خاندان کے ساتھ ایک VPN لاگ اِن شیئر کرنا: بعد میں کیا ٹوٹتا ہے
مشترکہ VPN پاس ورڈ چار فیصلے چھپاتا ہے: فی ڈیوائس شناخت، سیشن کی حدیں، ہٹانا اور بحالی۔ دوسرے ڈیوائس کے جڑنے سے پہلے انھیں طے کریں۔
کسی VPN کا صارف نام اور پاس ورڈ دوسرے ڈیوائس پر کاپی کرنے میں ایک منٹ لگتا ہے اور یہ ٹھیک چلتا ہے، اور اسی لیے مسائلیں مہینوں بعد سامنے آتی ہیں۔ آپ نے جو اسناد دی ہیں وہ عام طور پر ایک ٹنل سے زیادہ کنٹرول کرتی ہیں: وہ سبسکرپشن، بحالی میل باکس اور ڈیوائس فہرست کی مالک ہو سکتی ہیں۔ دوسرے فون کے جڑنے سے پہلے واضح کریں کہ لاگ اِن اصل میں کس چیز کی اجازت دیتا ہے اور باقی ڈیوائسز کو چھوئے بغیر ایک ڈیوائس کیسے ہٹائی جائے گی۔
ایک پاس ورڈ، کئی مختلف حقوق
تجارتی VPN اکاؤنٹس عام طور پر ایک لاگ اِن کے پیچھے تین چیزیں رکھتے ہیں: ٹنل کی اسناد، بلنگ یا پلان کا ریکارڈ اور اکاؤنٹ کی بحالی کا ذریعہ۔ پہلی چیز شیئر کرنا کنکشن کا فیصلہ ہے؛ باقی دو شیئر کرنا سبسکرپشن کا کنٹرول سونپنا ہے۔ بہت سے فراہم کنندگان انھیں اسی اسناد پر رکھتے ہیں جب تک آپ جان بوجھ کر انھیں الگ نہ کریں، اس لیے سوال یہ نہیں کہ پاس ورڈ دو ڈیوائسز پر چلتا ہے یا نہیں، بلکہ یہ ہے کہ وہ اور کیا کھولتا ہے۔ آپریٹر سے پوچھیں کہ لاگ اِن تینوں میں سے کسے کنٹرول کرتا ہے، اور کیا الگ بلنگ مالک یا بحالی پتہ نامزد کیا جا سکتا ہے۔ وہی ایک جواب طے کرتا ہے کہ آپ واقعی اکاؤنٹ کا کتنا حصہ سونپ رہے ہیں۔
سرور کی طرف اکاؤنٹ ایک قطار ہے جس میں پلان اور کنکشن کاؤنٹر ہے۔ کلائنٹ ایپ اس قطار کا محض ایک منظر ہے، اور یہ ایسا کچھ بھی نافذ نہیں کرتی جسے کسی دوسرے کلائنٹ سے بچا نہ جا سکے۔ اسی لیے «ایک ڈیوائس» والا پلان سرور کے چوتھے سیشن کو مسترد کرنے تک تین ڈیوائسز سے جڑتا رہتا ہے۔
دو عنصری توثیق شیئرنگ کا سوال مزید تیز کر دیتی ہے۔ چار فونز پر درج TOTP راز اسی دوسرے عنصر کی چار نقول ہیں، اور ان میں سے کوئی بھی لاگ اِن پورا کر سکتی ہے۔ اگر اکاؤنٹ الگ ایپ پاس ورڈ یا فی ڈیوائس اندراج کی حمایت کرتا ہے تو انھیں استعمال کریں؛ اگر نہیں، تو مشترکہ دوسرے عنصر کو حل شدہ مسئلہ نہیں بلکہ معلوم کمزوری سمجھیں۔
فی ڈیوائس چابیاں ہٹانے کا معنی بدل دیتی ہیں
خود میزبان ترتیبات اس لیے مختلف ہیں کہ شناخت اکاؤنٹ کی قطار میں نہیں، کنفیگریشن میں رہتی ہے۔ ایک WireGuard پیر ایک عوامی چابی اور مجاز پتوں کا مجموعہ ہے، اور سرور اس چابی کو ملا کر مصافحہ کی اجازت دیتا ہے۔ پیر کا اندراج مٹا دیں تو ڈیوائس مصافحہ مکمل نہیں کر سکتی، چاہے اس کے پاس کوئی بھی پاس ورڈ باقی ہو۔
یہ ماڈل صاف ہٹانا دیتا ہے لیکن فی شخص حساب نہیں، جسے WireGuard ایک معلوم حد کے طور پر درج کرتا ہے۔ سرور چابیاں دیکھتا ہے، خاندان کے افراد نہیں۔
sudo wg show wg0 peers sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove sudo wg show wg0 latest-handshakes
OpenVPN تعیناتی سرٹیفکیٹ اور منسوخی فہرست کے ذریعے اسی مقام پر پہنچتی ہے: ہر کلائنٹ کو اپنا سرٹیفکیٹ ملتا ہے، اور ایک اندراج منسوخ کرنے پر باقی چلتے رہتے ہیں۔ دونوں ڈیزائنوں میں شناخت فی ڈیوائس ہے، اس لیے گمشدہ فون پورے گھر کی اسناد ری سیٹ کرنے کے بجائے ایک ہی مٹانا ہے۔
ایک ساتھ جڑنے کی حدیں سرور پر ہیں
«پانچ ڈیوائسز» بیچنے والے فراہم کنندگان عام طور پر بیک وقت چلنے والے سیشن گنتے ہیں، انسٹال شدہ ایپس نہیں۔ دو لیپ ٹاپ اور ایک فون ٹھیک ہو سکتے ہیں جبکہ تیسرا لیپ ٹاپ اکاؤنٹ کو حد سے آگے دھکیل دیتا ہے اور ایک موجودہ سیشن گر جاتا ہے۔ کلائنٹ یہ کم ہی سمجھاتا ہے، اس لیے علامت ڈگمگاتے کنکشن جیسی لگتی ہے، پلان کی حد جیسی نہیں۔
| Model | What removal costs |
|---|---|
| Shared username and password | Password change for everyone, re-enrollment on every device |
| Per-device app password | Revoke one credential, others keep working |
| Per-device key or certificate | Delete one peer or revoke one certificate |
ڈیوائسز کی تعداد کا وعدہ کرنے سے پہلے اصل قاعدے کے لیے پلان کی شرائط پڑھیں۔ کچھ سروسز کنکشن گنتی ہیں، کچھ کسی مدت میں دیکھی گئی مختلف ڈیوائسز گنتی ہیں، اور کچھ اسی مقامی نیٹ ورک پر زیادہ تعداد کی اجازت دیتی ہیں۔
دوسرے ڈیوائس سے پہلے گھر کے قواعد طے کریں
چار باتیں لکھیں: بحالی میل باکس کس کے پاس ہے، کون ڈیوائس شامل یا ہٹا سکتا ہے، پلان بدلنے پر کون ادائیگی کرتا ہے، اور کسی کے جانے پر کیا ہوگا۔ یہ ایسے پالیسی فیصلے ہیں جو کوئی بھی کلائنٹ سیٹنگ آپ کے لیے نہیں لے سکتی، اور فوری ہٹانے کی ضرورت سے پہلے ان پر اتفاق کرنا کہیں آسان ہے۔ جوابات کو ایک ایسی جگہ رکھیں جو گھر کو مل سکے، بشمول یہ کہ کون سا ڈیوائس نام کس کا ہے۔ ناموں کی فہرست ہی وہ چیز ہے جو پیر کی چابی یا ایپ پاس ورڈ کو دوبارہ ایسے شخص میں بدل دیتی ہے جسے آپ فون کر سکتے ہیں۔
ٹنل کی اسناد کو مشترکہ نوٹس اور چیٹ تاریخ سے دور رکھیں۔ مشترکہ تجوری والا پاس ورڈ مینیجر، یا آپریٹر کا جاری کردہ فی ڈیوائس اسناد، راز کو منتقلی کے قابل رکھتا ہے اور تین پیغام زنجیروں میں نقول نہیں چھوڑتا۔
یہ بھی دیکھیں کہ سروس زیر نگرانی اکاؤنٹس اور خاندانی فلٹرز کو کیسے سنبھالتی ہے، کیونکہ VPN نیٹ ورک کا راستہ بدلتا ہے مگر والدین کے کنٹرول یا ڈیوائس مینجمنٹ کی جگہ نہیں لیتا۔ پھر ہر شخص کے لیے ایک حقیقی کام جانچیں: میل، ویڈیو کال، کام کا پورٹل۔ ٹنل کا قائم ہونا اس بات کا ثبوت نہیں کہ راستے، DNS اور اسپلٹ ٹنل قواعد ہر پلیٹ فارم پر یکساں برتاؤ کرتے ہیں۔
ہٹانے کا راستہ تبھی ثابت کریں جب یہ ابھی آسان ہے
ہٹانا وہ حصہ ہے جسے سب ٹالتے ہیں، اس لیے اسے اپنے کنٹرول والے ڈیوائس پر جانچیں۔ ایک اضافی فون یا لیپ ٹاپ شامل کریں، تصدیق کریں کہ وہ جڑتا ہے، پھر اس ڈیوائس کو آپریٹر کے درج طریقے سے منسوخ کریں اور تصدیق کریں کہ باقی چلتے رہنے پر ٹنل ناکام ہو جاتا ہے۔
curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/healthمنسوخ شدہ ڈیوائس ایک سیشن کے اندر اندرونی پتے تک پہنچنا بند کر دے، صرف ری اسٹارٹ کے بعد دوبارہ نہ جڑ پانا نہیں۔ اگر پرانا سیشن چلتا رہے تو منسوخی سرور تک نہیں پہنچی اور اسناد اب بھی زندہ ہیں۔
نتیجہ گھر والے اس نوٹ میں درج کریں جو پہلے ہی ڈیوائسز کی فہرست رکھتا ہے، اور فون بدلنے پر اسے دوبارہ دیکھیں۔ یہ بندوبست تبھی سنبھالا جا سکتا ہے جب شناخت، حدیں اور ہٹانے کا مرحلہ سب لکھے ہوئے ہوں۔