Pi-hole og VPN på éin Pi: vert operativsystemet framleis støtta?

I ein kombinert Pi-hole- og VPN-boks blandast to ting: distribusjonsfamilien du installerte, og utgivinga pluss arkitekturen komponentane faktisk støttar. Eit kort som startar eit image, provar at kjernen køyrer; det provar ikkje at FTL-binæren til Pi-hole og VPN-installatøren din siktar mot same brukarrom. Den verkelege prøva er ei firedelt overlapping av kortstøtte, utgivingsgrein, pakkearkitektur og ein oppgraderingsveg du sjølv kan styre. Mistar du eitt av desse fire beina, verkar apparatet denne veka og lèt deg i stikken ved neste tryggingsoppdatering.

Utgivingsgreina avgjer støtta, ikkje familienamnet

Spør kva utgiving prosjektet framleis testar mot, og skriv svaret som ein versjonsstreng i staden for Debian. Sida om føresetnader hos Pi-hole listar støtta operativsystem og førehandsbygde FTL-arkitekturar som to separate krav, avgrensar støtta til utgivingar som distribusjonen sjølv framleis vedlikeheld, og åtvarar om at variantar eller uvanlege konfigurasjonar kan feile sjølv innanfor den støtta lista. Den formuleringa betyr noko: ein støtta familie dekkjer ikkje kvar einaste medlem av seg.

Eit gammalt image som framleis startar på Pi-en din, er ikkje prov på støtte. Kortet er i orden, pakkeindeksen er utdatert, og avviket dukkar opp seinare, når ein installatør dreg inn ei avhengnad som utgivinga ikkje lenger kan oppfylle.

VPN-sida har fleire delar, kvar med sitt eige vindauge: tunneldaemonen, installasjonshjelparen som skriv konfigurasjonen hans, klientappen til leverandøren og integrasjonspakken til distribusjonen er fire separate prosjekt. Ein installatør som kjenner att distribusjonen din, og ein installatør som lagar ei teneste utgivinga kan halde gåande, er to ulike påstandar. Slå opp den eigen plattformlista til daemonen, og slå deretter opp om hjelparen du vil køyre er vorten rørt sidan den utgivinga kom. Der eit prosjekt berre oppgir støtte til og med ei namngitt utgiving, skal du handsame den neste som uprøvd til du sjølv har starta ho.

Tilpass det binære målet til brukarrommet du har

Arkitektur er den stillare feilen. Ein 64-bitars kjerne med eit 32-bitars brukarland er ein reell, støtta kombinasjon på fleire kort, og han køyrer ein 32-bitars FTL-binær utan klager, heilt til du installerer noko som berre blir publisert for arm64. Skriv ut båe halvdelane før du vel eit image, og hald utdata ved notata dine.

uname -m
dpkg --print-architecture
grep -E '^(PRETTY_NAME|VERSION_ID)=' /etc/os-release
apt-cache policy pihole-ftl

Viss dei to arkitekturlinjene ikkje stemmer, er du på eit blanda oppsett: brukbart for Pi-hole åleine, skjørt så snart ei anna teneste vil ha innfødde bibliotek. Å flashe eit reint 64-bitars image på nytt er vanlegvis raskare enn å byggje verktøykjeda som skapte avviket på nytt.

Kortmarknadsføring avgjer heller ikkje dette. Minnestorleik og CPU-modell seier ingenting om kva libc pakkane dine lenkjer mot, så avgjer ut frå dei trykte verdiane, aldri ut frå produktsida.

Éin boks, to tenester, éin eigar av nettet

Avgjer kven som eig adressering, resolver og tunnel før den første pakken blir sett inn, elles vil to tenester krevje den same plikta, og ingen vinn reint. Gje Pi-en ei statisk adresse utanfor DHCP-bassenget rutaren din deler ut, og hald tunnelen på sitt eige subnett: 192.168.50.10 for Pi-en og 10.42.0.0/24 for tunnelen er ein brukbar deling, og tala sjølve er vilkårlege så lenge dei ikkje kolliderer med det rutaren din allereie tener. Skriv så ned kva komponent som svarar på port 53, kven som deler ut DHCP viss du brukar det, og kven som eig standardruta medan tunnelen er oppe. På eit hovudlaust image høyrer den siste jobben til NetworkManager eller systemd-networkd, og å installere ein leverandørklient som også skriv om resolverkonfigurasjonen er korleis folk endar med ein levande tunnel og daud DNS.

Å dele boksen er greitt. Å dele ei rolle er det ikkje. Pi-hole vil vere den einaste lyttaren på port 53, og VPN-daemonen vil skyve si eiga DNS-innstilling ut til klientane, så vel kven av dei to klientane skal stole på, og konfigurer den andre til å halde seg unna.

Hald administrasjonsvegen utanfor tunnelen der du kan. Viss resolversen og tunnelen sviktar saman, vil du framleis kunne nå SSH på LAN-adressa, og det tyder at administrasjonstenesta ikkje kan henge saman med nokon av dei.

Gjer den neste oppgraderinga til ein del av valet

Ei utgiving du ikkje kan oppgradere, er eit støttetak du allereie har godteke. Test oppgraderingsmekanikken på eit reservekort før apparatet ber DNS-en til husstanden din, og les kva prosjekta seier om å hoppe mellom greiner i staden for å tru at ei pakkeoppgradering er nok.

sudo apt update
apt-mark showhold
sudo apt full-upgrade
pihole -up

Tilbakehaldne pakkar er den vanlege grunnen til at ei oppgradering ser vellukka ut og ikkje endrar noko. Fjern tilbakehalda med vilje, éin om gongen, og noter kva teneste som trong festinga.

Før hoppet eksporterer du Pi-hole-konfigurasjonen, dei statiske leasane og alle tunnelprofilane, og stadfester at du kan gjenopprette dei på eit ferskt image. Etter hoppet testar du vanleg klient-DNS, den private ressursen bak tunnelen, ei gjenoppkopling og kvar einaste vidaresendingsregel på gatewayen. Ein boks som startar og svarar på ping, har greidd nesten ingenting.

Når inga einskild utgiving passar til båe tenestene

Av og til er overlappinga tom: VPN-hjelparen har flytt til ei nyare utgiving enn Pi-hole-pakken du kan installere, eller leverandørimaget til kortet ligg bak båe. I så fall skil du rollene i staden for å endre utgivingsmetadata for å gjere ein installatør nøgd. To små einingar, eller éi eining pluss ein container for den andre tenesta, kostar mindre enn eit apparat der støttehistoria kviler på ei løgn.

Å forfalske versjonen er den einaste snarvegen du bør avvise blankt. Pakkehandsamarane trur på det utgivingsfila seier, så ein forfalska identifikator gjev deg ein installasjon som ingen av dei to prosjekta vil hjelpe deg å feilsøkje.

Viss to gjeldande utgivingar oppfyller alt, vel den der du kan følgje oppgraderingsnotata utan å gjette, og slutt å leite. Skriv så ned versjonen, arkitekturen, tenesteeigarane og gjenopprettingstrinnet på éin stad, for den neste personen som tek på SD-kortet treng alle fire.