Zdieľanie jedného prihlásenia VPN v rodine: čo sa neskôr pokazí

Skopírovať používateľské meno a heslo VPN na druhé zariadenie trvá minútu a funguje bez problémov, a práve preto sa problémy objavia až po mesiacoch. Prihlasovacie údaje, ktoré ste odovzdali, zvyčajne ovládajú viac než tunel: môžu vlastniť predplatné, schránku na obnovu aj zoznam zariadení. Kým sa pripojí druhý telefón, zistite, čo prihlásenie skutočne oprávňuje a ako sa jedno zariadenie odoberie bez toho, aby ste sa dotkli ostatných.

Jedno heslo, niekoľko rôznych oprávnení

Komerčné účty VPN zvyčajne zdieľajú tri veci za jediným prihlásením: údaje tunela, záznam o fakturácii alebo tarife a kanál na obnovu účtu. Zdieľať prvý je rozhodnutie o pripojení; zdieľať zvyšné dva znamená odovzdať kontrolu nad predplatným. Mnohí poskytovatelia ich držia na rovnakých údajoch, kým ich vedome neoddelíte, takže otázka nie je, či heslo funguje na dvoch zariadeniach, ale čo ďalšie otvára. Spýtajte sa prevádzkovateľa, ktorú z troch vecí prihlásenie ovláda, a či možno určiť samostatného vlastníka fakturácie alebo adresu na obnovu. Jediná odpoveď rozhoduje o tom, akú veľkú časť účtu skutočne odovzdávate.

Na strane servera je účet riadok s tarifou a počítadlom pripojení. Klientska aplikácia je len pohľad na tento riadok a nepresadzuje nič, čo by ste neobišli iným klientom. Preto sa tarifa „jedno zariadenie“ stále pripája z troch zariadení, kým sa server nerozhodne odmietnuť štvrtú reláciu.

Dvojfaktorové overovanie zostruje otázku zdieľania. Tajomstvo TOTP zaregistrované na štyroch telefónoch sú štyri kópie toho istého druhého faktora a ktorákoľvek z nich môže prihlásenie splniť. Ak účet podporuje samostatné heslá aplikácií alebo registráciu zariadenia, použite ich; ak nie, berte zdieľaný druhý faktor ako známu slabinu, nie ako vyriešený problém.

Kľúče na zariadenie menia, čo znamená odobratie

Vlastné hostované inštalácie sa líšia, pretože identita žije v konfigurácii, nie v riadku účtu. Peer WireGuard je verejný kľúč plus povolená sada adries a server autorizuje handshake porovnaním tohto kľúča. Vymažte záznam peeru a zariadenie nemôže dokončiť handshake, nech má akékoľvek heslo.

Tento model dáva čisté odobratie, ale žiadne účtovanie na osobu, čo WireGuard dokumentuje ako známe obmedzenie. Server vidí kľúče, nie členov rodiny.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Nasadenie OpenVPN dosiahne to isté pomocou certifikátov a zoznamu odvolaných certifikátov: každý klient dostane vlastný certifikát a odvolanie jedného záznamu nechá ostatné fungovať. V oboch návrhoch je identita na zariadenie, takže stratený telefón je jedno vymazanie namiesto resetu prihlasovacích údajov pre celú domácnosť.

Limity súbežnosti žijú na serveri

Poskytovatelia, ktorí predávajú „päť zariadení“, zvyčajne počítajú súbežné relácie, nie nainštalované aplikácie. Dva notebooky a telefón môžu byť v poriadku, kým tretí notebook vytlačí účet cez limit a jedna existujúca relácia sa ukončí. Klient to zriedka vysvetľuje, takže príznak vyzerá ako nestabilné pripojenie namiesto hranice tarify.

Prečítajte si podmienky tarify kvôli skutočnému pravidlu, kým sľúbite počet zariadení. Niektoré služby počítajú pripojenia, iné počítajú rôzne zariadenia videné v určitom období a ďalšie povoľujú vyšší počet v tej istej miestnej sieti.

Stanovte pravidlá domácnosti pred druhým zariadením

Zapíšte štyri veci: kto má schránku na obnovu, kto môže pridať alebo odobrať zariadenie, kto platí, keď sa tarifa zmení, a čo sa stane, keď niekto odíde. To sú rozhodnutia o politike, ktoré za vás žiadne nastavenie klienta neurobí, a oveľa ľahšie sa na nich dohodnete, kým bude potrebné naliehavé odobratie. Uložte odpovede na jedno miesto, ktoré domácnosť nájde, vrátane toho, ktoré názvy zariadení patria ktorej osobe. Zoznam mien je to, čo premení kľúč peeru alebo heslo aplikácie späť na niekoho, komu možno zavolať.

Držte údaje tunela mimo zdieľaných poznámok a histórie chatu. Správca hesiel so zdieľaným trezorom alebo údaj na zariadenie vydaný prevádzkovateľom udrží tajomstvo prenosné bez toho, aby zanechal kópie v troch vláknach správ.

Skontrolujte tiež, ako služba zaobchádza so sledovanými účtami a rodinnými filtrami, pretože VPN mení sieťovú cestu, ale nenahrádza rodičovskú kontrolu ani správu zariadení. Potom otestujte jednu skutočnú úlohu na osobu: poštu, videohovor, pracovný portál. Tunel, ktorý sa nadviaže, nie je dôkazom, že sa trasy, DNS a pravidlá rozdeleného tunela správajú na každej platforme rovnako.

Dokážte cestu odobratia, kým je ešte jednoduchá

Odoberanie je časť, ktorú všetci odkladajú, takže ju otestujte na zariadení, ktoré ovládate. Pridajte náhradný telefón alebo notebook, potvrďte, že sa pripojí, potom toto zariadenie odvolajte zdokumentovanou metódou prevádzkovateľa a potvrďte, že tunel zlyhá, zatiaľ čo ostatné zostanú funkčné.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Odvolané zariadenie by malo prestať dosahovať internú adresu v rámci jednej relácie, nie len po reštarte zlyhať pri opätovnom pripojení. Ak stará relácia ďalej funguje, odvolanie sa k serveru nedostalo a údaje sú stále aktívne.

Zapíšte výsledok do poznámky domácnosti, ktorá už zariadenia uvádza, a vráťte sa k nej, keď sa telefón vymení. Usporiadanie zostáva zvládnuteľné len vtedy, keď sú identity, limity a krok odobratia všetky zapísané.