Tek bir VPN girişini aileyle paylaşmak: sonra ne bozulur
Paylaşılan bir VPN parolası dört kararı gizler: cihaz başına kimlik, oturum sınırları, kaldırma ve kurtarma. İkinci cihaz bağlanmadan önce bunları netleştirin.
Bir VPN kullanıcı adını ve parolasını ikinci bir cihaza kopyalamak bir dakika sürer ve sorunsuz çalışır, bu yüzden sorunlar aylar sonra ortaya çıkar. Verdiğiniz giriş bilgileri genellikle tünelden fazlasını kontrol eder: aboneliğin, kurtarma posta kutusunun ve cihaz listesinin sahibi olabilirler. İkinci telefon bağlanmadan önce girişin gerçekte neye izin verdiğini ve diğerlerine dokunmadan bir cihazın nasıl kaldırılacağını netleştirin.
Tek parola, birkaç farklı yetki
Ticari VPN hesapları genellikle tek bir girişin arkasında üç şeyi birleştirir: tünel bilgileri, faturalama veya plan kaydı ve hesap kurtarma kanalı. Birincisini paylaşmak bir bağlantı kararıdır; diğer ikisini paylaşmak aboneliğin kontrolünü devretmektir. Çoğu sağlayıcı bunları bilerek ayırmadığınız sürece aynı bilgiler üzerinde tutar, bu yüzden soru parolanın iki cihazda çalışıp çalışmadığı değil, başka neyi açtığıdır. Operatöre üçünden hangisini girişin kontrol ettiğini ve ayrı bir faturalama sahibi ya da kurtarma adresi atanıp atanamayacağını sorun. Bu tek yanıt hesabın ne kadarını gerçekten devrettiğinizi belirler.
Sunucu tarafında hesap, bir planı ve bağlantı sayacı olan bir satırdır. İstemci uygulaması yalnızca bu satırın bir görünümüdür ve başka bir istemciyle atlatamayacağınız hiçbir şeyi zorunlu kılmaz. Bu yüzden «tek cihaz» planı, sunucu dördüncü oturumu reddetmeye karar verene kadar üç cihazdan bağlanır.
İki faktörlü kimlik doğrulama paylaşma sorusunu keskinleştirir. Dört telefonda kayıtlı bir TOTP sırrı, aynı ikinci faktörün dört kopyasıdır ve bunlardan herhangi biri girişi karşılayabilir. Hesap ayrı uygulama parolalarını veya cihaz başına kaydı destekliyorsa bunları kullanın; desteklemiyorsa paylaşılan ikinci faktörü çözülmüş bir sorun değil, bilinen bir zayıflık olarak görün.
Cihaz başına anahtarlar kaldırmanın anlamını değiştirir
Kendi barındırdığınız kurulumlar, kimliğin hesap satırında değil yapılandırmada yaşamasıyla farklıdır. Bir WireGuard peer'ı, bir açık anahtar artı izin verilen adres kümesidir ve sunucu bu anahtarı eşleştirerek el sıkışmaya izin verir. Peer kaydını silerseniz cihaz hangi parolaya sahip olursa olsun el sıkışmayı tamamlayamaz.
Bu model size temiz bir kaldırma sağlar ama kişi başına hesap vermez; WireGuard bunu bilinen bir sınırlama olarak belgeler. Sunucu anahtarları görür, aile üyelerini değil.
sudo wg show wg0 peers sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove sudo wg show wg0 latest-handshakes
Bir OpenVPN kurulumu aynı yere sertifikalar ve bir iptal listesiyle ulaşır: her istemci kendi sertifikasını alır ve bir kaydı iptal etmek diğerlerini çalışır bırakır. Her iki tasarımda da kimlik cihaz başınadır, bu yüzden kayıp bir telefon tüm ev için giriş bilgilerinin sıfırlanması yerine tek bir silmedir.
Eşzamanlılık sınırları sunucuda yaşar
«Beş cihaz» satan sağlayıcılar genellikle eşzamanlı oturumları sayar, yüklü uygulamaları değil. İki dizüstü ve bir telefon sorun olmayabilirken üçüncü dizüstü hesabı sınırın üstüne iter ve mevcut oturumlardan biri düşer. İstemci bunu nadiren açıklar, bu yüzden belirti plan sınırı değil, kararsız bir bağlantı gibi görünür.
| Model | What removal costs |
|---|---|
| Shared username and password | Password change for everyone, re-enrollment on every device |
| Per-device app password | Revoke one credential, others keep working |
| Per-device key or certificate | Delete one peer or revoke one certificate |
Cihaz sayısı vaat etmeden önce gerçek kuralı öğrenmek için plan koşullarını okuyun. Bazı hizmetler bağlantıları sayar, bazıları belirli bir dönemde görülen farklı cihazları sayar, bazıları ise aynı yerel ağda daha yüksek bir sayıya izin verir.
Ev kurallarını ikinci cihazdan önce kararlaştırın
Dört şey yazın: kurtarma posta kutusu kimde, kim cihaz ekleyip kaldırabilir, plan değiştiğinde kim öder ve biri taşındığında ne olur. Bunlar hiçbir istemci ayarının sizin yerinize veremeyeceği politika kararlarıdır ve acil bir kaldırma gerekmeden önce üzerinde anlaşmak çok daha kolaydır. Yanıtları evin bulabileceği tek bir yere koyun; hangi cihaz adının kime ait olduğu da dahil. İsim listesi, bir peer anahtarını veya uygulama parolasını yeniden arayabileceğiniz birine dönüştüren şeydir.
Tünel bilgilerini paylaşılan notlardan ve sohbet geçmişinden uzak tutun. Paylaşılan kasası olan bir parola yöneticisi veya operatörün verdiği cihaz başına bilgi, sırrı üç mesaj dizisinde kopya bırakmadan aktarılabilir tutar.
Ayrıca hizmetin denetimli hesaplara ve aile filtrelerine nasıl yaklaştığını kontrol edin, çünkü VPN ağ yolunu değiştirir ama ebeveyn denetiminin veya cihaz yönetiminin yerini almaz. Sonra her kişi için gerçek bir görevi test edin: posta, görüntülü görüşme, iş portalı. Ayağa kalkan bir tünel, rotaların, DNS'in ve bölünmüş tünel kurallarının her platformda aynı davrandığının kanıtı değildir.
Kaldırma yolunu hâlâ kolayken kanıtlayın
Kaldırma herkesin ertelediği kısımdır, bu yüzden onu kontrol ettiğiniz bir cihazda test edin. Yedek bir telefon veya dizüstü ekleyin, bağlandığını doğrulayın, sonra o cihazı operatörün belgelenmiş yöntemiyle iptal edin ve diğerleri çalışırken tünelin düştüğünü doğrulayın.
curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/healthİptal edilen bir cihaz, iç adrese bir oturum içinde ulaşmayı bırakmalıdır; yalnızca yeniden başlatmadan sonra yeniden bağlanamaması yetmez. Eski oturum çalışmaya devam ediyorsa iptal sunucuya ulaşmamıştır ve giriş bilgileri hâlâ geçerlidir.
Sonucu cihazları zaten listeleyen ev notuna yazın ve telefon değiştirildiğinde yeniden bakın. Düzen yalnızca kimlikler, sınırlar ve kaldırma adımı hepsi yazılı olduğu sürece yönetilebilir kalır.