Proton VPN på en Pi uden skærm: app eller WireGuard-fil?

At installere Linux-appen lyder som én instruktion på en Pi uden skærm, og den skjuler et valg mellem to udrulningsveje med forskellige supportgrænser. Den ene er udbyderens officielle app, som bærer sine egne krav til distribution og arkitektur. Den anden er en manuel konfigurationsfil, som bruges af en standardklient, som styresystemet allerede pakker. Begge når den samme tjeneste, og de er ikke udskiftelige, hvad angår vedligeholdelse.

Arkitekturen kommer først, fordi et 64-bit-kort kan køre et 32-bit-brugerrum, og appen leveres kun med ét af dem.

To supportgrænser, ikke to installationsprogrammer

Læs udbyderens aktuelle installationsside for den app, du vil bruge, og hold den op mod kortet: distributionsudgave, pakkearkitektur og eventuelle krav til skrivebord eller session. At en Pi understøtter 64-bit drift fortæller ikke, hvilket brugerrum der er installeret nu, og det er den værdi, pakkehåndteringen kontrollerer. dpkg --print-architecture og uname -m svarer på det med hver sin linje. Hvis udgaven eller arkitekturen falder uden for det dokumenterede sæt, understøttes appen ikke der, selv når den installeres.

Support varierer også efter pakningsmetode. En begrænsning, der er dokumenteret for ét pakkeformat, gælder ikke automatisk for et build fra et lager, og en Debian-baseret distribution er ikke automatisk et understøttet miljø. Fællesskabspakker og gamle installationsopskrifter medbringer deres egen vedligeholdelsesmodel, som du kan acceptere bevidst, men ikke bør overtage ved et uheld.

Hvad appen giver dig, som en profil ikke gør

Den officielle app er mere end en forbindelse: den bærer typisk udbyderens kill switch, DNS-håndtering og funktionskontakter, og udbyderen understøtter disse adfærdsformer som et sæt. En manuel profil, der gives til en standardklient, arver intet af det. Standardklienten ejer forbindelsens livscyklus og den lokale fejlpolitik, hvilket er fint, når du selv konfigurerer dem, og overraskende, når du antager, at de fulgte med. Begge muligheder når de samme servere; kun én inkluderer den omgivende logik.

Hvis en funktion betyder noget, for eksempel at blokere trafik uden for tunnelen, skal den findes i din konfiguration i stedet for i udbyderens app.

WireGuard manuelt: de trin, der betyder noget

Udbyderen dokumenterer generering af en WireGuard-konfiguration til en standardkompatibel klient og anbefaler den vej til manuelle opsætninger, mens OpenVPN beholdes til ældre enheder. Generér profilen i kontoens dashboard, tag den med til Pi’en, og læg den, hvor kun ejeren kan læse den. Indsæt aldrig filen i en supporttråd, for et venligt filnavn gør ikke den indlejrede private nøgle offentlig. Test derefter tunnelen med en enkelt anmodning, før du tilslutter noget andet til den.

Udfasning af servere er en driftsdetalje, som folk glemmer. Et manuelt valgt endepunkt kan trækkes tilbage, og udbyderen bemærker, at en erstatningskonfiguration kan være nødvendig. Notér, hvilket endepunkt profilen bruger, så en senere fejl kan diagnosticeres.

Beslut, om Pi’en også er en gateway

En tunnel, som Pi’ens egne applikationer bruger, bliver ikke automatisk en gateway for enheder bag den. Videresendelse, returrouting, resolver-ejerskab og enhver politik, der forhindrer trafik i at slippe ud uden for tunnelen, er et separat design med sine egne fejltilstande. Hvis andre enheder er i spil, skal de vurderes som deres egen sag i stedet for at antage, at Pi’ens forbindelse dækker dem. Den adskillelse er det, der holder en lille udrulning vedligeholdelsesvenlig.

Accepter derefter livscyklussen: en frisk anmodning fra Pi’en, navneopløsning gennem den tilsigtede resolver og den opstarts- eller genopkoblingsadfærd, du planlagde. Bekræft hver af dem i stedet for at antage, at appen eller profilen leverer dem.

Myten, der er værd at droppe, er, at et Linux-installationsprogram og en WireGuard-fil repræsenterer den samme beslutning. De er to driftsmodeller med to forskellige ejere.