与家人共用一个 VPN 登录：以后会出什么问题

把 VPN 的用户名和密码复制到第二台设备只需一分钟就能用好，正因如此，问题往往几个月后才浮现。你交出去的凭据通常管的不只是一条隧道：它可能同时是订阅、找回邮箱和设备列表的所有者。在第二部手机连上之前，先弄清 这个登录究竟授权了什么，以及怎样在不影响其他设备的前提下移除其中一台。

一个密码，几种不同的权限

商业 VPN 账户通常把三样东西绑在同一个登录上：隧道凭据、计费或套餐记录，以及账户找回渠道。分享第一样是连接层面的决定；分享后两样等于交出订阅的控制权。许多服务商在你主动拆分之前一直让它们共用一套凭据，所以问题不是密码能不能在两台设备上用，而是它还能打开什么。问清楚运营商：登录控制的是这三样里的哪一样，能否另设计费所有人或找回地址。这一个答案决定了你实际交出去多少账户权限。

在服务器一侧，账户只是一行记录，带着套餐和连接计数。客户端应用只是这行记录的一个视图，它拦不住你换一个客户端绕过限制。所以「一台设备」的套餐照样能从三台设备连上，直到服务器决定拒绝第四个会话。

双因素认证让共享这件事更尖锐。一个 TOTP 密钥登记在四部手机上，就等于同一个第二因素的四个副本，任何一份都能通过登录。如果账户支持独立的应用专用密码或按设备登记，就用它们；如果不支持，就把共享的第二因素当作已知弱点，而不是已经解决的问题。

按设备发放的密钥改变了「移除」的含义

自建方案不一样，因为身份存在于配置里，而不在账户记录里。一个 WireGuard peer 是一把公钥加一组允许的地址，服务器通过比对这把公钥来放行握手。删掉 peer 条目，那台设备就完成不了握手，无论它手里还留着什么密码。

这种模式能干净地移除设备，却没有按人记账，WireGuard 也把它记为已知限制。服务器看到的是密钥，不是家庭成员。

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

OpenVPN 部署靠证书和吊销列表达到同样的效果：每个客户端拿到自己的证书，吊销一条记录不影响其他设备。两种设计里身份都落在设备上，所以手机丢了只需删一条，而不是给全家重置凭据。

并发上限在服务器一侧

卖「五台设备」的服务商通常数的是同时在线会话，而不是装了多少个应用。两台笔记本加一部手机可能没事，第三台笔记本一上来就把账户顶过上限，已有的一个会话被踢掉。客户端很少解释这一点，于是症状看起来像连接不稳，而不是套餐边界。

在承诺设备数量之前，先读套餐条款确认实际规则。有的服务按连接数算，有的按一段时间内出现的不同设备算，还有的在同一局域网内允许更多数量。

在第二台设备之前定好家里规矩

写下四件事：谁保管找回邮箱，谁能添加或移除设备，套餐变更时谁付钱，以及有人搬走时怎么办。这些是客户端设置替你做不了的政策决定，而且赶在急需移除之前商量，会容易得多。把答案放在家里找得到的地方，包括哪台设备名对应哪个人。真正把 peer 公钥或应用密码变回一个能打电话的人，是那份名单。

别把隧道凭据留在共享笔记和聊天记录里。带共享保险库的密码管理器，或由运营商按设备发放的凭据，既能让秘密可以转交，又不会在三段对话里留下副本。

还要看服务怎么处理受监护账户和家庭管控，因为 VPN 只改网络路径，替代不了家长控制或设备管理。然后给每个人测一件真实的事：邮件、视频通话、工作门户。隧道能起来，并不证明路由、DNS 和分流规则在每个平台上表现一致。

趁移除还简单的时候先演练一遍

移除是所有人都往后拖的那一步，所以先在你控制的设备上测。加一部备用手机或笔记本，确认能连上，然后按运营商文档里的方法吊销那台设备，确认其他设备照常工作而它连不上。

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

被吊销的设备应该在一个会话之内就够不到内网地址，而不只是重启后连不上。如果旧会话还在工作，说明吊销没到服务器，凭据仍然有效。

把结果写进那份已经列着设备的家庭笔记，换手机时再回头看一遍。只有身份、上限和移除步骤都写下来，这套安排才管得住。