แชร์บัญชี VPN เดียวให้ทั้งครอบครัว: อะไรจะพังภายหลัง
รหัสผ่าน VPN ที่แชร์กันซ่อนการตัดสินใจสี่ข้อไว้: ตัวตนของแต่ละอุปกรณ์ ขีดจำกัดเซสชัน การถอดออกและการกู้คืน ตัดสินใจให้ครบก่อนอุปกรณ์เครื่องที่สองจะเชื่อมต่อ
การคัดลอกชื่อผู้ใช้และรหัสผ่าน VPN ไปยังอุปกรณ์เครื่องที่สองใช้เวลาแค่นาทีเดียวและทำงานได้ดี นั่นคือเหตุผลที่ปัญหาโผล่ขึ้นมาหลายเดือนให้หลัง ข้อมูลเข้าสู่ระบบที่คุณส่งต่อออกไปมักควบคุมมากกว่าอุโมงค์เดียว อาจเป็นเจ้าของการสมัครสมาชิก กล่องจดหมายกู้คืน และรายการอุปกรณ์ ก่อนที่โทรศัพท์เครื่องที่สองจะเชื่อมต่อ ต้องทำให้ชัดว่า การเข้าสู่ระบบอนุญาตอะไรจริงบ้าง และจะถอดอุปกรณ์หนึ่งเครื่องออกได้อย่างไรโดยไม่แตะเครื่องอื่น
รหัสผ่านเดียว สิทธิ์หลายอย่างที่ต่างกัน
บัญชี VPN เชิงพาณิชย์มักรวมสามสิ่งไว้หลังการเข้าสู่ระบบเดียว คือข้อมูลรับรองของอุโมงค์ บันทึกการเรียกเก็บเงินหรือแพ็กเกจ และช่องทางกู้คืนบัญชี การแชร์อย่างแรกเป็นการตัดสินใจเรื่องการเชื่อมต่อ ส่วนการแชร์อีกสองอย่างคือการยกการควบคุมการสมัครสมาชิกให้ไป ผู้ให้บริการหลายรายเก็บทั้งสามไว้บนข้อมูลรับรองชุดเดียวกันจนกว่าคุณจะแยกมันออกจากกันอย่างตั้งใจ คำถามจึงไม่ใช่รหัสผ่านใช้ได้กับสองอุปกรณ์หรือไม่ แต่คือมันเปิดอะไรได้อีก ถามผู้ให้บริการว่าการเข้าสู่ระบบควบคุมสิ่งใดในสามอย่าง และจะแต่งตั้งเจ้าของการเรียกเก็บเงินหรือที่อยู่กู้คืนแยกต่างหากได้หรือไม่ คำตอบข้อเดียวนั้นกำหนดว่าคุณกำลังยกบัญชีไปมากน้อยแค่ไหน
ฝั่งเซิร์ฟเวอร์ บัญชีคือแถวหนึ่งที่มีแพ็กเกจและตัวนับการเชื่อมต่อ แอปไคลเอนต์เป็นเพียงมุมมองของแถวนั้น และไม่ได้บังคับอะไรที่คุณเลี่ยงไม่ได้ด้วยไคลเอนต์ตัวอื่น นั่นคือเหตุผลที่แพ็กเกจ «หนึ่งอุปกรณ์» ยังเชื่อมต่อจากสามอุปกรณ์จนกระทั่งเซิร์ฟเวอร์ตัดสินใจปฏิเสธเซสชันที่สี่
การยืนยันตัวตนสองขั้นทำให้คำถามเรื่องการแชร์คมขึ้น ความลับ TOTP ที่ลงทะเบียนบนโทรศัพท์สี่เครื่องคือสำเนาสี่ชุดของปัจจัยที่สองตัวเดียวกัน และเครื่องใดเครื่องหนึ่งก็ทำให้การเข้าสู่ระบบผ่านได้ หากบัญชีรองรับรหัสผ่านแอปแยกหรือการลงทะเบียนรายอุปกรณ์ ให้ใช้สิ่งเหล่านั้น หากไม่รองรับ ให้ถือว่าปัจจัยที่สองที่แชร์กันเป็นจุดอ่อนที่รู้อยู่แล้ว ไม่ใช่ปัญหาที่แก้แล้ว
คีย์รายอุปกรณ์เปลี่ยนความหมายของการถอดออก
การติดตั้งที่โฮสต์เองแตกต่างเพราะตัวตนอยู่ในคอนฟิกูเรชัน ไม่ได้อยู่ในแถวของบัญชี WireGuard peer คือกุญแจสาธารณะบวกชุดที่อยู่ที่อนุญาต และเซิร์ฟเวอร์อนุญาตการจับมือโดยจับคู่กุญแจนั้น หากลบรายการ peer อุปกรณ์จะจับมือให้เสร็จไม่ได้ ไม่ว่าจะยังมีรหัสผ่านอะไรอยู่
รูปแบบนั้นให้การถอดออกที่สะอาด แต่ไม่มีการบัญชีรายบุคคล ซึ่ง WireGuard บันทึกไว้เป็นข้อจำกัดที่รู้กัน เซิร์ฟเวอร์เห็นกุญแจ ไม่เห็นสมาชิกในครอบครัว
sudo wg show wg0 peers sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove sudo wg show wg0 latest-handshakes
การติดตั้ง OpenVPN ไปถึงจุดเดียวกันด้วยใบรับรองและรายการเพิกถอน ไคลเอนต์แต่ละตัวได้ใบรับรองของตนเอง และการเพิกถอนรายการเดียวทำให้รายการอื่นยังทำงาน ในทั้งสองแบบตัวตนเป็นรายอุปกรณ์ โทรศัพท์ที่หายจึงเป็นการลบครั้งเดียว ไม่ใช่การรีเซ็ตข้อมูลรับรองทั้งบ้าน
ขีดจำกัดการเชื่อมต่อพร้อมกันอยู่ที่เซิร์ฟเวอร์
ผู้ให้บริการที่ขาย «ห้าอุปกรณ์» มักนับเซสชันที่เชื่อมต่อพร้อมกัน ไม่ได้นับแอปที่ติดตั้งไว้ สองแล็ปท็อปกับโทรศัพท์เครื่องหนึ่งอาจสบายดี ในขณะที่แล็ปท็อปเครื่องที่สามดันบัญชีเกินขีดจำกัดและเซสชันที่มีอยู่ถูกตัดออก ไคลเอนต์แทบไม่อธิบายเรื่องนี้ อาการจึงดูเหมือนการเชื่อมต่อไม่เสถียร ไม่ใช่ขอบเขตของแพ็กเกจ
| Model | What removal costs |
|---|---|
| Shared username and password | Password change for everyone, re-enrollment on every device |
| Per-device app password | Revoke one credential, others keep working |
| Per-device key or certificate | Delete one peer or revoke one certificate |
อ่านเงื่อนไขแพ็กเกจเพื่อดูกฎจริงก่อนสัญญาจำนวนอุปกรณ์ บริการบางรายนับการเชื่อมต่อ บางรายนับอุปกรณ์ต่าง ๆ ที่พบในช่วงเวลาหนึ่ง และบางรายอนุญาตจำนวนที่สูงกว่าบนเครือข่ายท้องถิ่นเดียวกัน
กำหนดกฎของบ้านก่อนอุปกรณ์เครื่องที่สอง
เขียนสี่เรื่องลงไป ใครถือกล่องจดหมายกู้คืน ใครเพิ่มหรือถอดอุปกรณ์ได้ ใครจ่ายเมื่อแพ็กเกจเปลี่ยน และจะเกิดอะไรขึ้นเมื่อมีคนย้ายออก นี่คือการตัดสินใจเชิงนโยบายที่ไม่มีตั้งค่าไคลเอนต์ใดทำให้คุณได้ และตกลงกันได้ง่ายกว่ามากก่อนที่การถอดออกเร่งด่วนจะจำเป็น เก็บคำตอบไว้ในที่เดียวที่บ้านหาเจอ รวมถึงชื่ออุปกรณ์ไหนเป็นของใคร รายชื่อคือสิ่งที่เปลี่ยนกุญแจ peer หรือรหัสผ่านแอปให้กลับเป็นคนที่คุณโทรหาได้
เก็บข้อมูลรับรองของอุโมงค์ให้ห่างจากบันทึกที่แชร์กันและประวัติแชต ตัวจัดการรหัสผ่านที่มีตู้เซฟร่วม หรือข้อมูลรับรองรายอุปกรณ์ที่ผู้ให้บริการออกให้ ช่วยให้ความลับส่งต่อได้โดยไม่ทิ้งสำเนาไว้ในเธรดข้อความสามที่
ตรวจดูด้วยว่าบริการจัดการบัญชีภายใต้การดูแลและตัวกรองครอบครัวอย่างไร เพราะ VPN เปลี่ยนเส้นทางเครือข่ายแต่ไม่ได้แทนที่การควบคุมโดยผู้ปกครองหรือการจัดการอุปกรณ์ จากนั้นทดสอบงานจริงหนึ่งอย่างต่อคน ได้แก่ อีเมล การโทรวิดีโอ พอร์ทัลงาน อุโมงค์ที่ขึ้นมาไม่ใช่หลักฐานว่าเส้นทาง DNS และกฎสปลิตทันเนลทำงานเหมือนกันบนทุกแพลตฟอร์ม
พิสูจน์เส้นทางการถอดออกตอนที่ยังง่ายอยู่
การถอดออกคือส่วนที่ทุกคนผัดไว้ ดังนั้นทดสอบบนอุปกรณ์ที่คุณควบคุม เพิ่มโทรศัพท์หรือแล็ปท็อปสำรอง ยืนยันว่าเชื่อมต่อได้ จากนั้นเพิกถอนอุปกรณ์นั้นด้วยวิธีที่ผู้ให้บริการบันทึกไว้ และยืนยันว่าอุโมงค์ล้มเหลวในขณะที่เครื่องอื่นยังอยู่
curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/healthอุปกรณ์ที่ถูกเพิกถอนควรหยุดเข้าถึงที่อยู่ภายในภายในหนึ่งเซสชัน ไม่ใช่แค่เชื่อมต่อใหม่ไม่ได้หลังรีสตาร์ต หากเซสชันเก่ายังทำงานต่อ การเพิกถอนไปไม่ถึงเซิร์ฟเวอร์ และข้อมูลรับรองยังใช้ได้อยู่
บันทึกผลไว้ในโน้ตของบ้านที่ระบุอุปกรณ์อยู่แล้ว และทบทวนเมื่อเปลี่ยนโทรศัพท์ ข้อตกลงจะจัดการได้ต่อไปก็ต่อเมื่อตัวตน ขีดจำกัด และขั้นตอนการถอดออกถูกเขียนไว้ครบทั้งหมด