Proton VPN на Pi без графичен интерфейс: приложение или файл WireGuard?

Инсталирането на приложението Linux звучи като една инструкция на Pi без графичен интерфейс, а крие избор между два пътя за внедряване с различни граници на поддръжка. Единият е официалното приложение на доставчика, което носи собствени изисквания за дистрибуция и архитектура. Другият е ръчен конфигурационен файл, използван от стандартен клиент, който операционната система вече пакетира. И двата достигат до една и съща услуга и не са взаимозаменяеми от гледна точка на поддръжка.

Въпросът за архитектурата идва първи, защото 64-битова платка може да изпълнява 32-битово потребителско пространство, а приложението се доставя само с едно от двете.

Две граници на поддръжка, не два инсталатора

Прочетете текущата страница за инсталиране на доставчика за приложението, което възнамерявате да използвате, и я съпоставете с платката: издание на дистрибуцията, архитектура на пакета и всякакви изисквания за работен плот или сесия. Това, че Pi поддържа 64-битова работа, не казва кое потребителско пространство е инсталирано сега, а точно тази стойност проверява мениджърът на пакети. dpkg --print-architecture и uname -m отговарят на това с по един ред всяка. Ако изданието или архитектурата са извън документирания набор, приложението там не се поддържа, дори когато се инсталира.

Поддръжката варира и според метода на пакетиране. Ограничение, документирано за един формат на пакет, не се прилага автоматично за изграждане от хранилище, а дистрибуция, произлязла от Debian, не е автоматично поддържана среда. Общностните пакети и старите рецепти за инсталиране носят собствен модел на поддръжка, който можете да приемете съзнателно, но не бива да възприемате случайно.

Какво дава приложението, а профилът не

Официалното приложение е повече от връзка: то обикновено носи аварийния превключвател на доставчика, обработката на DNS и превключвателите на функции, и доставчикът поддържа тези поведения като набор. Ръчният профил, предаден на стандартен клиент, не наследява нищо от това. Ръчният клиент притежава жизнения цикъл на връзката и локалната политика при отказ, което е добре, когато ги настроите сами, и изненадващо, когато предполагате, че са дошли заедно. И двата варианта достигат до същите сървъри; само един включва обкръжаващата логика.

Ако дадена функция е важна, например блокиране на трафика извън тунела, тя трябва да съществува в конфигурацията ви, а не в приложението на доставчика.

WireGuard ръчно: стъпките, които имат значение

Доставчикът документира генерирането на конфигурация WireGuard за клиент, съвместим със стандарта, и препоръчва този път за ръчни настройки, като запазва OpenVPN за по-стари устройства. Генерирайте профила в таблото на акаунта, донесете го на Pi и го поставете там, където само собственикът може да го чете. Никога не поставяйте файла в тема за поддръжка, защото приятелското име на файл не прави вградения частен ключ публикуем. След това тествайте тунела с една заявка, преди да свържете нещо друго към него.

Извеждането на сървъри от експлоатация е оперативен детайл, който хората забравят. Ръчно избрана крайна точка може да бъде оттеглена и доставчикът отбелязва, че може да е необходима заместваща конфигурация. Запишете коя крайна точка използва профилът, за да може по-късен отказ да бъде диагностициран.

Решете дали Pi е и шлюз

Тунел, използван от собствените приложения на Pi, не става автоматично шлюз за устройствата зад него. Пренасочването, обратното маршрутизиране, собствеността върху резолвера и всяка политика, която не позволява на трафика да излезе извън тунела, са отделен дизайн със собствени режими на отказ. Ако други устройства са в обхвата, оценявайте ги като отделен случай, вместо да предполагате, че връзката на Pi ги покрива. Именно това разделение прави малкото внедряване поддържаемо.

След това приемете жизнения цикъл: нова заявка от Pi, разрешаване на имена чрез предвидения резолвер и поведението при зареждане или повторно свързване, което сте планирали. Проверете всяко от тях, вместо да предполагате, че приложението или профилът го осигурява.

Митот, който си заслужава да бъде изоставен, е, че инсталаторът за Linux и файлът WireGuard представляват едно и също решение. Това са два модела на работа с двама различни собственици.