Спільний вхід у VPN для родини: що зламається пізніше

Скопіювати ім'я користувача й пароль VPN на другий пристрій — справа хвилини, і саме тому проблеми спливають місяцями пізніше. Передані облікові дані зазвичай керують більшим, ніж тунель: вони можуть володіти підпискою, поштовою скринькою для відновлення та списком пристроїв. Перш ніж підключиться другий телефон, з'ясуйте, що вхід насправді дозволяє і як видалити один пристрій, не зачіпаючи інших.

Один пароль, кілька різних прав

Комерційні акаунти VPN зазвичай об'єднують три речі за одним входом: облікові дані тунелю, запис про оплату або тариф і канал відновлення акаунта. Ділитися першим — це рішення про підключення; ділитися двома іншими — передати контроль над підпискою. Багато провайдерів тримають їх на одних даних, доки ви свідомо не розділите їх, тож питання не в тому, чи працює пароль на двох пристроях, а в тому, що ще він відкриває. Запитайте оператора, що з трьох контролює вхід, і чи можна призначити окремого власника оплати або адресу відновлення. Ця єдина відповідь вирішує, яку частину акаунта ви насправді віддаєте.

На боці сервера акаунт — це рядок із тарифом і лічильником підключень. Клієнтська програма — лише подання цього рядка, і вона не забезпечує нічого, що не можна було б обійти іншим клієнтом. Тому тариф «один пристрій» усе одно підключається з трьох пристроїв, доки сервер не вирішить відхилити четвертий сеанс.

Двофакторна автентифікація загострює питання про спільне користування. Секрет TOTP, зареєстрований на чотирьох телефонах, — це чотири копії одного й того самого другого фактора, і будь-яка з них може задовольнити вхід. Якщо акаунт підтримує окремі паролі програм або реєстрацію на пристрої, використовуйте їх; якщо ні, ставтеся до спільного другого фактора як до відомої слабкості, а не як до вирішеної проблеми.

Ключі на пристрій змінюють сенс видалення

Самостійно розміщені установки відрізняються тим, що ідентичність живе в конфігурації, а не в рядку акаунта. Peer WireGuard — це відкритий ключ плюс дозволений набір адрес, і сервер дозволяє рукостискання, звіряючи цей ключ. Видаліть запис піра, і пристрій не зможе завершити рукостискання, яким би паролем він ще володів.

Така модель дає чисте видалення, але не дає обліку на людину, що WireGuard документує як відоме обмеження. Сервер бачить ключі, а не членів родини.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Розгортання OpenVPN доходить до того ж через сертифікати та список відкликання: кожен клієнт отримує свій сертифікат, а відкликання одного запису залишає інші працювати. В обох схемах ідентичність задається на пристрій, тож загублений телефон — це одне видалення замість скидання облікових даних для всієї родини.

Ліміти одночасності живуть на сервері

Провайдери, які продають «п'ять пристроїв», зазвичай рахують одночасні сеанси, а не встановлені програми. Два ноутбуки й телефон можуть бути гаразд, поки третій ноутбук виштовхує акаунт за ліміт і один наявний сеанс скидається. Клієнт рідко це пояснює, тому симптом виглядає як нестабільне з'єднання, а не як межа тарифу.

Прочитайте умови тарифу, щоб дізнатися фактичне правило, перш ніж обіцяти кількість пристроїв. Одні сервіси рахують підключення, інші — різні пристрої, помічені за період, а треті дозволяють більшу кількість у тій самій локальній мережі.

Визначте родинні правила до другого пристрою

Запишіть чотири речі: у кого поштова скринька для відновлення, хто може додати або видалити пристрій, хто платить, коли тариф змінюється, і що відбувається, коли хтось виїжджає. Це політичні рішення, які жодне налаштування клієнта не ухвалить за вас, і домовитися про них значно легше до того, як знадобиться термінове видалення. Покладіть відповіді в одне місце, яке родина зможе знайти, включно з тим, які назви пристроїв належать якій людині. Список імен — це те, що перетворює ключ піра або пароль програми назад на людину, якій можна зателефонувати.

Тримайте облікові дані тунелю подалі від спільних нотаток і історії чатів. Менеджер паролів зі спільним сховищем або облікові дані на пристрій, видані оператором, зберігають секрет переносним, не залишаючи копій у трьох ланцюжках повідомлень.

Перевірте також, як сервіс поводиться з піднаглядними акаунтами та родинними фільтрами, бо VPN змінює мережевий шлях, але не замінює батьківський контроль або керування пристроями. Потім протестуйте одне реальне завдання на людину: пошту, відеовиклик, робочий портал. Тунель, що піднявся, не доводить, що маршрути, DNS і правила розділеного тунелю поводяться однаково на кожній платформі.

Доведіть шлях видалення, поки він ще простий

Видалення — та частина, яку всі відкладають, тож перевірте її на пристрої, яким ви керуєте. Додайте запасний телефон або ноутбук, підтвердьте, що він підключається, потім відкличте цей пристрій задокументованим методом оператора і підтвердьте, що тунель падає, поки інші працюють.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Відкликаний пристрій має перестати досягати внутрішньої адреси протягом сеансу, а не просто не зуміти перепідключитися після перезавантаження. Якщо старий сеанс продовжує працювати, відкликання не дійшло до сервера, і облікові дані все ще дійсні.

Запишіть результат у родинній нотатці, де вже перелічено пристрої, і поверніться до неї, коли телефон замінять. Схема залишається керованою лише тоді, коли ідентичності, ліміти та крок видалення всі записані.