamenjuje roditeljski nadzor ni upravljanje uređajima. Zatim testirajte jedan stvarni zadatak po osobi: poštu, video poziv, radni portal. Tunel koji se uspostavi nije dokaz da se rute, DNS i pravila podeljenog tunela ponašaju isto na svakoj platformi.

Dokažite put uklanjanja dok je još jednostavan

Uklanjanje je deo koji svi odlažu, pa ga testirajte na uređaju koji kontrolišete. Dodajte rezervni telefon ili prenosnik, potvrdite da se povezuje, zatim opozovite taj uređaj dokumentovanom metodom operatera i potvrdite da tunel pada dok ostali ostaju aktivni.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Opozvan uređaj bi trebalo da prestane da doseže internu adresu unutar jedne sesije, a ne samo da neuspelo pokuša ponovno povezivanje nakon restarta. Ako stara sesija nastavi da radi, opoziv nije stigao do servera i akreditiv je još aktivan.

Zapišite rezultat u kućnu belešku koja već navodi uređaje i vratite se na nju kad se telefon zameni. Raspored ostaje upravljiv samo dok su identiteti, ograničenja i korak uklanjanja svi zapisani.