Proton VPN na Pi bez obrazovky: aplikace, nebo soubor WireGuard?

Instalace linuxové aplikace zní na Pi bez obrazovky jako jediný pokyn, ale skrývá volbu mezi dvěma cestami nasazení s odlišnými hranicemi podpory. Jednou je oficiální aplikace poskytovatele, která nese vlastní požadavky na distribuci a architekturu. Druhou je ruční konfigurační soubor, který používá standardní klient, jenž operační systém už balí. Obě vedou ke stejné službě a z hlediska údržby nejsou zaměnitelné.

Otázka architektury přichází první, protože 64bitová deska může provozovat 32bitový uživatelský prostor a aplikace dodává jen jednu z nich.

Dvě hranice podpory, ne dva instalátory

Přečtěte si aktuální stránku poskytovatele k instalaci aplikace, kterou chcete použít, a porovnejte ji s deskou: verze distribuce, architektura balíčku a případné požadavky na pracovní plochu nebo sezení. To, že Pi podporuje 64bitový provoz, neříká, který uživatelský prostor je nyní nainstalován, a právě tuto hodnotu správce balíčků kontroluje. dpkg --print-architecture a uname -m na to odpovídají každý jedním řádkem. Pokud verze nebo architektura leží mimo dokumentovanou množinu, aplikace tam není podporována, i když se nainstaluje.

Podpora se liší i podle způsobu balení. Omezení dokumentované pro jeden formát balíčku neplatí automaticky pro sestavení z repozitáře a distribuce odvozená z Debianu není automaticky podporované prostředí. Komunitní balíčky a staré instalační postupy přinášejí vlastní model údržby, který můžete vědomě přijmout, ale neměli byste ho převzít omylem.

Co aplikace dává a profil ne

Oficiální aplikace je víc než spojení: obvykle nese kill switch poskytovatele, obsluhu DNS a přepínače funkcí a poskytovatel tyto projevy podporuje jako celek. Ruční profil předaný standardnímu klientovi nic z toho nedědí. Ruční klient vlastní životní cyklus spojení a místní politiku selhání, což je v pořádku, když si je nastavíte sami, a překvapivé, když předpokládáte, že přišly s ním. Obě možnosti dosáhnou stejných serverů; jen jedna zahrnuje okolní logiku.

Pokud na nějaké funkci záleží, například na blokování provozu mimo tunel, musí existovat ve vaší konfiguraci, ne v aplikaci poskytovatele.

WireGuard ručně: kroky, na kterých záleží

Poskytovatel dokumentuje vytvoření konfigurace WireGuard pro klienta kompatibilního se standardem a tento postup doporučuje pro ruční nastavení, přičemž OpenVPN ponechává pro starší zařízení. Vygenerujte profil v panelu účtu, přeneste ho na Pi a umístěte tam, kde ho může číst jen vlastník. Nikdy soubor nevkládejte do vlákna podpory, protože přátelský název souboru nečiní vložený soukromý klíč zveřejnitelným. Poté tunel otestujte jediným požadavkem, než k němu připojíte cokoli dalšího.

Vyřazení serverů je provozní detail, na který lidé zapomínají. Ručně zvolený koncový bod může být odvolán a poskytovatel upozorňuje, že může být zapotřebí náhradní konfigurace. Zaznamenejte, který koncový bod profil používá, aby se pozdější selhání dalo diagnostikovat.

Rozhodněte, zda je Pi také brána

Tunel, který používají vlastní aplikace Pi, se automaticky nestane bránou pro zařízení za ním. Předávání, zpětný routing, vlastnictví překladače a jakákoli politika bránící provozu uniknout mimo tunel jsou samostatný návrh s vlastními režimy selhání. Pokud jsou v rozsahu další zařízení, posuzujte je jako vlastní případ, místo abyste předpokládali, že je spojení Pi pokrývá. Právě toto oddělení udržuje malé nasazení udržovatelné.

Pak přijměte životní cyklus: nový požadavek z Pi, překlad jmen přes zamýšlený překladač a chování při startu nebo opětovném připojení, které jste naplánovali. Ověřte každý z nich, místo abyste předpokládali, že je zajistí aplikace nebo profil.

Mýtus, který stojí za to opustit, je, že linuxový instalátor a soubor WireGuard představují stejné rozhodnutí. Jsou to dva provozní modely se dvěma různými vlastníky.