Дељење једне VPN пријаве у породици: шта се касније поквари

Копирање VPN корисничког имена и лозинке на други уређај траје минут и добро функционише, и управо зато се проблеми појаве месецима касније. Акредитиви које сте предали обично контролишу више од тунела: можда поседују претплату, сандуче за опоравак и списак уређаја. Пре него што се други телефон повеже, разјасните шта пријава заправо одобрава и како ће се уклонити један уређај без дирања осталих.

Једна лозинка, неколико различитих овлашћења

Комерцијални VPN рачуни обично групишу три ствари иза једне пријаве: акредитиве тунела, запис о наплати или плану и канал за опоравак рачуна. Дељење прве је одлука о повезивању; дељење преостале две предаје контролу над претплатом. Многи провајдери држе их на истим акредитивима док их намерно не раздвојите, па питање није ради ли лозинка на два уређаја, него шта још отвара. Питајте оператера којој од три пријава управља и може ли се именовати посебан власник наплате или адреса за опоравак. Тај један одговор одлучује колико рачуна заиста предајете.

На страни сервера рачун је ред са планом и бројачем веза. Клијентска апликација је само преглед тог реда и не спроводи ништа што не бисте могли заобићи другим клијентом. Зато се план за »један уређај« и даље повезује са три уређаја док сервер не одлучи да одбије четврту сесију.

Двофакторска аутентификација заоштрава питање дељења. TOTP тајна уписана на четири телефона четири су копије истог другог фактора и било која од њих може да задовољи пријаву. Ако рачун подржава засебне лозинке апликација или упис по уређају, користите их; ако не, третирајте подељени други фактор као познату слабост, а не као решен проблем.

Кључеви по уређају мењају шта уклањање значи

Самостално хостоване инсталације се разликују јер идентитет живи у конфигурацији, а не у реду рачуна. WireGuard peer је јавни кључ плус дозвољени скуп адреса, а сервер одобрава руковање упоређивањем тог кључа. Избришете ли запис пеера, уређај не може да доврши руковање, без обзира на то коју лозинку још има.

Тај модел даје чисто уклањање, али никакво раздуживање по особи, што WireGuard документује као познато ограничење. Сервер види кључеве, не чланове породице.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Поставка OpenVPN долази до истог помоћу сертификата и списка опозваних сертификата: сваки клијент добија сопствени сертификат, а опозив једног записа оставља остале да раде. У оба нацрта идентитет је по уређају, па је изгубљени телефон једно брисање уместо ресетовања акредитива за цело домаћинство.

Ограничења истовремености живе на серверу

Провајдери који продају »пет уређаја« обично броје истовремене сесије, а не инсталиране апликације. Два преносива рачунара и телефон могу бити у реду док трећи преносиви рачунар гура рачун преко ограничења и једна постојећа сесија буде избачена. Клијент то ретко објашњава, па симптом изгледа као нестабилна веза уместо границе плана.

Прочитајте услове плана за стварно правило пре него што обећате број уређаја. Неке услуге броје везе, неке броје различите уређаје виђене у периоду, а неке дозвољавају већи број на истој локалној мрежи.

Договорите кућна правила пре другог уређаја

Запишите четири ствари: ко има сандуче за опоравак, ко може да дода или уклони уређај, ко плаћа кад се план промени и шта се догађа кад неко оде. То су одлуке о политици које ниједна поставка клијента не може да донесе уместо вас и много их је лакше договорити пре него што затреба хитно уклањање. Ставите одговоре на једно место које домаћинство може да нађе, укључујући која имена уређаја припадају којој особи. Списак имена је оно што кључ пеера или лозинку апликације враћа у некога кога можете да назовете.

Држите акредитиве тунела изван заједничких белешки и историје разговора. Менаџер лозинкама са заједничким трезором или акредитив по уређају који издаје оператер држи тајну преносивом без остављања копија у три нити порука.

Проверите и како услуга третира надзиране рачуне и породичне филтере, јер VPN мења мрежни пут, али не замењује родитељски надзор ни управљање уређајима. Затим тестирајте један стварни задатак по особи: пошту, видео позив, радни портал. Тунел који се успостави није доказ да се руте, DNS и правила подељеног тунела понашају исто на свакој платформи.

Докажите пут уклањања док је још једноставан

Уклањање је део који сви одлажу, па га тестирајте на уређају који контролишете. Додајте резервни телефон или преносиви рачунар, потврдите да се повезује, затим опозовите тај уређај документованом методом оператера и потврдите да тунел пада док остали остају активни.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Опозван уређај би требало да престане да досеже интерну адресу унутар једне сесије, а не само да неуспешно покуша поновно повезивање након рестарта. Ако стара сесија настави да ради, опозив није стигао до сервера и акредитив је још активан.

Запишите резултат у кућну белешку која већ наводи уређаје и вратите се на њу кад се телефон замени. Распоред остаје управљив само док су идентитети, ограничења и корак уклањања сви записани.