Proton VPN num Pi sem ecrã: aplicação ou ficheiro WireGuard?

Instalar a aplicação Linux parece uma única instrução num Pi sem ecrã, e esconde uma escolha entre dois caminhos de implementação com limites de suporte diferentes. Um é a aplicação oficial do fornecedor, que traz os seus próprios requisitos de distribuição e arquitetura. O outro é um ficheiro de configuração manual usado por um cliente padrão que o sistema operativo já empacota. Ambos chegam ao mesmo serviço, e não são intercambiáveis em termos de manutenção.

A pergunta da arquitetura vem primeiro, porque uma placa de 64 bits pode estar a executar um espaço de utilizador de 32 bits e a aplicação só fornece um deles.

Dois limites de suporte, não dois instaladores

Leia a página de instalação atual do fornecedor para a aplicação que pretende usar e compare-a com a placa: versão da distribuição, arquitetura do pacote e qualquer requisito de ambiente de trabalho ou sessão. O facto de o Pi suportar funcionamento de 64 bits não diz qual espaço de utilizador está instalado agora, e é esse o valor que o gestor de pacotes verifica. dpkg --print-architecture e uname -m respondem numa linha cada. Se a versão ou a arquitetura ficarem fora do conjunto documentado, a aplicação não tem suporte ali mesmo quando se instala.

O suporte também varia com o método de empacotamento. Uma limitação documentada para um formato de pacote não se aplica automaticamente a uma compilação de repositório, e uma distribuição derivada de Debian não é automaticamente um ambiente suportado. Os pacotes da comunidade e as receitas de instalação antigas trazem o seu próprio modelo de manutenção, que pode aceitar deliberadamente mas não deve adotar por acidente.

O que a aplicação dá e o perfil não

A aplicação oficial é mais do que uma ligação: normalmente traz o interruptor de emergência do fornecedor, o tratamento de DNS e os comutadores de funcionalidades, e o fornecedor suporta esses comportamentos como um conjunto. Um perfil manual entregue a um cliente padrão não herda nada disso. O cliente manual é dono do ciclo de vida da ligação e da política local de falhas, o que está bem quando os configura você mesmo e surpreende quando assume que vieram juntos. Ambas as opções chegam aos mesmos servidores; só uma inclui a lógica em volta.

Se uma funcionalidade importa, por exemplo bloquear o tráfego fora do túnel, tem de existir na sua configuração e não na aplicação do fornecedor.

WireGuard à mão: os passos que importam

O fornecedor documenta a geração de uma configuração WireGuard para um cliente compatível com a norma e recomenda esse caminho para configurações manuais, mantendo o OpenVPN para dispositivos mais antigos. Gere o perfil no painel da conta, leve-o para o Pi e coloque-o onde só o proprietário o possa ler. Nunca cole o ficheiro num tópico de suporte, porque um nome de ficheiro amigável não torna a chave privada incorporada publicável. Depois teste o túnel com um único pedido antes de ligar mais alguma coisa.

A retirada de servidores é um detalhe operacional de que as pessoas se esquecem. Um ponto final escolhido à mão pode ser retirado, e o fornecedor nota que pode ser precisa uma configuração de substituição. Registe que ponto final o perfil usa para que uma falha posterior seja diagnosticável.

Decida se o Pi também é uma gateway

Um túnel usado pelas próprias aplicações do Pi não se torna automaticamente uma gateway para os dispositivos que estão atrás dele. O encaminhamento, o encaminhamento de retorno, a propriedade do resolvedor e qualquer política que impeça o tráfego de escapar para fora do túnel são um desenho separado com os seus próprios modos de falha. Se outros dispositivos estiverem no âmbito, avalie-os como o seu próprio caso em vez de assumir que a ligação do Pi os cobre. É essa separação que mantém uma implementação pequena sustentável.

Depois aceite o ciclo de vida: um pedido novo a partir do Pi, resolução de nomes pelo resolvedor previsto e o comportamento de arranque ou reconexão que planeou. Verifique cada um em vez de assumir que a aplicação ou o perfil o fornece.

O mito que vale a pena largar é que um instalador Linux e um ficheiro WireGuard representam a mesma decisão. São dois modelos de funcionamento com dois proprietários diferentes.