Pi-hole eta VPN Pi bakarrean: oraindik onartzen al du sistemak?

Pi-hole eta VPN dituen kaxa batean bi gauza nahasten dira: instalatu duzun banaketa-familia eta osagaiek benetan onartzen duten bertsioa gehi arkitektura. Irudi bat abiarazten duen plakak nukleoa dabilela frogatzen du; ez du frogatzen Pi-hole-ren FTL binarioa eta zure VPN instalatzailea erabiltzaile-espazio berbera helburu dutenik. Benetako proba lau aldetako gainjartzea da: plakaren euskarria, bertsio-adarra, paketeen arkitektura eta zeuk gidatu dezakezun eguneratze-bidea. Lau hanka horietako edozein galduz gero, gailuak aste honetan funtzionatuko du, eta hurrengo segurtasun-eguneraketan utziko zaitu.

Bertsio-adarrak erabakitzen du euskarria, ez familiaren izenak

Galdetu proiektua zein bertsioaren aurka probatzen ari den oraindik, eta idatzi erantzuna bertsio-kate gisa, ez Debian gisa. Pi-hole-ren aurretiazko baldintzen orria onartutako sistema eragileak eta aurrez eraikitako FTL arkitekturak bi baldintza bereizi gisa zerrendatzen ditu, euskarria banaketak berak oraindik mantentzen dituen bertsioetara mugatzen du, eta ohartarazten du aldaerek edo konfigurazio ezohikoek huts egin dezaketela onartutako zerrendaren barruan ere. Formulazio horrek axola du: onartutako familia batek ez ditu bere kide guztiak estaltzen.

Zure Pi-an oraindik abiarazten den irudi zahar bat ez da euskarriaren froga. Plaka ondo dago, pakete-indizea zaharkituta dago, eta desdoitzeak geroago agertzen dira, instalatzaileak bertsioak jada ase ezin duen mendekotasun bat tiratzean.

VPN aldeak zati gehiago ditu, bakoitzak bere leihoa: tunelaren daemona, haren konfigurazioa idazten duen instalazio-laguntzailea, hornitzailearen bezero-aplikazioa eta banaketaren integrazio-paketea lau proiektu bereizi dira. Zure banaketa ezagutzen duen instalatzaile bat eta bertsioak martxan eduki dezakeen zerbitzu bat sortzen duen instalatzaile bat baieztapen desberdinak dira. Begiratu daemonaren beraren plataforma-zerrenda, eta gero begiratu exekutatu nahi duzun laguntzailea bertsio hura kaleratu zenetik ukitua izan den. Proiektu batek bertsio jakin batera arte soilik aitortzen duenean euskarria, hartu hurrengoa probatu gabe gisa zeuk abiarazi arte.

Egin bat helburu binarioa daukazun erabiltzaile-espazioarekin

Arkitektura da huts egite isileneko. 64 biteko nukleo bat 32 biteko erabiltzaile-lurrarekin benetako konbinazio onartua da hainbat plakatan, eta 32 biteko FTL binarioa kexarik gabe exekutatzen du, arm64rako soilik argitaratutako zerbait instalatzen duzun unera arte. Inprimatu bi erdiak irudi bat aukeratu aurretik, eta gorde irteera zure oharren ondoan.

uname -m
dpkg --print-architecture
grep -E '^(PRETTY_NAME|VERSION_ID)=' /etc/os-release
apt-cache policy pihole-ftl

Arkitektura-lerro horiek bat ez datozenean, muntaia mistoan zaude: Pi-hole bakarrik egiteko modukoa, hauskorra bigarren zerbitzu batek liburutegi natiboa nahi duen unean. 64 biteko irudi garbi bat berririkaztea azkarragoa izan ohi da desdoitzea sortu zuen tresna-katea berreraikitzea baino.

Plakaren marketinak ere ez du hau konpontzen. Memoriaren tamainak eta CPU ereduak ez dute ezer esaten zure paketeak zein libcrekin lotzen diren, beraz erabaki inprimatutako balioen arabera, inoiz ez produktuaren orriaren arabera.

Kaxa bat, bi zerbitzu, sarearen jabe bakarra

Erabaki nor den helbideratzearen, ebazlearen eta tunelaren jabe lehen paketea igo aurretik, bestela bi zerbitzuk betebehar bera aldarrikatuko dute eta inork ez du garbi irabaziko. Eman Pi-ri helbide estatikoa zure routerrak banatzen duen DHCP multzotik kanpo, eta eduki tunela bere azpisare propia: 192.168.50.10 Pi-rako eta 10.42.0.0/24 tunelerako banaketa bideragarria da, eta zenbakiak beraiek arbitrarioak dira zure routerrak jada zerbitzatzen duenarekin talka egiten ez duten bitartean. Gero idatzi zein osagai erantzuten duen 53 portuan, zeinek banatzen duen DHCP erabiltzen baduzu, eta zeinenak den ibilbide lehenetsia tunela goran dagoen bitartean. Grafiko ingurune gabeko irudi batean, azken zeregin hori NetworkManager edo systemd-networkd-rena da, eta hornitzailearen bezero bat instalatzea, ebazlearen konfigurazioa ere berridazten duena da jendea tunel bizi eta DNS hilarekin amaitzen den bidea.

Kaxa partekatzea ondo dago. Rola partekatzea ez. Pi-hole-k 53 portuko entzule bakarra izan nahi du, eta VPN daemonak bere DNS ezarpena bezeroei bultzatu nahi die, beraz aukeratu zeini fidatu behar dioten bezeroek eta konfiguratu bestea bideitik kanpo egoteko.

Eduki administrazio-bidea tunelatik kanpo ahal duzunean. Ebazleak eta tunelak batera huts egiten badute, oraindik nahi duzu SSH LAN helbidean irisgarri, eta horrek esan nahi du kudeaketa-zerbitzuak ez duela bietako baten mendeko izan behar.

Egin hurrengo eguneratzea aukeraren parte

Eguneratu ezin duzun bertsio bat jada onartu duzun euskarri-sabaia da. Probatu eguneratze-mekanika ordezko txartel batean gailuak zure etxeko DNS-a eraman aurretik, eta irakurri proiektuek adarren artean saltzeaz esaten dutena, pakete-eguneratzea nahikoa dela suposatu beharrean.

sudo apt update
apt-mark showhold
sudo apt full-upgrade
pihole -up

Atxikitako paketeak dira eguneratze batek arrakastatsu ematen duen eta ezer aldatzen ez duen arrazoi ohikoa. Askatu atxikipenak nahita, banan-banan, eta ohartu zein zerbitzuk behar zuen finkapena.

Jauzi aurretik, esportatu Pi-hole-ren konfigurazioa, errenta estatikoa eta tunel-profil guztiak, eta egiaztatu irudi berri batean leheneratu ditzakezula. Jauzi ondoren, probatu bezeroen DNS arrunta, tunelaren atzeko baliabide pribatua, berrikonexioa eta pasabideko birbidalketa-arauak. Abiarazi eta pingi erantzuten dion kaxa batek ia ezer ez du gainditu.

Bertsio bakar batek bi zerbitzuekin bat egiten ez duenean

Batzuetan gainjartzea hutsa da: VPN laguntzailea instalatu dezakezun Pi-hole paketea baino bertsio berriago batera joan da, edo plakaren saltzailearen irudia bien atzetik dabil. Kasu horretan bereizi rolak, bertsio-metadatuak instalatzaile bat asetzeko editatu beharrean. Bi gailu txiki, edo gailu bat gehi bigarren zerbitzurako edukiontzi bat, gutxiago balio dute euskarri-istorioa gezur baten gainean duen gailu bat baino.

Bertsioa faltsutzea da buruari uko egin behar diozun bide bakarra. Pakete-kudeatzaileek bertsio-fitxategiak dioena sinesten dute, beraz identifikatzaile faltsu batek inongo proiekturik lagunduko ez dizun instalazioa ematen dizu.

Bi uneko bertsio guztia betetzen badute, aukeratu eguneratze-oharrak asmatu gabe jarraitu ditzakezun hori, eta utzi bilatzeari. Gero erregistratu bertsioa, arkitektura, zerbitzuen jabeak eta leheneratze-pausoa leku bakarrean, SD txartela ukituko duen hurrengo pertsonak lauak beharko ditu eta.