Proton VPN na Pi bez ekranu: aplikacja czy plik WireGuard?

Instalacja aplikacji Linux brzmi na Pi bez ekranu jak jedna instrukcja, a skrywa wybór między dwiema ścieżkami wdrożenia o różnych granicach wsparcia. Jedna to oficjalna aplikacja dostawcy, która niesie własne wymagania dotyczące dystrybucji i architektury. Druga to ręczny plik konfiguracyjny używany przez standardowego klienta, którego system operacyjny już dostarcza w pakiecie. Obie docierają do tej samej usługi i nie są wymienne pod względem utrzymania.

Pytanie o architekturę jest pierwsze, bo płyta 64-bitowa może uruchamiać 32-bitową przestrzeń użytkownika, a aplikacja jest dostarczana tylko z jedną z nich.

Dwie granice wsparcia, nie dwa instalatory

Przeczytaj aktualną stronę instalacji dostawcy dla aplikacji, której chcesz użyć, i porównaj ją z płytą: wydanie dystrybucji, architektura pakietu i wszelkie wymagania dotyczące pulpitu lub sesji. To, że Pi obsługuje pracę 64-bitową, nie mówi, która przestrzeń użytkownika jest teraz zainstalowana, a właśnie tę wartość sprawdza menedżer pakietów. dpkg --print-architecture i uname -m odpowiadają na to po jednym wierszu każdy. Jeśli wydanie lub architektura wykraczają poza udokumentowany zbiór, aplikacja nie jest tam obsługiwana, nawet gdy się instaluje.

Wsparcie zależy też od metody pakowania. Ograniczenie udokumentowane dla jednego formatu pakietu nie obowiązuje automatycznie w kompilacji z repozytorium, a dystrybucja wywodząca się z Debiana nie jest automatycznie obsługiwanym środowiskiem. Pakiety społeczności i stare przepisy instalacji niosą własny model utrzymania, który możesz przyjąć świadomie, ale nie powinieneś przejmować go przypadkiem.

Co daje aplikacja, a czego nie daje profil

Oficjalna aplikacja to więcej niż połączenie: zwykle zawiera wyłącznik awaryjny dostawcy, obsługę DNS i przełączniki funkcji, a dostawca wspiera te zachowania jako całość. Ręczny profil przekazany standardowemu klientowi nie dziedziczy z tego niczego. Ręczny klient posiada cykl życia połączenia i lokalną politykę awarii, co jest w porządku, gdy skonfigurujesz je sam, i zaskakujące, gdy założysz, że przyszły razem. Obie opcje docierają do tych samych serwerów; tylko jedna zawiera otaczającą logikę.

Jeśli jakaś funkcja ma znaczenie, na przykład blokowanie ruchu poza tunelem, musi istnieć w twojej konfiguracji, a nie w aplikacji dostawcy.

WireGuard ręcznie: kroki, które mają znaczenie

Dostawca dokumentuje generowanie konfiguracji WireGuard dla klienta zgodnego ze standardem i zaleca tę drogę do ręcznej konfiguracji, zachowując OpenVPN dla starszych urządzeń. Wygeneruj profil w panelu konta, przenieś go na Pi i umieść tam, gdzie tylko właściciel może go odczytać. Nigdy nie wklejaj pliku do wątku wsparcia, bo przyjazna nazwa pliku nie czyni osadzonego klucza prywatnego publikowalnym. Następnie przetestuj tunel jednym żądaniem, zanim podłączysz do niego cokolwiek innego.

Wycofywanie serwerów to szczegół operacyjny, o którym ludzie zapominają. Ręcznie wybrany punkt końcowy może zostać wycofany, a dostawca zauważa, że może być potrzebna konfiguracja zastępcza. Zapisz, którego punktu końcowego używa profil, aby późniejszą awarię można było zdiagnozować.

Zdecyduj, czy Pi jest też bramą

Tunel używany przez własne aplikacje Pi nie staje się automatycznie bramą dla urządzeń za nim. Przekazywanie, routing zwrotny, własność resolvera i każda polityka uniemożliwiająca ruchowi wydostanie się poza tunel to osobny projekt z własnymi trybami awarii. Jeśli w zakresie są inne urządzenia, oceń je jako ich własny przypadek, zamiast zakładać, że połączenie Pi je obejmuje. To rozdzielenie utrzymuje małe wdrożenie w stanie nadającym się do utrzymania.

Następnie zaakceptuj cykl życia: świeże żądanie z Pi, rozwiązywanie nazw przez zamierzony resolver i zachowanie przy starcie lub ponownym połączeniu, które zaplanowałeś. Sprawdź każdy z nich, zamiast zakładać, że zapewnia je aplikacja lub profil.

Mit, który warto porzucić, to przekonanie, że instalator Linux i plik WireGuard oznaczają tę samą decyzję. To dwa modele działania z dwoma różnymi właścicielami.