Proton VPN en un Pi sense pantalla: aplicació o fitxer WireGuard?

Instal·lar l’aplicació Linux sembla una sola instrucció en un Pi sense pantalla, i amaga una tria entre dos camins de desplegament amb límits de suport diferents. Un és l’aplicació oficial del proveïdor, que porta els seus propis requisits de distribució i arquitectura. L’altre és un fitxer de configuració manual que utilitza un client estàndard que el sistema operatiu ja empaqueta. Tots dos arriben al mateix servei, i no són intercanviables en termes de manteniment.

La pregunta de l’arquitectura va primer, perquè una placa de 64 bits pot executar un espai d’usuari de 32 bits i l’aplicació només distribueix un dels dos.

Dos límits de suport, no dos instal·ladors

Llegeix la pàgina d’instal·lació actual del proveïdor per a l’aplicació que vols fer servir i compara-la amb la placa: versió de la distribució, arquitectura del paquet i qualsevol requisit d’escriptori o de sessió. Que un Pi admeti funcionament de 64 bits no diu quin espai d’usuari hi ha instal·lat ara, i aquest és el valor que comprova el gestor de paquets. dpkg --print-architecture i uname -m ho responen en una línia cadascun. Si la versió o l’arquitectura queden fora del conjunt documentat, l’aplicació no hi té suport encara que s’instal·li.

El suport també varia segons el mètode d’empaquetament. Una limitació documentada per a un format de paquet no s’aplica automàticament a una compilació de repositori, i una distribució derivada de Debian no és automàticament un entorn compatible. Els paquets de la comunitat i les receptes d’instal·lació antigues porten el seu propi model de manteniment, que pots acceptar deliberadament però no hauries d’adoptar per accident.

Què et dona l’aplicació que un perfil no

L’aplicació oficial és més que una connexió: normalment porta l’interruptor d’emergència del proveïdor, la gestió de DNS i els commutadors de funcions, i el proveïdor dona suport a aquests comportaments com un conjunt. Un perfil manual lliurat a un client estàndard no n’hereta res. El client manual posseeix el cicle de vida de la connexió i la política local de fallada, cosa que va bé quan els configures tu mateix i sorprèn quan assumes que venien inclosos. Totes dues opcions arriben als mateixos servidors; només una inclou la lògica del voltant.

Si una funció importa, per exemple bloquejar el trànsit fora del túnel, ha d’existir a la teva configuració i no a l’aplicació del proveïdor.

WireGuard manualment: els passos que importen

El proveïdor documenta com generar una configuració de WireGuard per a un client compatible amb l’estàndard i recomana aquest camí per a configuracions manuals, reservant OpenVPN per a dispositius més antics. Genera el perfil al tauler del compte, porta’l al Pi i col·loca’l on només el propietari el pugui llegir. No enganxis mai el fitxer en un fil de suport, perquè un nom de fitxer amable no fa publicable la clau privada incrustada. Després prova el túnel amb una sola petició abans de connectar-hi res més.

La retirada de servidors és un detall operatiu que la gent oblida. Un extrem triat manualment es pot retirar, i el proveïdor assenyala que pot caldre una configuració de substitució. Anota quin extrem fa servir el perfil perquè una fallada posterior sigui diagnosticable.

Decideix si el Pi també és una passarel·la

Un túnel usat per les aplicacions del propi Pi no es converteix automàticament en una passarel·la per als dispositius que hi ha al darrere. El reenviament, l’encaminament de tornada, la propietat del resolutor i qualsevol política que impedeixi que el trànsit surti fora del túnel són un disseny separat amb els seus propis modes de fallada. Si altres dispositius entren en abast, avalua’ls com el seu propi cas en lloc d’assumir que la connexió del Pi els cobreix. Aquesta separació és el que manté manejable un desplegament petit.

Després accepta el cicle de vida: una petició nova del Pi, la resolució de noms pel resolutor previst i el comportament d’arrencada o reconnexió que has planificat. Verifica cadascun en lloc d’assumir que l’aplicació o el perfil els proporcionen.

El mite que val la pena deixar és que un instal·lador de Linux i un fitxer WireGuard representen la mateixa decisió. Són dos models de funcionament amb dos propietaris diferents.