Proton VPN en una Pi sin pantalla: ¿aplicación o archivo WireGuard?

Instalar la aplicación Linux suena a una sola instrucción en una Pi sin pantalla, y esconde una elección entre dos rutas de despliegue con límites de soporte distintos. Una es la aplicación oficial del proveedor, que lleva sus propios requisitos de distribución y arquitectura. La otra es un archivo de configuración manual que usa un cliente estándar que el sistema operativo ya empaqueta. Ambas llegan al mismo servicio, y no son intercambiables en términos de mantenimiento.

La pregunta de la arquitectura va primero, porque una placa de 64 bits puede ejecutar un espacio de usuario de 32 bits y la aplicación solo se distribuye para uno de los dos.

Dos límites de soporte, no dos instaladores

Lea la página de instalación actual del proveedor para la aplicación que piensa usar y compárela con la placa: versión de la distribución, arquitectura del paquete y cualquier requisito de escritorio o de sesión. Que una Pi admita funcionamiento de 64 bits no dice qué espacio de usuario hay instalado ahora, y ese es el valor que comprueba el gestor de paquetes. dpkg --print-architecture y uname -m lo responden en una línea cada uno. Si la versión o la arquitectura quedan fuera del conjunto documentado, la aplicación no tiene soporte allí aunque se instale.

El soporte también varía según el método de empaquetado. Una limitación documentada para un formato de paquete no se aplica automáticamente a una compilación de repositorio, y una distribución derivada de Debian no es automáticamente un entorno compatible. Los paquetes de la comunidad y las recetas de instalación antiguas traen su propio modelo de mantenimiento, que puede aceptar a propósito pero no debería adoptar por accidente.

Qué le da la aplicación que un perfil no

La aplicación oficial es más que una conexión: normalmente lleva el interruptor de emergencia del proveedor, el manejo de DNS y los conmutadores de funciones, y el proveedor respalda esos comportamientos como un conjunto. Un perfil manual entregado a un cliente estándar no hereda nada de eso. El cliente manual posee el ciclo de vida de la conexión y la política local de fallos, lo que está bien cuando los configura usted mismo y sorprende cuando asume que venían incluidos. Ambas opciones llegan a los mismos servidores; solo una incluye la lógica del entorno.

Si una función importa, por ejemplo bloquear el tráfico fuera del túnel, tiene que existir en su configuración y no en la aplicación del proveedor.

WireGuard a mano: los pasos que importan

El proveedor documenta la generación de una configuración WireGuard para un cliente compatible con el estándar y recomienda esa ruta para instalaciones manuales, reservando OpenVPN para dispositivos más antiguos. Genere el perfil en el panel de la cuenta, llévelo a la Pi y colóquelo donde solo el propietario pueda leerlo. Nunca pegue el archivo en un hilo de soporte, porque un nombre de archivo amable no hace publicable la clave privada incrustada. Después pruebe el túnel con una sola petición antes de conectarle cualquier otra cosa.

La retirada de servidores es un detalle operativo que la gente olvida. Un extremo elegido a mano puede retirarse, y el proveedor señala que puede hacer falta una configuración de reemplazo. Anote qué extremo usa el perfil para que un fallo posterior sea diagnosticable.

Decida si la Pi también es una puerta de enlace

Un túnel usado por las propias aplicaciones de la Pi no se convierte automáticamente en una puerta de enlace para los dispositivos que están detrás. El reenvío, el enrutamiento de retorno, la propiedad del resolutor y cualquier política que impida que el tráfico escape fuera del túnel son un diseño aparte con sus propios modos de fallo. Si hay otros dispositivos en el alcance, evalúelos como su propio caso en lugar de asumir que la conexión de la Pi los cubre. Esa separación es lo que mantiene manejable un despliegue pequeño.

Después acepte el ciclo de vida: una petición nueva desde la Pi, la resolución de nombres por el resolutor previsto y el comportamiento de arranque o reconexión que haya planificado. Verifique cada uno en lugar de asumir que la aplicación o el perfil lo aportan.

El mito que conviene abandonar es que un instalador de Linux y un archivo WireGuard representan la misma decisión. Son dos modelos de funcionamiento con dos propietarios distintos.