Pi-hole a VPN na jednom Pi: je operačný systém ešte podporovaný?

Na spoločnej krabici s Pi-hole a VPN sa miešajú dve veci: rodina distribúcie, ktorú ste nainštalovali, a vydanie plus architektúra, ktoré komponenty skutočne podporujú. Doska, ktorá nabootuje obraz, dokazuje, že jadro beží; nedokazuje, že binárka FTL od Pi-hole a váš inštalátor VPN mieria do rovnakého používateľského priestoru. Skutočná skúška je štvorsmerný prienik podpory dosky, vetvy vydania, architektúry balíkov a cesty aktualizácie, ktorú zvládnete sami. Stratíte ktorúkoľvek zo štyroch nôh a zariadenie tento týždeň funguje, aby vás potom nechalo na holičkách pri ďalšej bezpečnostnej aktualizácii.

Podporu určuje vetva vydania, nie názov rodiny

Opýtajte sa, proti ktorému vydaniu projekt ešte testuje, a odpoveď zapíšte ako reťazec verzie, nie ako Debian. Stránka s predpokladmi Pi-hole uvádza podporované operačné systémy a vopred zostavené architektúry FTL ako dve samostatné požiadavky, obmedzuje podporu na vydania, ktoré samotná distribúcia ešte udržiava, a upozorňuje, že varianty alebo neobvyklé konfigurácie môžu zlyhať aj v rámci podporovaného zoznamu. Táto formulácia je dôležitá: podporovaná rodina nepokrýva každého svojho člena.

Starý obraz, ktorý na vašom Pi ešte nabootuje, nie je dôkazom podpory. Doska je v poriadku, index balíkov je zastaraný a nesúlad sa prejaví neskôr, keď inštalátor stiahne závislosť, ktorú vydanie už nedokáže uspokojiť.

Strana VPN má viac častí, každá s vlastným oknom: démon tunela, inštalačný pomocník, ktorý píše jeho konfiguráciu, klientska aplikácia poskytovateľa a integračný balík distribúcie sú štyri samostatné projekty. Inštalátor, ktorý rozpozná vašu distribúciu, a inštalátor, ktorý vytvorí službu, ktorú vydanie dokáže udržať v behu, sú dve rôzne tvrdenia. Pozrite si vlastný zoznam platforiem démona a potom, či bol pomocník, ktorý chcete spustiť, od vydania tej verzie vôbec upravený. Kde projekt uvádza podporu len do pomenovaného vydania, berte to nasledujúce ako netestované, kým ho sami nenabootujete.

Zlaďte binárny cieľ s používateľským priestorom, ktorý máte

Architektúra je tichšie zlyhanie. 64-bitové jadro s 32-bitovou používateľskou zemou je skutočná, podporovaná kombinácia na viacerých doskách a spúšťa 32-bitovú binárku FTL bez sťažností, až do chvíle, keď nainštalujete niečo publikované len pre arm64. Vytlačte obe polovice pred výberom obrazu a výstup si nechajte pri poznámkach.

uname -m
dpkg --print-architecture
grep -E '^(PRETTY_NAME|VERSION_ID)=' /etc/os-release
apt-cache policy pihole-ftl

Ak sa tie dva riadky architektúry nezhodujú, ste na zmiešanom usporiadaní: použiteľnom pre samotný Pi-hole, krehkom, len čo si druhá služba vyžiada natívne knižnice. Preflashovanie na čistý 64-bitový obraz je zvyčajne rýchlejšie než prestavba nástrojového reťazca, ktorý nesúlad vytvoril.

Marketing dosky to tiež nevyrieši. Veľkosť pamäte a model CPU nehovoria nič o tom, proti ktorej libc sa vaše balíky linkujú, takže rozhodujte podľa vytlačených hodnôt, nikdy podľa produktovej stránky.

Jedna krabica, dve služby, jeden vlastník siete

Rozhodnite, kto vlastní adresovanie, resolver a tunel, skôr než sa nahrá prvý balík, inak si dve služby nárokujú rovnakú povinnosť a ani jedna nevyhrá čisto. Dajte Pi statickú adresu mimo DHCP poolu, ktorý rozdeľuje váš router, a držte tunel na vlastnej podsieti: 192.168.50.10 pre Pi a 10.42.0.0/24 pre tunel je jedno uskutočniteľné rozdelenie a samotné čísla sú ľubovoľné, pokiaľ sa nezrazia s tým, čo váš router už obsluhuje. Potom zapíšte, ktorý komponent odpovedá na porte 53, ktorý rozdeľuje DHCP, ak ho používate, a ktorý vlastní predvolenú trasu, kým je tunel hore. Na obraze bez displeja patrí tá posledná úloha NetworkManageru alebo systemd-networkd a inštalácia klientskej aplikácie poskytovateľa, ktorá tiež prepisuje konfiguráciu resolvera je spôsob, ako ľudia skončia so živým tunelom a mŕtvym DNS.

Zdieľať krabicu je v poriadku. Zdieľať rolu nie. Pi-hole chce byť jediný poslucháč na porte 53 a démon VPN chce pretlačiť svoje nastavenie DNS klientom, takže vyberte, ktorému z tých dvoch majú klienti dôverovať, a druhý nastavte tak, aby neprekážal.

Držte administratívnu cestu mimo tunela, kde môžete. Ak resolver a tunel zlyhajú spolu, stále chcete mať SSH dostupné na LAN adrese, a to znamená, že služba správy nesmie závisieť ani od jedného z nich.

Urobte z ďalšej aktualizácie súčasť voľby

Vydanie, ktoré nedokážete aktualizovať, je strop podpory, ktorý ste už prijali. Otestujte mechaniku aktualizácie na náhradnej karte, kým zariadenie ponesie DNS vašej domácnosti, a prečítajte si, čo projekty hovoria o preskakovaní vetiev, namiesto toho, aby ste predpokladali, že aktualizácia balíka stačí.

sudo apt update
apt-mark showhold
sudo apt full-upgrade
pihole -up

Pridržané balíky sú obvyklým dôvodom, prečo aktualizácia vyzerá úspešne a nič nezmení. Zrušte pridržania zámerne, jedno po druhom, a poznamenajte si, ktorá služba potrebovala pin.

Pred skokom exportujte konfiguráciu Pi-hole, statické lease a všetky profily tunela a potvrďte, že ich dokážete obnoviť na čistom obraze. Po skoku otestujte bežný DNS klientov, súkromný zdroj za tunelom, opätovné pripojenie a akékoľvek pravidlo presmerovania na bráne. Krabica, ktorá nabootuje a odpovie na ping, neprešla takmer ničím.

Keď žiadne jediné vydanie nesedí na obe služby

Niekedy je prienik prázdny: pomocník VPN prešiel na novšie vydanie, než aké je balík Pi-hole, ktorý môžete nainštalovať, alebo obraz výrobcu dosky zaostáva za oboma. V takom prípade oddeľte roly, namiesto toho, aby ste upravovali metadáta vydania, aby ste uspokojili inštalátor. Dve malé zariadenia alebo jedno zariadenie plus kontajner pre druhú službu stoja menej než zariadenie, ktorého príbeh podpory stojí na lži.

Falšovanie verzie je jediná skratka, ktorú treba rovno odmietnuť. Správcovia balíkov veria tomu, čo hovorí súbor vydania, takže podvrhnutý identifikátor vám dá inštaláciu, s ktorou vám ani jeden z dvoch projektov nepomôže ladiť.

Ak dve aktuálne vydania spĺňajú všetko, vyberte to, ktorého poznámky k aktualizácii dokážete sledovať bez hádania, a prestaňte hľadať. Potom zapíšte verziu, architektúru, vlastníkov služieb a krok obnovy na jedno miesto, pretože ďalší človek, ktorý sa dotkne SD karty, bude potrebovať všetky štyri.