Proton VPN на Pi без экрана: приложение или файл WireGuard?

Установка приложения Linux звучит на Pi без экрана как одна инструкция, но скрывает выбор между двумя путями развёртывания с разными границами поддержки. Один — официальное приложение поставщика, у которого свои требования к дистрибутиву и архитектуре. Другой — ручной файл конфигурации для стандартного клиента, который операционная система уже пакетирует. Оба ведут к одному и тому же сервису, и с точки зрения сопровождения они не взаимозаменяемы.

Вопрос архитектуры идёт первым, потому что 64-битная плата может выполнять 32-битное пространство пользователя, а приложение поставляется только с одним из них.

Две границы поддержки, а не два установщика

Прочитайте текущую страницу установки поставщика для нужного приложения и сопоставьте её с платой: выпуск дистрибутива, архитектура пакета и любые требования к рабочему столу или сеансу. То, что Pi поддерживает 64-битную работу, не говорит, какое пространство пользователя установлено сейчас, и именно это значение проверяет менеджер пакетов. dpkg --print-architecture и uname -m отвечают на это по одной строке каждый. Если выпуск или архитектура выходят за пределы документированного набора, приложение там не поддерживается, даже если устанавливается.

Поддержка зависит и от способа упаковки. Ограничение, документированное для одного формата пакета, не распространяется автоматически на сборку из репозитория, а дистрибутив на основе Debian не является автоматически поддерживаемой средой. Пакеты сообщества и старые рецепты установки несут собственную модель сопровождения, которую можно принять осознанно, но не следует перенимать случайно.

Что приложение даёт, а профиль нет

Официальное приложение — это больше, чем соединение: обычно оно несёт аварийный выключатель поставщика, обработку DNS и переключатели функций, и поставщик поддерживает эти поведения как единый набор. Ручной профиль, переданный стандартному клиенту, ничего из этого не наследует. Ручной клиент владеет жизненным циклом соединения и локальной политикой сбоев, что хорошо, когда вы настраиваете их сами, и удивительно, когда предполагаете, что они пришли вместе. Оба варианта достигают одних и тех же серверов; только один включает окружающую логику.

Если какая-то функция важна, например блокировка трафика вне туннеля, она должна быть в вашей конфигурации, а не в приложении поставщика.

WireGuard вручную: важные шаги

Поставщик документирует создание конфигурации WireGuard для стандартного клиента и рекомендует этот путь для ручной настройки, сохраняя OpenVPN для старых устройств. Создайте профиль в панели аккаунта, перенесите его на Pi и положите туда, где его сможет прочитать только владелец. Никогда не вставляйте файл в тему поддержки, потому что дружелюбное имя файла не делает встроенный приватный ключ пригодным для публикации. Затем проверьте туннель одним запросом, прежде чем подключать к нему что-либо ещё.

Вывод серверов из эксплуатации — операционная деталь, о которой люди забывают. Вручную выбранная конечная точка может быть отозвана, и поставщик отмечает, что может понадобиться замена конфигурации. Запишите, какую конечную точку использует профиль, чтобы более поздний сбой можно было диагностировать.

Решите, является ли Pi ещё и шлюзом

Туннель, который используют собственные приложения Pi, не становится автоматически шлюзом для устройств за ним. Перенаправление, обратная маршрутизация, владение резолвером и любая политика, не позволяющая трафику выйти за пределы туннеля, — это отдельный проект со своими режимами отказа. Если другие устройства входят в область, оценивайте их как отдельный случай, а не предполагайте, что соединение Pi их покрывает. Именно это разделение сохраняет небольшое развёртывание удобным в сопровождении.

Затем примите жизненный цикл: новый запрос с Pi, разрешение имён через предусмотренный резолвер и поведение загрузки или переподключения, которое вы запланировали. Проверьте каждое из них, а не предполагайте, что приложение или профиль это обеспечивает.

Миф, от которого стоит отказаться, — что установщик Linux и файл WireGuard означают одно и то же решение. Это две модели работы с двумя разными владельцами.