Pi-hole en VPN op ien Pi: wurdt it bestjoeringssysteem noch stipe?

Op in kombinearre Pi-hole- en VPN-doaze reitsje twa dingen trochinoar: de distribúsjefamylje dy’t jo ynstalleare hawwe en de útjefte plus argitektuer dy’t de komponinten echt stypje. In board dat in image boot, bewiist dat de kernel draait; it bewiist net dat Pi-hole syn FTL-binêre en jo VPN-ynstallearder itselde brûkersromte as doel hawwe. De echte test is in fjouwerfâldige oerlap fan boardstipe, útjefte-tûke, pakketargitektuer en in upgrade-paad dy’t jo sels ride kinne. Ferlies ien fan dy fjouwer skonken en it apparaat wurket dizze wike, en lit jo dan yn ’e steek by de folgjende feilichheidsfernijing.

De útjefte-tûke bepaalt de stipe, net de famyljenamme

Freegje foar hokker útjefte it projekt noch testet, en skriuw it antwurd del as in ferzje-string ynstee fan Debian. Pi-hole syn side mei betingsten listet stipe bestjoeringssystemen en foarboude FTL-argitektueren as twa aparte easken, beheint stipe ta útjefte dy’t de distribúsje sels noch ûnderhâldt, en warskôget dat farianten of ûngewoane konfiguraasjes mislearje kinne sels binnen de stipe list. Dy formulearring docht der ta: in stipe famylje dekt net elk lid derfan.

In âld image dat noch op jo Pi boot, is gjin bewiis fan stipe. It board is goed, de pakket-yndeks is ferâldere, en de misferhâlding docht him letter foar, as in ynstallearder in ôfhinklikens lûkt dy’t de útjefte net mear befêstigje kin.

De VPN-kant hat mear ûnderdielen, elk mei syn eigen finster: de tunnel-daemon, de ynstallaasje-helper dy’t syn konfiguraasje skriuwt, de kliïntapp fan ’e oanbieder en it yntegraasjepakket fan ’e distribúsje binne fjouwer aparte projekten. In ynstallearder dy’t jo distribúsje werkent en in ynstallearder dy’t in tsjinst makket dy’t de útjefte draaiende hâlde kin, binne ferskillende bewearingen. Sykje de eigen platfoarmlist fan ’e daemon op, en sykje dan op oft de helper dy’t jo rinne wolle oanrekke is sûnt dy útjefte ferskynde. Wêr’t in projekt stipe allinnich oant in neamde útjefte ferklearret, behannelje de folgjende as net test oant jo it sels boot hawwe.

Bring it binêre doel yn oerienstimming mei de brûkersromte dy’t jo hawwe

Argitektuer is de stilere mislearring. In 64-bits kernel mei in 32-bits brûkerslân is in echte, stipe kombinaasje op ferskate boards, en it draait in 32-bits FTL-binêre sûnder klacht, oant it momint dat jo eat ynstallearje dat allinnich foar arm64 publisearre wurdt. Printsje beide helten foardat jo in image kieze, en hâld de útfier by jo notysjes.

uname -m
dpkg --print-architecture
grep -E '^(PRETTY_NAME|VERSION_ID)=' /etc/os-release
apt-cache policy pihole-ftl

As dy twa argitektuerlinen net oerienkomme, sitte jo op in mingde opset: wurkber foar Pi-hole allinnich, bros sadree’t in twadde tsjinst lânseigen biblioteken wol. Opnij flashe nei in skjin 64-bits image is meastentiids flugger as it werbouwen fan ’e ark-selstsjinst dy ’t de misferhâlding makke hat.

Boardmarketing beslist dit ek net. Ûnthâldgrutte en CPU-model sizze neat oer hokker libc jo pakketten oan keppele wurde, dus beslute út ’e printe wearden, nea út ’e produkt pagina.

Ien doaze, twa tsjinsten, ien eigner fan it netwurk

Besluite wa’t adressearring, de resolfer en de tunnel besit foardat it earste pakket derop giet, want oars easkje twa tsjinsten deselde plicht op en wint gjinien skjin. Jou de Pi in statysk adres bûten de DHCP-pool dy’t jo router útjout, en hâld de tunnel op syn eigen subnet: 192.168.50.10 foar de Pi en 10.42.0.0/24 foar de tunnel is ien wurkbere splitsing, en de sifers sels binne willekeurich salang se net botsing komme mei wat jo router al tsjinnet. Skriuw dan del hokker komponint op poarte 53 antwurdet, hokker DHCP útdielt as jo it brûke, en hokker de standertrûte besit wylst de tunnel omheech is. Op in image sûnder skerm heart dy lêste taak ta NetworkManager of systemd-networkd, en in oanbieder-kliïnt ynstallearje dy’t ek de resolver-konfiguraasje weromskriuwt is hoe’t minsken einigje mei in libbene tunnel en deade DNS.

De doaze diele is goed. In rol diele net. Pi-hole wol de iennichste listener op poarte 53 wêze, en de VPN-daemon wol syn eigen DNS-ynstelling nei kliïnten triuwe, dus kies wa’t fan ’e twa de kliïnten fertrouwe moatte en konfigurearje de oare om bûten it paad te bliuwen.

Hâld it behearskingspaad bûten de tunnel wêr’t jo kinne. As de resolfer en de tunnel tegearre mislearje, wolle jo SSH noch altyd berikber hawwe op it LAN-adres, en dat betsjut dat de beheartsjinst net fan ien fan beiden ôfhingje mei.

Meitsje de folgjende upgrade diel fan ’e kar

In útjefte dy’t jo net upgrade kinne is in stipeplafond dat jo al akseptearre hawwe. Test de upgrademeganika op in reservekaart foardat it apparaat de DNS fan jo húshâlding draacht, en lês wat de projekten sizze oer springen tusken tûken ynstee fan oan te nimmen dat in pakketupgrade genôch is.

sudo apt update
apt-mark showhold
sudo apt full-upgrade
pihole -up

Fasthâlden pakketten binne de gewoane reden dat in upgrade súksesfol liket en neat feroaret. Meitsje de holds bewust ien foar ien los, en notearje hokker tsjinst de pin nedich hie.

Foar de sprong, eksportearje de Pi-hole-konfiguraasje, de statyske leases en alle tunnelprofilen, en befêstigje dat jo se op in farsk image weromsette kinne. Nei de sprong, test gewoane kliïnt-DNS, de private boarne efter de tunnel, in werferbining, en elke trochstjoerregel op ’e gateway. In doaze dy’t boot en ping antwurdet, hat hast neat helle.

As gjin inkele útjefte by beide tsjinsten past

Soms is de oerlap leech: de VPN-helper is nei in nijere útjefte ferhuze as it Pi-hole-pakket dat jo ynstallearje kinne, of it leveransiersimage fan it board rint efter beide oan. Yn dat gefal skied de rollen ynstee fan útjefte-metadata te bewurkjen om in ynstallearder tefreden te stellen. Twa lytse apparaten, of ien apparaat plus in container foar de twadde tsjinst, kostje minder as in apparaat waans stipeferhaal op in leagen rêstet.

De ferzje ferfalskje is de iene koarte wei dy’t jo rjocht út wegerje moatte. Pakketbehearders fertrouwe wat it útjeftebestân seit, dus in ferfalske identifikaasje jout jo in ynstallaasje dy’t gjin fan beide projekten helpe sil by it debuggen.

As twa aktuele útjefte alles befêstigje, kies dy’t jo upgrade-notysjes sûnder rieden folgje kinne, en stopje mei sykjen. Skriuw dan de ferzje, de argitektuer, de tsjinst-eigners en de weromsetstap op ien plak, want de folgjende persoan dy’t de SD-kaart oanrekket hat alle fjouwer nedich.