Skupna prijava VPN v družini: kaj se pozneje pokvari

Kopiranje uporabniškega imena in gesla VPN na drugo napravo vzame minuto in deluje brez težav, in prav zato se težave pokažejo šele mesece pozneje. Poverilnice, ki ste jih predali, običajno nadzorujejo več kot tunel: morda imajo v lasti naročnino, nabiralnik za obnovitev in seznam naprav. Preden se poveže drugi telefon, ugotovite, kaj prijava dejansko dovoljuje in kako bo ena naprava odstranjena, ne da bi se dotaknili ostalih.

Eno geslo, več različnih pravic

Poslovni računi VPN običajno združujejo tri stvari za eno prijavo: poverilnico tunela, evidence obračuna ali paketa in kanal za obnovitev računa. Deliti prvo je odločitev o povezavi; deliti drugi dve pomeni predati nadzor nad naročnino. Mnogi ponudniki jih držijo na istih poverilnicah, dokler jih namerno ne ločite, zato vprašanje ni, ali geslo deluje na dveh napravah, ampak kaj še odpira. Vprašajte operaterja, katero od treh prijava nadzoruje, in ali je mogoče imenovati ločenega lastnika obračuna ali naslov za obnovitev. Ta en sam odgovor odloči, kolikšen del računa v resnici predajate.

Na strežniški strani je račun vrstica s paketom in števcem povezav. Odjemalska aplikacija je le pogled na to vrstico in ne uveljavlja ničesar, česar ne bi mogli obiti z drugim odjemalcem. Zato se paket za »eno napravo« še vedno povezuje s treh naprav, dokler se strežnik ne odloči zavrniti četrte seje.

Dvofaktorska avtentikacija zaostri vprašanje deljenja. Skrivnost TOTP, registrirana na štirih telefonih, so štiri kopije istega drugega dejavnika in katera koli od njih lahko zadovolji prijavo. Če račun podpira ločena gesla aplikacij ali registracijo naprave, jih uporabite; če ne, obravnavajte deljeni drugi dejavnik kot znano slabost, ne kot rešeno težavo.

Ključi na napravo spremenijo, kaj pomeni odstranitev

Lastno gostovane namestitve se razlikujejo, ker identiteta živi v konfiguraciji in ne v vrstici računa. Peer WireGuard je javni ključ plus dovoljen nabor naslovov in strežnik odobri rokovanje tako, da ujame ta ključ. Če izbrišete vnos peera, naprava ne more dokončati rokovanja, ne glede na to, kakšno geslo še ima.

Ta model daje čisto odstranitev, a nobenega obračunavanja na osebo, kar WireGuard dokumentira kot znano omejitev. Strežnik vidi ključe, ne družinskih članov.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Namestitev OpenVPN doseže isto s potrdili in seznamom preklicanih potrdil: vsak odjemalec dobi svoje potrdilo in preklic enega vnosa pusti druge delujoče. V obeh zasnovah je identiteta na napravo, zato je izgubljeni telefon ena sama izbris namesto ponastavitve poverilnic za celo gospodinjstvo.

Omejitve sočasnosti živijo na strežniku

Ponudniki, ki prodajajo »pet naprav«, običajno štejejo sočasne seje, ne nameščenih aplikacij. Dva prenosnika in telefon so lahko v redu, medtem ko tretji prenosnik potisne račun čez omejitev in ena obstoječa seja se prekine. Odjemalec to redko pojasni, zato simptom izgleda kot nestabilna povezava namesto meje paketa.

Preberite pogoje paketa za dejansko pravilo, preden obljubite število naprav. Nekatere storitve štejejo povezave, druge štejejo različne naprave, videne v obdobju, tretje dovoljujejo višje število v istem lokalnem omrežju.

Določite hišna pravila pred drugo napravo

Zapišite štiri stvari: kdo ima nabiralnik za obnovitev, kdo lahko doda ali odstrani napravo, kdo plača, ko se paket spremeni, in kaj se zgodi, ko kdo odide. To so odločitve politike, ki jih nobena nastavitev odjemalca ne more sprejeti namesto vas, in o njih se je veliko lažje dogovoriti, preden je potrebna nujna odstranitev. Odgovore shranite na eno mesto, ki ga gospodinjstvo najde, vključno s tem, katera imena naprav pripadajo kateri osebi. Seznam imen je tisto, kar ključ peera ali geslo aplikacije spremeni nazaj v nekoga, ki ga lahko pokličete.

Imejte poverilnico tunela stran od skupnih zapiskov in zgodovine klepeta. Upravitelj gesel s skupnim trezorjem ali poverilnica na napravo, ki jo izda operater, ohrani skrivnost prenosljivo, ne da bi pustil kopije v treh nitih sporočil.

Preverite tudi, kako storitev obravnava nadzorovane račune in družinske filtre, ker VPN spremeni omrežno pot, ne nadomesti pa starševskega nadzora ali upravljanja naprav. Nato preizkusite eno resnično opravilo na osebo: pošto, video klic, delovni portal. Tunel, ki se vzpostavi, ni dokaz, da se poti, DNS in pravila razdeljenega tunela obnašajo enako na vsaki platformi.

Dokažite pot odstranitve, dokler je še preprosta

Odstranitev je del, ki ga vsi odlagajo, zato jo preizkusite na napravi, ki jo nadzorujete. Dodajte rezervni telefon ali prenosnik, potrdite, da se poveže, nato prekličite to napravo z dokumentirano metodo operaterja in potrdite, da tunel odpove, medtem ko ostale delujejo.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Preklicana naprava bi morala prenehati dosegati notranji naslov znotraj ene seje, ne le spodleteti pri ponovni povezavi po ponovnem zagonu. Če stara seja še vedno deluje, preklic ni prišel do strežnika in poverilnica je še vedno aktivna.

Zapišite rezultat v hišni zapisek, ki že navaja naprave, in ga ponovno preglejte, ko telefon zamenjate. Ureditev ostane obvladljiva le, dokler so identitete, omejitve in korak odstranitve vsi zapisani.