Proton VPN na Pi brez zaslona: aplikacija ali datoteka WireGuard?

Namestitev aplikacije Linux na Pi brez zaslona se sliši kot eno samo navodilo, a skriva izbiro med dvema potema uvajanja z različnimi mejami podpore. Ena je uradna aplikacija ponudnika, ki prinaša lastne zahteve glede distribucije in arhitekture. Druga je ročno napisana konfiguracijska datoteka, ki jo uporablja standardni odjemalec, ki ga operacijski sistem že pakira. Obe dosežeta isto storitev in z vidika vzdrževanja nista zamenljivi.

Vprašanje arhitekture je prvo, ker lahko 64-bitna plošča izvaja 32-bitni uporabniški prostor, aplikacija pa se dobavi le z enim od njiju.

Dve meji podpore, ne dva namestitvena programa

Preberite trenutno stran ponudnika za namestitev aplikacije, ki jo nameravate uporabljati, in jo primerjajte s ploščo: izdaja distribucije, arhitektura paketa in morebitne zahteve glede namizja ali seje. To, da Pi podpira 64-bitno delovanje, ne pove, kateri uporabniški prostor je zdaj nameščen, in prav to vrednost preverja upravitelj paketov. dpkg --print-architecture in uname -m odgovorita vsak v eni vrstici. Če sta izdaja ali arhitektura zunaj dokumentiranega nabora, aplikacija tam ni podprta, tudi ko se namesti.

Podpora se razlikuje tudi po načinu pakiranja. Omejitev, dokumentirana za en format paketa, ne velja samodejno za gradnjo iz skladišča, distribucija, izpeljana iz Debiana, pa ni samodejno podprto okolje. Paketi skupnosti in stari recepti za namestitev prinašajo svoj model vzdrževanja, ki ga lahko zavestno sprejmete, ne pa tudi prevzamete po nesreči.

Kaj aplikacija daje in profil ne

Uradna aplikacija je več kot povezava: običajno prinaša stikalo za zasilni izklop ponudnika, obdelavo DNS in stikala funkcij, ponudnik pa ta vedenja podpira kot celoto. Ročni profil, predan standardnemu odjemalcu, ne podeduje ničesar od tega. Ročni odjemalec ima življenjski cikel povezave in lokalno politiko napak, kar je v redu, ko jih nastavite sami, in presenetljivo, ko predpostavite, da so prišli zraven. Obe možnosti dosežeta iste strežnike; le ena vključuje okoliško logiko.

Če je katera funkcija pomembna, na primer blokiranje prometa zunaj tunela, mora obstajati v vaši konfiguraciji in ne v aplikaciji ponudnika.

WireGuard ročno: koraki, ki štejejo

Ponudnik dokumentira ustvarjanje konfiguracije WireGuard za standardnega odjemalca in priporoča to pot za ročne nastavitve, medtem ko OpenVPN ohrani za starejše naprave. Ustvarite profil v nadzorni plošči računa, prinesite ga na Pi in ga postavite tja, kjer ga lahko prebere le lastnik. Datoteke nikoli ne prilepite v nit za podporo, saj prijazno ime datoteke ne naredi vgrajenega zasebnega ključa objavljivega. Nato tunel preizkusite z eno zahtevo, preden nanj priključite kar koli drugega.

Umik strežnikov je operativna podrobnost, ki jo ljudje pozabijo. Ročno izbrana končna točka je lahko umaknjena, ponudnik pa opozarja, da bo morda potrebna nadomestna konfiguracija. Zabeležite, katero končno točko uporablja profil, da bo poznejšo okvaro mogoče diagnosticirati.

Odločite se, ali je Pi tudi prehod

Tunel, ki ga uporabljajo lastne aplikacije Pi, samodejno ne postane prehod za naprave za njim. Posredovanje, povratno usmerjanje, lastništvo razreševalnika in vsaka politika, ki preprečuje prometu pobeg izven tunela, so ločena zasnova z lastnimi načini odpovedi. Če so v obsegu druge naprave, jih ocenite kot njihov lastni primer, namesto da predpostavite, da jih povezava Pi pokriva. Prav ta ločitev ohranja majhno uvajanje vzdržljivo.

Nato sprejmite življenjski cikel: nova zahteva s Pi, razreševanje imen prek predvidenega razreševalnika in vedenje ob zagonu ali ponovnem povezovanju, ki ste ga načrtovali. Preverite vsako od tega, namesto da predpostavite, da ga zagotavlja aplikacija ali profil.

Mit, ki se ga je vredno znebiti, je, da namestitveni program Linux in datoteka WireGuard predstavljata isto odločitev. To sta dva operativna modela z dvema različnima lastnikoma.