Proton VPN auf einem Pi ohne Bildschirm: App oder WireGuard-Datei?

Die Linux-App zu installieren klingt auf einem Pi ohne Bildschirm nach einer einzigen Anweisung, und doch verbirgt sich dahinter eine Wahl zwischen zwei Bereitstellungswegen mit unterschiedlichen Supportgrenzen. Der eine ist die offizielle Anwendung des Anbieters, die eigene Anforderungen an Distribution und Architektur mitbringt. Der andere ist eine manuelle Konfigurationsdatei für einen Standardclient, den das Betriebssystem bereits mitliefert. Beide erreichen denselben Dienst, und sie sind im Hinblick auf die Wartung nicht austauschbar.

Die Architekturfrage kommt zuerst, denn ein 64-Bit-Board kann einen 32-Bit-Benutzerraum ausführen, und die Anwendung wird nur für einen davon ausgeliefert.

Zwei Supportgrenzen, nicht zwei Installationsprogramme

Lesen Sie die aktuelle Installationsseite des Anbieters für die gewünschte Anwendung und gleichen Sie sie mit dem Board ab: Distributionsrelease, Paketarchitektur und etwaige Desktop- oder Sitzungsanforderungen. Dass ein Pi 64-Bit-Betrieb unterstützt, sagt nicht, welcher Benutzerraum jetzt installiert ist, und genau diesen Wert prüft der Paketmanager. dpkg --print-architecture und uname -m beantworten das jeweils in einer Zeile. Liegt das Release oder die Architektur außerhalb der dokumentierten Menge, wird die Anwendung dort nicht unterstützt, selbst wenn sie sich installieren lässt.

Der Support hängt auch von der Paketierungsmethode ab. Eine für ein Paketformat dokumentierte Einschränkung gilt nicht automatisch für einen Build aus einem Repository, und eine von Debian abgeleitete Distribution ist nicht automatisch eine unterstützte Umgebung. Community-Pakete und alte Installationsrezepte bringen ihr eigenes Wartungsmodell mit, das man bewusst annehmen kann, aber nicht versehentlich übernehmen sollte.

Was die App bietet, ein Profil aber nicht

Die offizielle Anwendung ist mehr als eine Verbindung: Sie bringt üblicherweise den Not-Aus-Schalter des Anbieters, die DNS-Behandlung und Funktionsschalter mit, und der Anbieter unterstützt diese Verhaltensweisen als Gesamtpaket. Ein manuelles Profil, das einem Standardclient übergeben wird, erbt davon nichts. Der manuelle Client besitzt den Verbindungslebenszyklus und die lokale Fehlerrichtlinie, was in Ordnung ist, wenn man sie selbst konfiguriert, und überraschend, wenn man annimmt, sie kämen mit. Beide Optionen erreichen dieselben Server; nur eine enthält die umgebende Logik.

Wenn eine Funktion wichtig ist, etwa das Blockieren von Verkehr außerhalb des Tunnels, muss sie in Ihrer Konfiguration vorhanden sein und nicht in der Anwendung des Anbieters.

WireGuard von Hand: die entscheidenden Schritte

Der Anbieter dokumentiert das Erzeugen einer WireGuard-Konfiguration für einen standardkonformen Client und empfiehlt diesen Weg für manuelle Einrichtungen, während OpenVPN für ältere Geräte erhalten bleibt. Erzeugen Sie das Profil im Kontodashboard, bringen Sie es auf den Pi und legen Sie es dort ab, wo nur der Eigentümer es lesen kann. Fügen Sie die Datei niemals in einen Support-Thread ein, denn ein freundlicher Dateiname macht den eingebetteten privaten Schlüssel nicht veröffentlichbar. Testen Sie dann den Tunnel mit einer einzigen Anfrage, bevor Sie etwas anderes damit verbinden.

Die Außerbetriebnahme von Servern ist ein Betriebsdetail, das Menschen vergessen. Ein manuell gewählter Endpunkt kann zurückgezogen werden, und der Anbieter weist darauf hin, dass eine Ersatzkonfiguration nötig sein kann. Notieren Sie, welchen Endpunkt das Profil nutzt, damit ein späterer Ausfall diagnostizierbar bleibt.

Entscheiden Sie, ob der Pi auch ein Gateway ist

Ein Tunnel, den die eigenen Anwendungen des Pi nutzen, wird nicht automatisch zum Gateway für Geräte dahinter. Weiterleitung, Rückrouting, Resolver-Eigentum und jede Richtlinie, die verhindert, dass Verkehr außerhalb des Tunnels entweicht, sind ein eigenes Design mit eigenen Fehlermodi. Wenn weitere Geräte im Spiel sind, bewerten Sie sie als eigenen Fall, statt anzunehmen, die Verbindung des Pi decke sie ab. Diese Trennung hält eine kleine Bereitstellung wartbar.

Akzeptieren Sie dann den Lebenszyklus: eine frische Anfrage vom Pi, Namensauflösung über den vorgesehenen Resolver und das geplante Start- oder Wiederverbindungsverhalten. Prüfen Sie jedes davon, statt anzunehmen, die App oder das Profil liefere es.

Der Mythos, den man fallen lassen sollte, lautet, ein Linux-Installationsprogramm und eine WireGuard-Datei stünden für dieselbe Entscheidung. Es sind zwei Betriebsmodelle mit zwei verschiedenen Eigentümern.