Bitta Pi'da Pi-hole va VPN: operatsion tizim hali ham qo'llab-quvvatlanadimi?

Bitta qutida Pi-hole va VPN bo'lsa, ikki narsa aralashadi: o'rnatilgan distributiv oilasi hamda komponentlar haqiqatan qo'llab-quvvatlaydigan versiya va arxitektura. Tasvirni yuklaydigan plata yadro ishlayotganini isbotlaydi; Pi-hole'ning FTL binarisi va VPN o'rnatuvchingiz bir xil foydalanuvchi maydonini nishonga olishini isbotlamaydi. Haqiqiy sinov — plata qo'llab-quvvatlashi, versiya tarmog'i, paket arxitekturasi va o'zingiz boshqara oladigan yangilash yo'lining to'rt tomonlama kesishuvi. Shu to'rt tayanchdan birini yo'qotsangiz, qurilma bu hafta ishlaydi, keyin navbatdagi xavfsizlik yangilanishida sizni tashlab ketadi.

Qo'llab-quvvatlashni versiya tarmog'i belgilaydi, oila nomi emas

Loyiha hali qaysi versiyaga qarshi sinovdan o'tkazayotganini so'rang, so'ng javobni Debian emas, versiya satri sifatida yozing. Pi-hole'ning oldindan shartlar sahifasi qo'llab-quvvatlanadigan operatsion tizimlar va oldindan qurilgan FTL arxitekturalarini ikki alohida talab sifatida sanaydi, qo'llab-quvvatlashni distributiv o'zi hali qo'llab-quvvatlaydigan versiyalar bilan cheklaydi va variantlar yoki noodatiy konfiguratsiyalar qo'llab-quvvatlanadigan ro'yxat ichida ham muvaffaqiyatsiz bo'lishi mumkinligini ogohlantiradi. Bu ibora muhim: qo'llab-quvvatlanadigan oila o'zining har bir a'zosini qamrab olmaydi.

Pi'ingizda hali yuklanadigan eski tasvir qo'llab-quvvatlash isboti emas. Plata joyida, paket indeksi eskirgan, va nomuvofiqlik keyinroq, o'rnatuvchi versiya endi qondira olmaydigan bog'liqlikni tortganda ko'rinadi.

VPN tomonida bo'laklar ko'proq, har birining o'z oynasi bor: tunnel demoni, uning konfiguratsiyasini yozuvchi o'rnatish yordamchisi, provayderning mijoz ilovasi va distributivning integratsiya paketi to'rt alohida loyihadir. Distributivingizni taniydigan o'rnatuvchi va versiya ishlatib turadigan xizmat yaratadigan o'rnatuvchi ikki xil da'vodir. Demonning o'z platformalar ro'yxatini ko'ring, so'ng ishga tushirmoqchi bo'lgan yordamchiga o'sha versiya chiqqandan beri tegildimi, ko'ring. Loyiha qo'llab-quvvatlashni faqat nomlangan versiyagacha e'lon qilsa, keyingisini o'zingiz yuklamaguningizcha sinovdan o'tmagan deb hisoblang.

Binar maqsadni mavjud foydalanuvchi maydoningizga moslang

Arxitektura — tinchroq muvaffaqiyatsizlik. 32 bitli foydalanuvchi yeri bilan 64 bitli yadro bir necha platada haqiqiy, qo'llab-quvvatlanadigan birikma va u 32 bitli FTL binarisini shikoyatsiz ishga tushiradi, faqat arm64 uchun chiqarilgan narsani o'rnatganingizgacha. Tasvir tanlashdan oldin ikkala yarmini chop eting va natijani yozuvlaringiz yonida saqlang.

uname -m
dpkg --print-architecture
grep -E '^(PRETTY_NAME|VERSION_ID)=' /etc/os-release
apt-cache policy pihole-ftl

Agar bu ikki arxitektura satri mos kelmasa, siz aralash sozlamadasiz: yakka Pi-hole uchun ishlaydi, ikkinchi xizmat mahalliy kutubxonalarni talab qilganda mo'rt. Toza 64 bitli tasvirga qayta yozish odatda nomuvofiqlikni keltirib chiqargan asboblar zanjirini qayta qurishdan tezroq.

Plata marketingi ham buni hal qilmaydi. Xotira hajmi va CPU modeli paketlaringiz qaysi libc'ga bog'lanishi haqida hech narsa demaydi, shuning uchun chop etilgan qiymatlar bo'yicha qaror qiling, hech qachon mahsulot sahifasi bo'yicha emas.

Bitta quti, ikkita xizmat, tarmoqning bitta egasi

Birinchi paket ko'tarilishidan oldin manzillash, hal qiluvchi va tunnel kimga tegishli ekanini hal qiling, aks holda ikki xizmat bir vazifaga da'vo qiladi va hech biri toza g'olib chiqmaydi. Pi'ga routeringiz tarqatadigan DHCP hovuzidan tashqarida statik manzil bering va tunnelni o'z subnetida saqlang: Pi uchun 192.168.50.10 va tunnel uchun 10.42.0.0/24 — bitta ishlaydigan bo'linish, raqamlarning o'zi esa o'zboshimchalik bilan, toki ular routeringiz allaqachon xizmat qilayotgan narsa bilan to'qnashmasa. So'ng qaysi komponent 53-portda javob berishini, agar ishlatsangiz qaysi biri DHCP tarqatishini va tunnel ko'tarilganda qaysi biri standart marshrutga egaligini yozing. Ekransiz tasvirda bu oxirgi ish NetworkManager yoki systemd-networkd'ga tegishli, va hal qiluvchi konfiguratsiyasini ham qayta yozadigan provayder mijozi o'rnatish odamlarning tirik tunnel va o'lik DNS bilan qolish yo'lidir.

Qutini bo'lishish yaxshi. Rolni bo'lishish emas. Pi-hole 53-portdagi yagona tinglovchi bo'lishni xohlaydi, VPN demoni esa o'z DNS sozlamasini mijozlarga surishni xohlaydi, shuning uchun mijozlar ikkisidan qaysi biriga ishonishi kerakligini tanlang va ikkinchisini yo'ldan chetda turishga sozlang.

Imkon qadar boshqaruv yo'lini tunneldan tashqarida saqlang. Hal qiluvchi va tunnel birga ishdan chiqsa, siz hali ham LAN manzilida SSH ochiq bo'lishini xohlaysiz, bu esa boshqaruv xizmati ikkisidan hech biriga bog'liq bo'lmasligi kerakligini bildiradi.

Keyingi yangilanishni tanlovning bir qismiga aylantiring

Yangilab bo'lmaydigan versiya — siz allaqachon qabul qilgan qo'llab-quvvatlash shifti. Qurilma uyingizning DNS'ini ko'tarishidan oldin zaxira kartada yangilash mexanikasini sinab ko'ring va paket yangilash yetarli deb o'ylash o'rniga, tarmoqlar orasida sakrash haqida loyihalar nima deyishini o'qing.

sudo apt update
apt-mark showhold
sudo apt full-upgrade
pihole -up

Yangilanish muvaffaqiyatli ko'rinib, hech narsani o'zgartirmasligining odatiy sababi — ushlab turilgan paketlar. Ushlab turishlarni ataylab birma-bir olib tashlang va qaysi xizmatga mahkamlash kerak bo'lganini qayd eting.

Sakrashdan oldin Pi-hole konfiguratsiyasini, statik ijaralarni va har qanday tunnel profillarini eksport qiling, ularni yangi tasvirga tiklay olishingizni tasdiqlang. Sakrashdan keyin oddiy mijoz DNS'ini, tunnel ortidagi xususiy resursni, qayta ulanishni va shlyuzdagi har qanday yo'naltirish qoidasini sinang. Yuklanib, ping'ga javob beradigan quti deyarli hech narsadan o'tmagan.

Hech bir versiya ikkala xizmatga to'g'ri kelmasa

Ba'zan kesishuv bo'sh bo'ladi: VPN yordamchisi siz o'rnatishingiz mumkin bo'lgan Pi-hole paketidan yangiroq versiyaga o'tgan, yoki plata ishlab chiqaruvchisining tasviri ikkisidan ham orqada. Bunday holda o'rnatuvchini rozi qilish uchun versiya metama'lumotlarini tahrirlash o'rniga rollarni ajrating. Ikki kichik qurilma, yoki bitta qurilma va ikkinchi xizmat uchun konteyner, qo'llab-quvvatlash tarixi yolg'onga tayangan qurilmadan arzon.

Versiyani soxtalashtirish — qat'iy rad qilish kerak bo'lgan yagona qisqa yo'l. Paket menejerlari versiya fayli aytgan narsaga ishonadi, shuning uchun soxta identifikator sizga ikkala loyihadan hech biri disk raskadrovka qilishda yordam bermaydigan o'rnatish beradi.

Agar ikki joriy versiya hamma narsani qondirsa, yangilash eslatmalarini taxmin qilmasdan kuzata oladiganini tanlang va izlashni to'xtating. So'ng versiya, arxitektura, xizmat egalari va tiklash qadamini bir joyga yozib qo'ying, chunki SD kartaga keyingi tegadigan odamga to'rttasi ham kerak bo'ladi.