Proton VPN op ’n kopadlose Pi: program of WireGuard-lêer?

Om die Linux-program te installeer klink na een opdrag op ’n kopadlose Pi, en dit verberg ’n keuse tussen twee ontplooiingsroetes met verskillende ondersteuningsgrense. Die een is die verskaffer se amptelike program, wat sy eie verspreidings- en argitektuurvereistes het. Die ander is ’n handmatige konfigurasielêer wat deur ’n standaardkliënt gebruik word wat die bedryfstelsel reeds verpak. Albei bereik dieselfde diens, en hulle is nie in onderhoudsterme uitruilbaar nie.

Die argitektuurvraag kom eerste, want ’n 64-bis bord kan ’n 32-bis gebruikersruimte laat loop en die program lewer net een van hulle.

Twee ondersteuningsgrense, nie twee installeerders nie

Lees die verskaffer se huidige installasiebladsy vir die program wat jy wil gebruik en pas dit teen die bord: verspreidingsvrystelling, pakketargitektuur en enige lessenaar- of sessievereiste. ’n Pi wat 64-bis werking ondersteun, sê nie watter gebruikersruimte nou geïnstalleer is nie, en dit is die waarde wat die pakketbestuurder nagaan. dpkg --print-architecture en uname -m antwoord dit elk in een reël. As die vrystelling of argitektuur buite die gedokumenteerde stel val, word die program daar nie ondersteun nie, selfs wanneer dit installeer.

Ondersteuning wissel ook per verpakkingsmetode. ’n Beperking wat vir een pakketformaat gedokumenteer is, geld nie outomaties vir ’n bewaarbou nie, en ’n Debian-afgeleide verspreiding is nie outomaties ’n ondersteunde omgewing nie. Gemeenskapspakkette en ou installasieresette bring hul eie onderhoudsmodel mee, wat jy doelbewus kan aanvaar maar nie per ongeluk moet oorneem nie.

Wat die program jou gee wat ’n profiel nie doen nie

Die amptelike program is meer as ’n verbinding: dit dra gewoonlik die verskaffer se doodskakelaar, DNS-hantering en funksieskakelaars, en die verskaffer ondersteun daardie gedrag as ’n stel. ’n Handmatige profiel wat aan ’n standaardkliënt gegee word, erf niks daarvan nie. Die handmatige kliënt besit die verbindingslewensiklus en die plaaslike foutbeleid, wat goed is wanneer jy dit self opstel en verrassend wanneer jy aanneem dat dit saamgekom het. Albei opsies bereik dieselfde bedieners; net een sluit die omliggende logika in.

As ’n funksie saak maak, byvoorbeeld om verkeer buite die tonnel te blokkeer, moet dit in jou konfigurasie bestaan eerder as in die verskaffer se program.

WireGuard met die hand: die stappe wat saak maak

Die verskaffer dokumenteer die opwekking van ’n WireGuard-konfigurasie vir ’n standaardversoenbare kliënt en beveel daardie roete vir handmatige opstellings aan, met OpenVPN vir ouer toestelle. Genereer die profiel in die rekeningpaneel, bring dit na die Pi en plaas dit waar net die eienaar dit kan lees. Moet nooit die lêer in ’n ondersteuningsdraad plak nie, want ’n vriendelike lêernaam maak nie die ingebedde private sleutel publiseerbaar nie. Toets dan die tonnel met ’n enkele versoek voordat jy iets anders daarop aansluit.

Bedieneraftrede is ’n operasionele detail wat mense vergeet. ’n Handmatig gekose eindpunt kan onttrek word, en die verskaffer noem dat ’n vervangingskonfigurasie dalk nodig is. Teken aan watter eindpunt die profiel gebruik sodat ’n latere fout gediagnoseer kan word.

Besluit of die Pi ook ’n poort is

’n Tonnel wat deur die Pi se eie programme gebruik word, word nie outomaties ’n poort vir toestelle agter dit nie. Deurstuur, terugroetering, oplosser-eienaarskap en enige beleid wat verhoed dat verkeer buite die tonnel ontsnap, is ’n aparte ontwerp met sy eie foutmodusse. As ander toestelle in die prentjie is, beoordeel hulle as hul eie geval eerder as om aan te neem dat die Pi se verbinding hulle dek. Daardie skeiding is wat ’n klein ontplooiing onderhoudbaar hou.

Aanvaar dan die lewensiklus: ’n vars versoek van die Pi, naamoplossing deur die beoogde oplosser, en die opstart- of herverbindingsgedrag wat jy beplan het. Verifieer elkeen eerder as om aan te neem dat die program of die profiel dit voorsien.

Die mite wat die moeite werd is om te laat vaar, is dat ’n Linux-installeerder en ’n WireGuard-lêer dieselfde besluit verteenwoordig. Hulle is twee bedryfsmodelle met twee verskillende eienaars.