Pi-hole ja VPN ühel Pi-l: kas operatsioonisüsteem on veel toetatud?

Ühendatud Pi-hole’i ja VPN-i masinas lähevad segi kaks asja: paigaldatud distributsiooni perekond ning väljalase ja arhitektuur, mida komponendid tegelikult toetavad. Plaat, mis pildi buudib, tõestab, et tuum töötab; see ei tõesta, et Pi-hole’i FTL-binaarfail ja teie VPN-i paigaldaja sihivad sama kasutajaruumi. Tõeline proov on neljapidine kattuvus: plaadi tugi, väljalaske haru, paketi arhitektuur ja uuendustee, mida saate ise juhtida. Kaotage ükskõik milline neist neljast jalast ja seade töötab sel nädalal, jättes teid maha järgmise turvauuenduse juures.

Tuge määrab väljalaske haru, mitte perekonna nimi

Küsige, millise väljalaske vastu projekt veel testib, ja kirjutage vastus versioonistringina, mitte Debianina. Pi-hole’i eeltingimuste leht loetleb toetatud operatsioonisüsteemid ja eelnevalt ehitatud FTL-arhitektuurid kahe eraldi nõudena, piirab tuge väljalasetega, mida distributsioon ise veel hooldab, ja hoiatab, et variandid või ebatavalised konfiguratsioonid võivad ebaõnnestuda ka toetatud nimekirja sees. See sõnastus loeb: toetatud perekond ei kata kõiki selle liikmeid.

Vana pilt, mis teie Pi-l veel buudib, ei ole tõestus toest. Plaat on korras, paketiindeks on aegunud, ja lahknevus ilmneb hiljem, kui paigaldaja tõmbab sõltuvuse, mida väljalase enam rahuldada ei suuda.

VPN-i poolel on rohkem osi, igal oma aken: tunnelidaemon, selle konfiguratsiooni kirjutav paigaldusabiline, teenusepakkuja klientrakendus ja distributsiooni integratsioonipakett on neli eraldi projekti. Paigaldaja, mis tunneb ära teie distributsiooni, ja paigaldaja, mis loob teenuse, mida väljalase suudab töös hoida, on erinevad väited. Otsige daemoni enda platvorminimekiri ja seejärel, kas abiline, mida kavatsete käivitada, on pärast selle väljalaske ilmumist puudutatud. Kui projekt teatab toest ainult nimetatud väljalaskeni, käsitlege järgmist katsetamata, kuni olete selle ise buudinud.

Sobitage binaarne sihtmärk teie kasutajaruumiga

Arhitektuur on vaiksem tõrge. 64-bitine tuum 32-bitise kasutajamaaga on mitmel plaadil tõeline, toetatud kombinatsioon ja see jooksutab 32-bitist FTL-binaarfaili nurisemata, kuni hetkeni, mil paigaldate midagi, mida avaldatakse ainult arm64 jaoks. Trükkige enne pildi valimist mõlemad pooled välja ja hoidke väljund oma märkmete kõrval.

uname -m
dpkg --print-architecture
grep -E '^(PRETTY_NAME|VERSION_ID)=' /etc/os-release
apt-cache policy pihole-ftl

Kui need kaks arhitektuuririda ei klapi, olete segasüsteemil: üksi Pi-hole’i jaoks toimiv, habras niipea, kui teine teenus tahab natiivseid teeke. Puhtale 64-bitisele pildile ümberkirjutamine on tavaliselt kiirem kui lahknevuse tekitanud tööriistaketi ümberehitamine.

Plaadi turundus ei otsusta seda samuti. Mälu suurus ja CPU mudel ei ütle midagi selle kohta, millise libc vastu teie paketid lingitakse, seega otsustage trükitud väärtuste põhjal, mitte kunagi tootelehe põhjal.

Üks masin, kaks teenust, üks võrgu omanik

Otsustage, kellele kuuluvad adresseerimine, resolver ja tunnel, enne kui esimene pakett peale läheb, sest muidu hakkavad kaks teenust nõudma sama kohustust ja kumbki ei võida puhtalt. Andke Pi-le staatiline aadress väljapoole DHCP-basseini, mida teie ruuter jagab, ja hoidke tunnel oma alamsüsteemis: 192.168.50.10 Pi jaoks ja 10.42.0.0/24 tunneli jaoks on üks toimiv jaotus, ja numbrid ise on suvalised, kuni need ei põrka sellega, mida teie ruuter juba teenindab. Seejärel kirjutage üles, milline komponent vastab pordil 53, milline jagab DHCP-d, kui te seda kasutate, ja milline omab vaikimisi marsruuti, kui tunnel on üleval. Ilma graafilise keskkonnata pildil kuulub see viimane töö NetworkManagerile või systemd-networkd-le, ja teenusepakkuja kliendi paigaldamine, mis kirjutab ümber ka resolveri konfiguratsiooni on tee, millega inimesed jõuavad elava tunneli ja surnud DNS-ini.

Masina jagamine on korras. Rolli jagamine ei ole. Pi-hole tahab olla ainus kuulaja pordil 53 ja VPN-daemon tahab lükata oma DNS-seade kliendini, seega valige, kumba kahest kliendid peaksid usaldama, ja seadistage teine eemale hoiduma.

Hoidke haldustee tunnelist eemal, kus saate. Kui resolver ja tunnel korraga alla annavad, tahate ikka, et SSH oleks LAN-aadressil kättesaadav, ja see tähendab, et haldusteenus ei tohi kummastki sõltuda.

Tehke järgmine uuendus valiku osaks

Väljalase, mida te ei saa uuendada, on toe ülempiir, mille olete juba vastu võtnud. Testige uuendusmehhanismi varukaardil enne, kui seade hakkab kandma teie majapidamise DNS-i, ja lugege, mida projektid ütlevad harude vahel hüppamise kohta, selle asemel et eeldada, et paketiuuendusest piisab.

sudo apt update
apt-mark showhold
sudo apt full-upgrade
pihole -up

Kinnipeetud paketid on tavaline põhjus, miks uuendus näib õnnestuvat ja ei muuda midagi. Vabastage kinnipidamised meelega, ükshaaval, ja märkige üles, milline teenus nõudis kinnitust.

Enne hüpet eksportige Pi-hole’i konfiguratsioon, staatilised liisingud ja kõik tunneliprofiilid ning kinnitage, et saate need värskele pildile taastada. Pärast hüpet testige tavalist kliendi-DNS-i, tunneli taga olevat privaatset ressurssi, taasühendust ja mis tahes edastusreeglit lüüsil. Masin, mis buudib ja vastab pingile, ei ole peaaegu midagi läbinud.

Kui ükski üksik väljalase ei sobi mõlema teenusega

Mõnikord on kattuvus tühi: VPN-i abiline on liikunud uuemale väljalaskele kui Pi-hole’i pakett, mille saate paigaldada, või plaadi tootja pilt jääb mõlemast maha. Sel juhul eraldage rollid, selle asemel et paigaldaja rahuldamiseks väljalaske metaandmeid muuta. Kaks väikest seadet või üks seade pluss konteiner teise teenuse jaoks maksavad vähem kui seade, mille toe lugu põhineb valel.

Versiooni võltsimine on ainus otsetee, millest tuleks otse keelduda. Paketihaldurid usaldavad seda, mida väljalaskefail ütleb, seega võltsitud identifikaator annab teile paigalduse, mille silumisel ei aita teid kumbki projekt.

Kui kaks kehtivat väljalaset rahuldavad kõike, valige see, mille uuendusmärkmeid saate ilma oletusteta järgida, ja lõpetage otsimine. Seejärel kirjutage versioon, arhitektuur, teenuste omanikud ja taastamissamm ühte kohta, sest järgmisel inimesel, kes SD-kaarti puudutab, läheb vaja kõiki nelja.