Proton VPN sa Pi na walang screen: app o WireGuard file?

Ang pag-install ng Linux app ay parang isang tagubilin lang sa Pi na walang screen, at nagtatago ito ng pagpipilian sa pagitan ng dalawang landas ng deployment na may magkaibang hangganan ng suporta. Ang isa ay ang opisyal na app ng provider, na may sariling mga pangangailangan sa distribusyon at arkitektura. Ang isa pa ay isang manu-manong configuration file na ginagamit ng standard client na nakapackage na ng operating system. Pareho silang nakakarating sa parehong serbisyo, at hindi sila mapagpapalit sa usapin ng maintenance.

Nauna ang tanong sa arkitektura, dahil ang 64-bit na board ay maaaring nagpapatakbo ng 32-bit na user space at isa lang sa kanila ang ibinibigay ng app.

Dalawang hangganan ng suporta, hindi dalawang installer

Basahin ang kasalukuyang installation page ng provider para sa app na balak mong gamitin at itugma ito sa board: release ng distribusyon, arkitektura ng package at anumang pangangailangan sa desktop o session. Ang katotohanang sinusuportahan ng Pi ang 64-bit na operasyon ay hindi nagsasabi kung aling user space ang naka-install ngayon, at iyon ang value na sinisiyasat ng package manager. Sinasagot ng dpkg --print-architecture at uname -m iyon sa isang linya bawat isa. Kung ang release o arkitektura ay nasa labas ng dokumentadong set, hindi sinusuportahan ang app doon kahit pa ito ma-install.

Nag-iiba rin ang suporta ayon sa paraan ng packaging. Ang limitasyong dokumentado para sa isang format ng package ay hindi awtomatikong nalalapat sa build mula sa repository, at ang distribusyong hinango sa Debian ay hindi awtomatikong sinusuportahang environment. Ang mga community package at lumang recipe ng pag-install ay may sariling modelo ng maintenance, na maaari mong tanggapin nang sadya ngunit hindi dapat makuha nang aksidente.

Ang ibinibigay ng app na hindi ibinibigay ng profile

Ang opisyal na app ay higit pa sa koneksyon: karaniwang may kill switch ng provider, paghawak ng DNS at mga toggle ng feature, at sinusuportahan ng provider ang mga pag-uugaling iyon bilang isang set. Ang manu-manong profile na ibinigay sa standard client ay walang namamana kahit isa sa mga iyon. Ang manu-manong client ang may hawak ng lifecycle ng koneksyon at ng lokal na patakaran sa pagkabigo, na maayos kapag ikaw mismo ang nag-configure at nakakagulat kapag inaasahan mong kasama na ito. Pareho silang nakakarating sa parehong mga server; isa lang ang may kasamang lohika sa paligid.

Kung may feature na mahalaga, halimbawa ang pagharang sa traffic sa labas ng tunnel, kailangan itong nasa iyong configuration at hindi sa app ng provider.

WireGuard nang manu-mano: ang mahahalagang hakbang

Dokumentado ng provider ang paggawa ng WireGuard configuration para sa standard-compliant client at inirerekomenda ang landas na iyon para sa manu-manong setup, habang pinapanatili ang OpenVPN para sa mas lumang device. Gumawa ng profile sa dashboard ng account, dalhin ito sa Pi at ilagay kung saan tanging ang may-ari ang makakabasa. Huwag kailanman i-paste ang file sa support thread, dahil ang magiliw na filename ay hindi ginagawang publishable ang naka-embed na private key. Pagkatapos ay subukan ang tunnel sa isang kahilingan bago ikabit ang anupaman dito.

Ang pag-alis ng server sa serbisyo ay isang operational detail na nakakalimutan ng mga tao. Ang manu-manong piniling endpoint ay maaaring bawiin, at binabanggit ng provider na maaaring kailanganin ang kapalit na configuration. Itala kung aling endpoint ang ginagamit ng profile upang masuri ang susunod na pagpalya.

Magpasya kung ang Pi ay gateway din

Ang tunnel na ginagamit ng sariling app ng Pi ay hindi awtomatikong nagiging gateway para sa mga device sa likod nito. Ang forwarding, return routing, pagmamay-ari ng resolver at anumang patakarang pumipigil sa traffic na makatakas sa labas ng tunnel ay isang hiwalay na disenyo na may sariling failure mode. Kung may iba pang device sa saklaw, suriin sila bilang sarili nilang kaso sa halip na ipagpalagay na sakop sila ng koneksyon ng Pi. Ang paghihiwalay na iyon ang nagpapanatili ng maliit na deployment na madaling i-maintain.

Pagkatapos ay tanggapin ang lifecycle: isang bagong kahilingan mula sa Pi, pagresolba ng pangalan sa pamamagitan ng nilalayong resolver at ang pag-uugali sa boot o muling pagkonekta na pinlano mo. I-verify ang bawat isa sa halip na ipagpalagay na ibinibigay ito ng app o profile.

Ang mitong dapat iwanan ay ang installer ng Linux at WireGuard file ay kumakatawan sa parehong desisyon. Sila ay dalawang modelo ng operasyon na may dalawang magkaibang may-ari.