每台设备一个 VPN 身份：为什么共享会让移除失效

一个配置文件被复制到笔记本、手机和平板电脑上，在丢失其中一台之前都还好用。到那时，选择只有两个：中断所有共享该身份的设备，或者把不该保留的访问留在原地。两种都比当初花十分钟发三个身份更糟。机制并不复杂：VPN 对端是一条授权记录，每台设备一条记录，才能让移除变成一次精确操作。

共享配置文件共享了什么

复制私钥就等于复制整份授权：对端条目、隧道地址，以及挂在它上面的所有路由和策略。服务器无法区分这些副本，因为协议按密钥识别对端，而不是按设备。每一行日志、每一个限额、每一次吊销决定，都作用于整个组。所以共享配置文件不是带一点安全成本的便利，而是挂着多台设备的单点故障。

同样的逻辑也适用于只持有一张证书的共享账号。

用你手上的身份模型来发放

WireGuard 部署可以为每台设备授权各自的对端密钥。基于证书的部署可以从自己的签发机构签发单独的客户端证书。账户系统则可能按产品不同，把用户与独立的设备记录组合起来。请走运营方支持的注册流程，因为在服务器或网关认可对应授权之前，本地新生成的密钥毫无用处。

受支持的路径，也是能活过下一次升级的路径。

不含机密的清单

把设备标签、公开标识符和责任人放进一份可检索的清单。不要把私钥抄进这份清单，否则资产清单就变成了凭据库。

一行“安娜的笔记本，对端公钥，三月 12 日签发”就足够动手了。

移除是一套流程，不是一个按钮

记录如何精确停用一台设备，以及活动会话是否需要单独的终止步骤。检查持久性，别让重启或旧配置备份把授权带回来。用被移除的设备尝试连接来确认移除已经生效。然后再检查还有哪些东西引用了那个身份，比如监控探针或共享路由。

人们跳过的那一步正是最后一步，而它也是唯一能证明变更的一步。

更换顺序

先签发新设备，对照它需要的资源做验证，然后再下线旧设备。例外是暴露风险：如果旧设备可能已在别人手里，就先移除它，并接受这次中断。

无论如何，在退役硬件离开大楼之前，先检查其中保存的导出文件。

独立身份带来什么

三件事，而且每一件都会在事件中出现：

• 吊销一台设备而不碰其他设备。
• 把连接归到某台设备，而不是归到一个组。
• 在不收集所有人活动的前提下解释一次故障。

运营方的指引才是其自身发放模型的权威，无论是 WireGuard 快速入门 里那样的逐对端密钥，还是本地机构签发的单独证书。记录彼此独立，正是“能推理的机群”和“只能整体重置的机群”之间的差别。