Pagbabahagi ng isang VPN login sa pamilya: ano ang nasisira mamaya

Ang pagkopya ng username at password ng VPN sa pangalawang aparato ay tumatagal ng isang minuto at gumagana nang maayos, at iyon mismo ang dahilan kung bakit lumilitaw ang mga problema pagkalipas ng mga buwan. Ang mga kredensyal na ibinigay mo ay karaniwang kumokontrol ng higit pa sa isang tunnel: maaaring pagmamay-ari nila ang subscription, ang mailbox para sa pagbawi at ang listahan ng mga aparato. Bago kumonekta ang pangalawang telepono, alamin kung ano talaga ang pinapayagan ng login at kung paano aalisin ang isang aparato nang hindi hinahawakan ang iba.

Isang password, ilang magkakaibang karapatan

Ang mga komersyal na account ng VPN ay karaniwang nagsasama ng tatlong bagay sa likod ng isang login: ang kredensyal ng tunnel, ang talaan ng pagsingil o plano at ang channel ng pagbawi ng account. Ang pagbabahagi ng una ay desisyon sa koneksyon; ang pagbabahagi ng dalawa ay naglilipat ng kontrol sa subscription. Maraming provider ang nagtatago ng mga ito sa parehong kredensyal hanggang sadyang paghiwalayin mo, kaya ang tanong ay hindi kung gumagana ang password sa dalawang aparato, kundi kung ano pa ang binubuksan nito. Tanungin ang operator kung alin sa tatlo ang kinokontrol ng login, at kung maaaring magtalaga ng hiwalay na may-ari ng pagsingil o address ng pagbawi. Ang nag-iisang sagot na iyon ang nagpapasya kung gaano karami ng account ang talagang ibinibigay mo.

Sa panig ng server, ang account ay isang hilera na may plano at counter ng koneksyon. Ang client app ay isang tanawin lamang ng hilerang iyon, at wala itong ipinipilit na hindi mo kayang laktawan sa ibang client. Kaya ang planong «isang aparato» ay kumokonekta pa rin mula sa tatlong aparato hanggang magpasya ang server na tanggihan ang ikaapat na sesyon.

Ang two-factor authentication ay nagpapatalas sa tanong ng pagbabahagi. Ang TOTP secret na nakarehistro sa apat na telepono ay apat na kopya ng parehong pangalawang factor, at alinman sa mga ito ay makakasagot sa login. Kung sinusuportahan ng account ang hiwalay na app password o pagpaparehistro bawat aparato, gamitin ang mga ito; kung hindi, ituring ang ibinahaging pangalawang factor bilang kilalang kahinaan at hindi bilang lutas na problema.

Binabago ng mga key bawat aparato ang kahulugan ng pag-alis

Ang mga self-hosted na setup ay naiiba dahil ang pagkakakilanlan ay naninirahan sa configuration at hindi sa isang hilera ng account. Ang WireGuard peer ay isang public key at isang pinapayagang set ng mga address, at pinapayagan ng server ang handshake sa pamamagitan ng pagtutugma sa key na iyon. Kung tatanggalin mo ang entry ng peer, hindi makukumpleto ng aparato ang handshake, anuman ang password na hawak pa nito.

Ang modelong iyon ay nagbibigay ng malinis na pag-alis ngunit walang accounting bawat tao, na dokumentado ng WireGuard bilang kilalang limitasyon. Nakikita ng server ang mga key, hindi ang mga miyembro ng pamilya.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Ang deployment ng OpenVPN ay umabot sa parehong lugar sa pamamagitan ng mga certificate at revocation list: bawat client ay may sariling certificate, at ang pagrevoke ng isang entry ay nag-iiwan ng iba pang gumagana. Sa parehong disenyo ang pagkakakilanlan ay bawat aparato, kaya ang nawalang telepono ay isang pagtanggal lamang sa halip na pag-reset ng kredensyal para sa buong sambahayan.

Nasa server ang mga limitasyon ng sabay na koneksyon

Ang mga provider na nagbebenta ng «limang aparato» ay karaniwang binibilang ang sabay na sesyon, hindi ang mga naka-install na app. Dalawang laptop at isang telepono ay maaaring maayos habang ang ikatlong laptop ay nagtutulak sa account na lumampas sa limitasyon at isang umiiral na sesyon ang itinatapon. Bihirang ipaliwanag ito ng client, kaya ang sintomas ay parang hindi matatag na koneksyon at hindi hangganan ng plano.

Basahin ang mga tuntunin ng plano para sa tunay na tuntunin bago mangako ng bilang ng aparato. Ang ilang serbisyo ay binibilang ang koneksyon, ang iba ay binibilang ang magkakaibang aparato na nakita sa isang panahon, at ang iba ay pinapayagan ang mas mataas na bilang sa parehong lokal na network.

Pagpasyahan ang mga tuntunin ng bahay bago ang pangalawang aparato

Isulat ang apat na bagay: sino ang may hawak ng mailbox para sa pagbawi, sino ang maaaring magdagdag o mag-alis ng aparato, sino ang nagbabayad kapag nagbago ang plano, at ano ang nangyayari kapag may umalis. Ito ay mga desisyon sa patakaran na hindi kayang gawin ng anumang setting ng client para sa iyo, at mas madaling pagkasunduan ang mga ito bago kailanganin ang agarang pag-alis. Ilagay ang mga sagot sa isang lugar na mahahanap ng sambahayan, kasama na kung aling pangalan ng aparato ang pagmamay-ari ng sino. Ang listahan ng mga pangalan ang nagpapabalik sa isang peer key o app password bilang isang taong matatawagan mo.

Ilayo ang kredensyal ng tunnel mula sa ibinahaging mga tala at kasaysayan ng chat. Ang password manager na may ibinahaging vault, o kredensyal bawat aparato na ibinibigay ng operator, ay nagpapanatili ng lihim na maililipat nang walang naiiwang kopya sa tatlong thread ng mensahe.

Tingnan din kung paano tinatrato ng serbisyo ang mga pinangangasiwaang account at mga filter ng pamilya, dahil binabago ng VPN ang landas ng network ngunit hindi pinapalitan ang parental control o pamamahala ng aparato. Pagkatapos ay subukan ang isang tunay na gawain bawat tao: email, video call, portal ng trabaho. Ang tunnel na bumabangon ay hindi patunay na ang mga ruta, DNS at mga tuntunin ng split tunnel ay kumikilos nang pareho sa bawat platform.

Patunayan ang landas ng pag-alis habang madali pa

Ang pag-alis ang bahaging ipinagpapaliban ng lahat, kaya subukan ito sa aparatong kontrolado mo. Magdagdag ng ekstrang telepono o laptop, kumpirmahin na kumokonekta, pagkatapos ay i-revoke ang aparatong iyon gamit ang dokumentadong paraan ng operator at kumpirmahin na nabigo ang tunnel habang ang iba ay nananatili.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Ang na-revoke na aparato ay dapat tumigil sa pag-abot sa panloob na address sa loob ng isang sesyon, hindi lamang mabigo sa muling pagkonekta pagkatapos ng restart. Kung patuloy na gumagana ang lumang sesyon, hindi umabot ang revocation sa server, at buhay pa ang kredensyal.

Itala ang resulta sa tala ng sambahayan na naglilista na ng mga aparato, at balikan ito kapag napalitan ang telepono. Nananatiling napamamahalaan ang kaayusan lamang habang ang pagkakakilanlan, mga limitasyon at hakbang ng pag-alis ay nakasulat lahat.