Pi-hole i VPN na jednom Pi: podržava li se operativni sistem još?

Na kombinovanoj kutiji s Pi-holeom i VPN-om miješaju se dvije stvari: porodica distribucije koju ste instalirali i izdanje plus arhitektura koje komponente zapravo podržavaju. Ploča koja se podiže s imagea dokazuje da kernel radi; ne dokazuje da FTL binarni fajl Pi-holea i vaš VPN instalater ciljaju isti korisnički prostor. Pravi test je četverostruko preklapanje podrške ploče, grane izdanja, arhitekture paketa i puta nadogradnje koji možete sami voditi. Izgubite bilo koju od te četiri noge i uređaj radi ove sedmice, a onda vas ostavi na sljedećem sigurnosnom ažuriranju.

Podršku određuje grana izdanja, a ne ime porodice

Pitajte prema kojem izdanju projekat još testira, pa odgovor zapišite kao string verzije, a ne kao Debian. Stranica s preduslovima Pi-holea navodi podržane operativne sisteme i unaprijed izgrađene FTL arhitekture kao dva odvojena zahtjeva, ograničava podršku na izdanja koja sama distribucija još održava i upozorava da varijante ili neobične konfiguracije mogu pasti čak i unutar podržane liste. Ta formulacija je važna: podržana porodica ne pokriva svakog njenog člana.

Star image koji se još podiže na vašem Pi-ju nije dokaz podrške. Ploča je u redu, indeks paketa je zastario, a neusklađenost se pokaže kasnije, kad instalater povuče zavisnost koju izdanje više ne može zadovoljiti.

VPN strana ima više dijelova, svaki sa svojim prozorom: tunelski daemon, instalacijski pomoćnik koji piše njegovu konfiguraciju, klijentska aplikacija provajdera i integracijski paket distribucije su četiri odvojena projekta. Instalater koji prepoznaje vašu distribuciju i instalater koji proizvodi servis koji izdanje može održati u radu dvije su različite tvrdnje. Provjerite vlastitu listu platformi daemona, pa provjerite je li pomoćnik koji namjeravate pokrenuti diran od kad je to izdanje objavljeno. Gdje projekat navodi podršku samo do imenovanog izdanja, tretirajte sljedeće kao neprovjereno dok ga sami ne podignete.

Uskladite binarni cilj s korisničkim prostorom koji imate

Arhitektura je tiši kvar. 64-bitni kernel sa 32-bitnim korisničkim prostorom stvarna je, podržana kombinacija na nekoliko ploča i pokreće 32-bitni FTL binarni fajl bez prigovora, sve do trenutka kad instalirate nešto što se objavljuje samo za arm64. Ispišite obje polovine prije nego što odaberete image i držite izlaz uz svoje bilješke.

uname -m
dpkg --print-architecture
grep -E '^(PRETTY_NAME|VERSION_ID)=' /etc/os-release
apt-cache policy pihole-ftl

Ako se ta dva arhitekturna reda ne slažu, na mješovitom ste postavu: izvodljivom za sam Pi-hole, krhkom kad druga usluga zatraži nativne biblioteke. Ponovno flešovanje na čist 64-bitni image obično je brže od ponovne izgradnje lanca alata koji je stvorio neusklađenost.

Marketinški materijal ploče ni to ne rješava. Veličina memorije i model CPU-a ne govore ništa o tome na koju se libc vaši paketi linkaju, pa odlučujte po ispisanim vrijednostima, nikada po stranici proizvoda.

Jedna kutija, dva servisa, jedan vlasnik mreže

Odlučite ko posjeduje adresiranje, resolver i tunel prije nego što prvi paket ode gore, jer inače dva servisa polažu pravo na istu dužnost i nijedan ne pobjeđuje čisto. Dajte Pi-ju statičnu adresu izvan DHCP pula koji vaš ruter dijeli i držite tunel na vlastitoj podmreži: 192.168.50.10 za Pi i 10.42.0.0/24 za tunel jedno je izvodljivo dijeljenje, a sami brojevi su proizvoljni dokle god se ne sudaraju s onim što vaš ruter već servira. Zatim zapišite koja komponenta odgovara na portu 53, koja dijeli DHCP ako ga koristite i koja posjeduje zadanu rutu dok je tunel podignut. Na imageu bez ekrana taj zadnji posao pripada NetworkManageru ili systemd-networkd-u, a instaliranje klijenta provajdera koji i sam prepisuje konfiguraciju resolvera način je na koji ljudi završe sa živim tunelom i mrtvim DNS-om.

Dijeljenje kutije je u redu. Dijeljenje uloge nije. Pi-hole želi biti jedini slušalac na portu 53, a VPN daemon želi gurati svoju DNS postavku klijentima, pa odaberite kojem od njih dvoje klijenti trebaju vjerovati i podesite drugi da ne smeta.

Držite administrativni put izvan tunela gdje možete. Ako resolver i tunel padnu zajedno, još uvijek želite SSH dostupan na LAN adresi, a to znači da servis za upravljanje ne smije zavisiti ni od jednog od njih.

Učinite sljedeću nadogradnju dijelom izbora

Izdanje koje ne možete nadograditi jest plafon podrške koji ste već prihvatili. Testirajte mehaniku nadogradnje na rezervnoj kartici prije nego što uređaj ponese DNS vašeg domaćinstva i pročitajte šta projekti kažu o preskakanju grana umjesto da pretpostavite da je nadogradnja paketa dovoljna.

sudo apt update
apt-mark showhold
sudo apt full-upgrade
pihole -up

Zadržani paketi uobičajen su razlog zašto nadogradnja izgleda uspješno i ništa ne mijenja. Ukinite zadržavanja namjerno, jedno po jedno, i zabilježite kojem je servisu trebao pin.

Prije skoka izvezite konfiguraciju Pi-holea, statične leaseove i sve profile tunela i potvrdite da ih možete vratiti na svježi image. Nakon skoka testirajte običan DNS klijenata, privatni resurs iza tunela, ponovno povezivanje i bilo koje pravilo prosljeđivanja na gatewayu. Kutija koja se podigne i odgovori na ping prošla je gotovo ništa.

Kada nijedno izdanje ne odgovara obama servisima

Ponekad je preklapanje prazno: VPN pomoćnik je prešao na novije izdanje od Pi-hole paketa koji možete instalirati, ili image proizvođača ploče zaostaje za obama. U tom slučaju odvojite uloge umjesto da uređujete metapodatke izdanja da biste zadovoljili instalater. Dva mala uređaja, ili jedan uređaj plus kontejner za drugi servis, koštaju manje od uređaja čija priča o podršci zavisi od laži.

Lažiranje verzije jedini je prečac koji treba odbiti odlučno. Menadžeri paketa vjeruju onome što piše u datoteci izdanja, pa vam lažni identifikator daje instalaciju koju nijedan od dva projekta neće pomoći otkloniti.

Ako dva aktualna izdanja zadovoljavaju sve, odaberite ono čije bilješke o nadogradnji možete slijediti bez nagađanja i prestanite tražiti. Zatim zapišite verziju, arhitekturu, vlasnike servisa i korak vraćanja na jednom mjestu, jer sljedećoj osobi koja dotakne SD karticu trebat će sva četiri.