Proton VPN su un Pi senza schermo: applicazione o file WireGuard?

Installare l’applicazione Linux sembra una sola istruzione su un Pi senza schermo, e nasconde una scelta tra due percorsi di distribuzione con limiti di supporto diversi. Uno è l’applicazione ufficiale del fornitore, che porta con sé i propri requisiti di distribuzione e architettura. L’altro è un file di configurazione manuale usato da un client standard che il sistema operativo già pacchettizza. Entrambi raggiungono lo stesso servizio, e non sono intercambiabili in termini di manutenzione.

La domanda sull’architettura viene prima, perché una scheda a 64 bit può eseguire uno spazio utente a 32 bit e l’applicazione ne fornisce solo uno dei due.

Due limiti di supporto, non due programmi di installazione

Leggi la pagina di installazione attuale del fornitore per l’applicazione che intendi usare e confrontala con la scheda: versione della distribuzione, architettura del pacchetto e qualsiasi requisito di desktop o sessione. Il fatto che un Pi supporti il funzionamento a 64 bit non dice quale spazio utente sia installato ora, ed è quel valore che controlla il gestore dei pacchetti. dpkg --print-architecture e uname -m rispondono ciascuno in una riga. Se la versione o l’architettura cadono fuori dall’insieme documentato, l’applicazione non è supportata lì anche quando si installa.

Il supporto varia anche in base al metodo di pacchettizzazione. Una limitazione documentata per un formato di pacchetto non si applica automaticamente a una build da repository, e una distribuzione derivata da Debian non è automaticamente un ambiente supportato. I pacchetti della comunità e le vecchie ricette di installazione portano il proprio modello di manutenzione, che puoi accettare deliberatamente ma non dovresti adottare per caso.

Ciò che l’applicazione dà e un profilo no

L’applicazione ufficiale è più di una connessione: di solito porta il kill switch del fornitore, la gestione del DNS e gli interruttori delle funzioni, e il fornitore supporta questi comportamenti come insieme. Un profilo manuale consegnato a un client standard non ne eredita nulla. Il client manuale possiede il ciclo di vita della connessione e la politica locale dei guasti, il che va bene quando li configuri tu stesso e sorprende quando presupponi che siano arrivati insieme. Entrambe le opzioni raggiungono gli stessi server; solo una include la logica circostante.

Se una funzione conta, per esempio bloccare il traffico fuori dal tunnel, deve esistere nella tua configurazione e non nell’applicazione del fornitore.

WireGuard a mano: i passaggi che contano

Il fornitore documenta la generazione di una configurazione WireGuard per un client compatibile con lo standard e consiglia quella via per le installazioni manuali, riservando OpenVPN ai dispositivi più vecchi. Genera il profilo nella dashboard dell’account, portalo sul Pi e collocalo dove solo il proprietario possa leggerlo. Non incollare mai il file in un thread di supporto, perché un nome di file amichevole non rende pubblicabile la chiave privata incorporata. Poi prova il tunnel con una sola richiesta prima di collegarci qualsiasi altra cosa.

Il ritiro dei server è un dettaglio operativo che le persone dimenticano. Un endpoint scelto a mano può essere ritirato, e il fornitore segnala che potrebbe servire una configurazione sostitutiva. Annota quale endpoint usa il profilo così che un guasto successivo sia diagnosticabile.

Decidi se il Pi è anche un gateway

Un tunnel usato dalle applicazioni del Pi non diventa automaticamente un gateway per i dispositivi che stanno dietro. L’inoltro, l’instradamento di ritorno, la proprietà del resolver e qualsiasi politica che impedisca al traffico di uscire fuori dal tunnel sono un progetto separato con i propri modi di guasto. Se altri dispositivi sono nel perimetro, valutali come caso a sé invece di dare per scontato che la connessione del Pi li copra. È quella separazione che mantiene gestibile un piccolo impianto.

Poi accetta il ciclo di vita: una richiesta nuova dal Pi, la risoluzione dei nomi tramite il resolver previsto e il comportamento di avvio o riconnessione che hai pianificato. Verifica ciascuno invece di presupporre che l’applicazione o il profilo lo forniscano.

Il mito da abbandonare è che un programma di installazione Linux e un file WireGuard rappresentino la stessa decisione. Sono due modelli operativi con due proprietari diversi.