Proton VPN op een Pi zonder scherm: app of WireGuard-bestand?

De Linux-app installeren klinkt op een Pi zonder scherm als één instructie, en het verbergt een keuze tussen twee uitrolpaden met verschillende supportgrenzen. De ene is de officiële app van de provider, die zijn eigen eisen aan distributie en architectuur meebrengt. De andere is een handmatig configuratiebestand voor een standaardclient die het besturingssysteem al meepakt. Beide bereiken dezelfde dienst, en ze zijn qua onderhoud niet uitwisselbaar.

De architectuurvraag komt eerst, want een 64-bits board kan een 32-bits gebruikersruimte draaien en de app levert er maar één van.

Twee supportgrenzen, niet twee installatieprogramma's

Lees de actuele installatiepagina van de provider voor de app die je wilt gebruiken en leg die naast het board: distributierelease, pakketarchitectuur en eventuele desktop- of sessievereisten. Dat een Pi 64-bits werking ondersteunt, zegt niet welke gebruikersruimte er nu is geïnstalleerd, en dat is de waarde die de pakketbeheerder controleert. dpkg --print-architecture en uname -m beantwoorden dat elk in één regel. Valt de release of architectuur buiten de gedocumenteerde set, dan wordt de app daar niet ondersteund, ook wanneer hij installeert.

Support verschilt ook per verpakkingsmethode. Een beperking die voor één pakketformaat is gedocumenteerd, geldt niet automatisch voor een build uit een repository, en een van Debian afgeleide distributie is niet automatisch een ondersteunde omgeving. Communitypakketten en oude installatierecepten brengen hun eigen onderhoudsmodel mee, dat je bewust kunt accepteren maar niet per ongeluk moet overnemen.

Wat de app geeft en een profiel niet

De officiële app is meer dan een verbinding: hij bevat doorgaans de kill switch van de provider, DNS-afhandeling en functieschakelaars, en de provider ondersteunt die gedragingen als geheel. Een handmatig profiel dat aan een standaardclient wordt gegeven, erft daar niets van. De handmatige client bezit de levenscyclus van de verbinding en het lokale foutbeleid, wat prima is als je ze zelf instelt en verrassend als je aanneemt dat ze meelopen. Beide opties bereiken dezelfde servers; slechts één bevat de omringende logica.

Als een functie ertoe doet, bijvoorbeeld verkeer buiten de tunnel blokkeren, moet die in jouw configuratie zitten en niet in de app van de provider.

WireGuard handmatig: de stappen die ertoe doen

De provider documenteert het genereren van een WireGuard-configuratie voor een standaardconforme client en raadt die route aan voor handmatige opstellingen, terwijl OpenVPN voor oudere apparaten behouden blijft. Genereer het profiel in het accountdashboard, breng het naar de Pi en leg het neer waar alleen de eigenaar het kan lezen. Plak het bestand nooit in een supportthread, want een vriendelijke bestandsnaam maakt de ingebedde privésleutel niet openbaar. Test daarna de tunnel met één verzoek voordat je er iets anders aan koppelt.

Servers uitfaseren is een operationeel detail dat mensen vergeten. Een handmatig gekozen eindpunt kan worden ingetrokken, en de provider merkt op dat een vervangende configuratie nodig kan zijn. Noteer welk eindpunt het profiel gebruikt, zodat een latere storing diagnoseerbaar is.

Bepaal of de Pi ook een gateway is

Een tunnel die de eigen apps van de Pi gebruiken, wordt niet automatisch een gateway voor apparaten erachter. Doorsturen, retourroutering, eigenaarschap van de resolver en elk beleid dat voorkomt dat verkeer buiten de tunnel ontsnapt, zijn een apart ontwerp met eigen faalmodi. Als andere apparaten in scope zijn, beoordeel ze als hun eigen geval in plaats van aan te nemen dat de verbinding van de Pi ze dekt. Die scheiding houdt een kleine uitrol onderhoudbaar.

Accepteer daarna de levenscyclus: een vers verzoek vanaf de Pi, naamresolutie via de bedoelde resolver en het opstart- of herverbindingsgedrag dat je hebt gepland. Controleer elk daarvan in plaats van aan te nemen dat de app of het profiel ze levert.

De mythe die je kunt laten vallen, is dat een Linux-installatieprogramma en een WireGuard-bestand dezelfde beslissing vertegenwoordigen. Het zijn twee bedrijfsmodellen met twee verschillende eigenaren.