Proton VPN na Pi bez obrazovky: aplikácia alebo súbor WireGuard?

Inštalácia linuxovej aplikácie znie na Pi bez obrazovky ako jediný pokyn, no skrýva voľbu medzi dvoma cestami nasadenia s odlišnými hranicami podpory. Jednou je oficiálna aplikácia poskytovateľa, ktorá nesie vlastné požiadavky na distribúciu a architektúru. Druhou je ručný konfiguračný súbor, ktorý používa štandardný klient, aký operačný systém už balí. Obe vedú k tej istej službe a z hľadiska údržby nie sú zameniteľné.

Otázka architektúry prichádza prvá, pretože 64-bitová doska môže prevádzkovať 32-bitový používateľský priestor a aplikácia dodáva iba jeden z nich.

Dve hranice podpory, nie dva inštalátory

Prečítajte si aktuálnu stránku poskytovateľa k inštalácii aplikácie, ktorú chcete použiť, a porovnajte ju s doskou: verzia distribúcie, architektúra balíka a akékoľvek požiadavky na pracovnú plochu alebo sedenie. To, že Pi podporuje 64-bitovú prevádzku, nehovorí, ktorý používateľský priestor je teraz nainštalovaný, a práve túto hodnotu správca balíkov kontroluje. dpkg --print-architecture a uname -m na to odpovedajú každý jedným riadkom. Ak verzia alebo architektúra leží mimo dokumentovanej množiny, aplikácia tam nie je podporovaná, aj keď sa nainštaluje.

Podpora sa líši aj podľa spôsobu balenia. Obmedzenie dokumentované pre jeden formát balíka neplatí automaticky pre zostavenie z repozitára a distribúcia odvodená z Debianu nie je automaticky podporované prostredie. Komunitné balíky a staré inštalačné postupy prinášajú vlastný model údržby, ktorý môžete vedome prijať, no nemali by ste ho prevziať omylom.

Čo aplikácia dáva a profil nie

Oficiálna aplikácia je viac než spojenie: zvyčajne nesie kill switch poskytovateľa, spracovanie DNS a prepínače funkcií, a poskytovateľ tieto správania podporuje ako celok. Ručný profil odovzdaný štandardnému klientovi nič z toho nededia. Ručný klient vlastní životný cyklus spojenia a miestnu politiku zlyhania, čo je v poriadku, keď si ich nastavíte sami, a prekvapivé, keď predpokladáte, že prišli s ním. Obe možnosti sa dostanú na tie isté servery; iba jedna obsahuje okolitú logiku.

Ak na nejakej funkcii záleží, napríklad na blokovaní prevádzky mimo tunela, musí existovať vo vašej konfigurácii, nie v aplikácii poskytovateľa.

WireGuard ručne: kroky, na ktorých záleží

Poskytovateľ dokumentuje vytvorenie konfigurácie WireGuard pre klienta kompatibilného so štandardom a tento postup odporúča pre ručné nastavenia, pričom OpenVPN ponecháva pre staršie zariadenia. Vygenerujte profil v paneli účtu, preneste ho na Pi a umiestnite tam, kde ho môže čítať iba vlastník. Nikdy nevkladajte súbor do vlákna podpory, pretože priateľský názov súboru nerobí vložený súkromný kľúč zverejniteľným. Potom tunel otestujte jedinou požiadavkou, skôr než k nemu pripojíte čokoľvek ďalšie.

Vyradenie serverov je prevádzkový detail, na ktorý ľudia zabúdajú. Ručne zvolený koncový bod môže byť odvolaný a poskytovateľ poznamenáva, že môže byť potrebná náhradná konfigurácia. Zaznamenajte, ktorý koncový bod profil používa, aby sa neskoršie zlyhanie dalo diagnostikovať.

Rozhodnite, či je Pi aj brána

Tunel, ktorý používajú vlastné aplikácie Pi, sa automaticky nestane bránou pre zariadenia za ním. Preposielanie, spätný routing, vlastníctvo prekladača a akákoľvek politika brániaca prevádzke uniknúť mimo tunela sú samostatný návrh s vlastnými režimami zlyhania. Ak sú v rozsahu ďalšie zariadenia, posudzujte ich ako vlastný prípad, namiesto toho, aby ste predpokladali, že spojenie Pi ich pokrýva. Práve toto oddelenie udržiava malé nasadenie udržiavateľným.

Potom prijmite životný cyklus: nová požiadavka z Pi, preklad mien cez zamýšľaný prekladač a správanie pri štarte alebo opätovnom pripojení, ktoré ste naplánovali. Overte každé z nich, namiesto toho, aby ste predpokladali, že ich zabezpečí aplikácia alebo profil.

Mýtus, ktorý stojí za to opustiť, je, že linuxový inštalátor a súbor WireGuard predstavujú rovnaké rozhodnutie. Sú to dva prevádzkové modely s dvoma rôznymi vlastníkmi.