Ndarja e një hyrjeje VPN me familjen: çfarë prishet më vonë

Kopjimi i një emri përdoruesi dhe fjalëkalimi VPN në një pajisje të dytë zgjat një minutë dhe funksionon mirë, dhe pikërisht për këtë problemet shfaqen muaj më vonë. Kredencialet që keni dhënë zakonisht kontrollojnë më shumë sesa një tunel: ato mund të zotërojnë abonimin, kutinë postare të rikuperimit dhe listën e pajisjeve. Përpara se telefoni i dytë të lidhet, sqaroni çfarë autorizon në të vërtetë hyrja dhe si do të hiqet një pajisje pa prekur të tjerat.

Një fjalëkalim, disa të drejta të ndryshme

Llogaritë tregtare VPN zakonisht grupojnë tre gjëra pas një hyrjeje të vetme: kredencialet e tunelit, regjistrin e faturimit ose të planit dhe kanalin e rikuperimit të llogarisë. Ndarja e të parës është vendim lidhjeje; ndarja e dy të tjerave dorëzon kontrollin mbi abonimin. Shumë ofrues i mbajnë ato në të njëjtat kredenciale derisa t'i ndani me qëllim, prandaj pyetja nuk është nëse fjalëkalimi funksionon në dy pajisje, por çfarë tjetër hap. Pyetni operatorin se cilin nga të tre kontrollon hyrja dhe nëse mund të caktohet një pronar i veçantë faturimi ose një adresë rikuperimi. Ai përgjigje e vetme vendos sa nga llogaria po dorëzoni në të vërtetë.

Në anën e serverit, llogaria është një rresht me një plan dhe një numërues lidhjesh. Aplikacioni klient është vetëm një pamje e atij rreshti dhe nuk imponon asgjë që nuk mund të anashkalohej me një klient tjetër. Prandaj një plan «një pajisje» lidhet ende nga tre pajisje derisa serveri të vendosë të refuzojë sesionin e katërt.

Vërtetimi me dy faktorë e mpreh pyetjen e ndarjes. Një sekret TOTP i regjistruar në katër telefona është katër kopje të të njëjtit faktor të dytë, dhe secila prej tyre mund të plotësojë hyrjen. Nëse llogaria mbështet fjalëkalime të veçanta aplikacioni ose regjistrim për pajisje, përdorini ato; nëse jo, trajtoni faktorin e dytë të ndarë si dobësi të njohur dhe jo si problem të zgjidhur.

Çelësat për pajisje ndryshojnë kuptimin e heqjes

Instalimet e vetë-strehuara ndryshojnë sepse identiteti jeton në konfigurim dhe jo në një rresht llogarie. Një peer WireGuard është një çelës publik plus një grup adresash të lejuara, dhe serveri autorizon një shtrëngim duarsh duke përputhur atë çelës. Nëse fshini regjistrimin e peer-it, pajisja nuk mund të përfundojë një shtrëngim duarsh, cilindo fjalëkalim që mund të ketë ende.

Ai model ju jep heqje të pastër por asnjë kontabilitet për person, të cilin WireGuard e dokumenton si kufizim të njohur. Serveri sheh çelësa, jo anëtarë të familjes.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Një instalim OpenVPN arrin në të njëjtën pikë përmes certifikatave dhe një liste revokimi: çdo klient merr certifikatën e vet, dhe revokimi i një regjistrimi i lë të tjerat duke punuar. Në të dyja modelet identiteti është për pajisje, prandaj një telefon i humbur është një fshirje e vetme në vend të një rivendosjeje të kredencialeve për të gjithë shtëpinë.

Kufijtë e njëkohshmërisë jetojnë në server

Ofruesit që shesin «pesë pajisje» zakonisht numërojnë sesione të njëkohshme, jo aplikacione të instaluara. Dy laptopë dhe një telefon mund të jenë në rregull, ndërsa një laptop i tretë e shtyn llogarinë përtej kufirit dhe një sesion ekzistues hidhet poshtë. Klienti rrallë e shpjegon këtë, prandaj simptomi duket si lidhje e paqëndrueshme dhe jo si kufi plani.

Lexoni kushtet e planit për rregullin real përpara se të premtoni një numër pajisjesh. Disa shërbime numërojnë lidhjet, të tjerë numërojnë pajisje të ndryshme të parë gjatë një periudhe, dhe të tjerë lejojnë një numër më të madh në të njëjtin rrjet lokal.

Vendosni rregullat e shtëpisë përpara pajisjes së dytë

Shkruani katër gjëra: kush e mban kutinë postare të rikuperimit, kush mund të shtojë ose të heqë një pajisje, kush paguan kur ndryshon plani, dhe çfarë ndodh kur dikush largohet. Këto janë vendime politike që asnjë cilësim klienti nuk mund t'i marrë për ju, dhe është shumë më e lehtë të bien dakord për to përpara se të nevojitet një heqje urgjente. Vendosni përgjigjet në një vend që shtëpia mund ta gjejë, duke përfshirë se cili emër pajisjeje i takon kujt. Një listë emrash është ajo që e kthen një çelës peer ose një fjalëkalim aplikacioni përsëri në dikë që mund ta telefononi.

Mbani kredencialet e tunelit larg shënimeve të përbashkëta dhe historikut të bisedave. Një menaxher fjalëkalimesh me kasafortë të përbashkët, ose kredenciale për pajisje të lëshuara nga operatori, e mbajnë sekretin të transferueshëm pa lënë kopje në tre fije mesazhesh.

Kontrolloni gjithashtu se si shërbimi trajton llogaritë e mbikëqyrura dhe filtrat familjarë, sepse një VPN ndryshon rrugën e rrjetit pa zëvendësuar kontrollin prindëror ose menaxhimin e pajisjeve. Pastaj provoni një detyrë reale për person: postë, një thirrje video, një portal pune. Një tunel që ngrihet nuk është provë që rrugët, DNS dhe rregullat e tunelit të ndarë sillen njësoj në çdo platformë.

Provoni rrugën e heqjes ndërsa është ende e lehtë

Heqja është pjesa që të gjithë e shtyjnë, prandaj provojeni në një pajisje që e kontrolloni. Shtoni një telefon ose laptop rezervë, konfirmoni se lidhet, pastaj revokoni atë pajisje me metodën e dokumentuar të operatorit dhe konfirmoni se tuneli dështon ndërsa të tjerët qëndrojnë.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Një pajisje e revokuar duhet të ndalojë së arrituri adresën e brendshme brenda një sesioni, jo vetëm të dështojë të rilidhet pas një rindezjeje. Nëse sesioni i vjetër vazhdon të punojë, revokimi nuk arriti në server dhe kredencialet janë ende aktive.

Regjistroni rezultatin në shënimin e shtëpisë që tashmë liston pajisjet, dhe rishikojeni kur zëvendësohet një telefon. Rregullimi mbetet i menaxhueshëm vetëm sa kohë identitetet, kufijtë dhe hapi i heqjes janë të gjitha të shkruara.