Att dela en VPN-inloggning med familjen: vad som går sönder senare
Ett delat VPN-lösenord döljer fyra beslut: identitet per enhet, sessionsgränser, borttagning och återställning. Gör upp om dem innan den andra enheten ansluter.
Att kopiera ett VPN-användarnamn och lösenord till en andra enhet tar en minut och fungerar bra, och det är precis därför problemen dyker upp månader senare. De inloggningsuppgifter du lämnade över styr oftast mer än en tunnel: de äger kanske prenumerationen, återställningsbrevlådan och enhetslistan. Innan den andra telefonen ansluter bör du ta reda på vad inloggningen faktiskt ger behörighet till och hur en enhet tas bort utan att röra de övriga.
Ett lösenord, flera olika behörigheter
Kommersiella VPN-konton samlar vanligtvis tre saker bakom en enda inloggning: tunneluppgifterna, fakturerings- eller planposten och kontots återställningskanal. Att dela det första är ett anslutningsbeslut; att dela de andra två lämnar över kontrollen över prenumerationen. Många leverantörer håller dem på samma inloggningsuppgifter tills du medvetet skiljer dem åt, så frågan är inte om lösenordet fungerar på två enheter utan vad det annars öppnar. Fråga operatören vilken av de tre inloggningen styr, och om en separat faktureringsägare eller återställningsadress kan utses. Det enda svaret avgör hur mycket av kontot du egentligen lämnar över.
På serversidan är kontot en rad med en plan och en anslutningsräknare. Klientappen är bara en vy av den raden, och den tvingar inte fram något som du inte kunde kringgå med en annan klient. Det är därför en plan för ”en enhet” fortfarande ansluter från tre enheter tills servern väljer att avvisa den fjärde sessionen.
Tvåfaktorsautentisering skärper frågan om delning. En TOTP-hemlighet som registrerats på fyra telefoner är fyra kopior av samma andra faktor, och vilken som helst av dem kan uppfylla inloggningen. Om kontot stöder separata applösenord eller registrering per enhet, använd dem; om inte, behandla den delade andra faktorn som en känd svaghet i stället för ett löst problem.
Nycklar per enhet förändrar vad borttagning innebär
Självhostade uppsättningar skiljer sig eftersom identiteten finns i konfigurationen i stället för i en kontorad. En WireGuard-peer är en offentlig nyckel plus en tillåten uppsättning adresser, och servern godkänner en handskakning genom att matcha den nyckeln. Tar du bort peer-posten kan enheten inte slutföra en handskakning, oavsett vilket lösenord den fortfarande har.
Den modellen ger dig ren borttagning men ingen redovisning per person, vilket WireGuard dokumenterar som en känd begränsning. Servern ser nycklar, inte familjemedlemmar.
sudo wg show wg0 peers sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove sudo wg show wg0 latest-handshakes
En OpenVPN-distribution når samma sak via certifikat och en återkallningslista: varje klient får sitt eget certifikat, och att återkalla en post låter de andra fortsätta fungera. I båda konstruktionerna är identiteten per enhet, så en förlorad telefon är en enda borttagning i stället för en återställning av inloggningsuppgifter för hela hushållet.
Samtidighetsgränser ligger på servern
Leverantörer som säljer ”fem enheter” räknar oftast samtidiga sessioner, inte installerade appar. Två bärbara datorer och en telefon kan vara okej medan en tredje bärbar dator knuffar kontot över gränsen och en befintlig session kastas ut. Klienten förklarar sällan detta, så symptomet ser ut som en ostadig anslutning i stället för en plangräns.
| Model | What removal costs |
|---|---|
| Shared username and password | Password change for everyone, re-enrollment on every device |
| Per-device app password | Revoke one credential, others keep working |
| Per-device key or certificate | Delete one peer or revoke one certificate |
Läs planvillkoren för den faktiska regeln innan du lovar ett antal enheter. Vissa tjänster räknar anslutningar, vissa räknar distinkta enheter som setts under en period, och vissa tillåter ett högre antal på samma lokala nätverk.
Bestäm hushållets regler före enhet två
Skriv ner fyra saker: vem som har återställningsbrevlådan, vem som får lägga till eller ta bort en enhet, vem som betalar när planen ändras, och vad som händer när någon flyttar ut. Det är policybeslut som ingen klientinställning kan fatta åt dig, och de är mycket lättare att komma överens om innan en akut borttagning behövs. Sätt svaren på en plats som hushållet kan hitta, inklusive vilka enhetsnamn som hör till vilken person. En lista med namn är det som gör en peer-nyckel eller ett applösenord till någon du kan ringa.
Håll tunneluppgifterna borta från delade anteckningar och chatthistorik. En lösenordshanterare med ett delat valv, eller en uppgift per enhet som operatören utfärdar, håller hemligheten överförbar utan att lämna kopior i tre meddelandetrådar.
Kontrollera också hur tjänsten hanterar övervakade konton och familjekontroller, eftersom en VPN ändrar nätverksvägen utan att ersätta föräldrakontroll eller enhetshantering. Testa sedan en riktig uppgift per person: e-post, ett videosamtal, en arbetsportal. En tunnel som kommer upp är inte bevis för att rutter, DNS och delade tunnelregler beter sig likadant på varje plattform.
Bevisa borttagningsvägen medan den fortfarande är lätt
Borttagning är den del alla skjuter upp, så testa den på en enhet du kontrollerar. Lägg till en extra telefon eller bärbar dator, bekräfta att den ansluter, återkalla sedan den enheten med operatörens dokumenterade metod och bekräfta att tunneln misslyckas medan de andra är kvar.
curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/healthEn återkallad enhet bör sluta nå den interna adressen inom en session, inte bara misslyckas med att återansluta efter en omstart. Om den gamla sessionen fortsätter att fungera nådde återkallelsen inte servern, och uppgifterna är fortfarande giltiga.
Anteckna resultatet i hushållets anteckning som redan listar enheterna, och se över det när en telefon byts ut. Upplägget förblir bara hanterbart så länge identiteterna, gränserna och borttagningssteget alla är nedskrivna.