Colitu на Raspberry Pi и Linux без графической среды

Консольный (headless) клиент запускает Colitu на устройствах без экрана и рабочего стола: Raspberry Pi, мини-ПК или Linux-сервер. Он состоит из двух частей: системной службы colitud, которая хранит ваш вход и поднимает VPN-туннель, и команды colitu, с помощью которой вы в терминале входите в аккаунт, выбираете сервер и подключаетесь. Консольный клиент новый и пока в бета-версии.

#Требования

• 64-битная система: Raspberry Pi OS (64-bit) на базе Debian 12 «Bookworm», либо Debian или Ubuntu на x64 или ARM64. Подходят Raspberry Pi 3, 4, 5 и Zero 2 W; старые модели только с 32-битной системой (Pi 1, Pi 2, Pi Zero W) не поддерживаются. Проверьте командой uname -m: должно быть aarch64 (Raspberry Pi) или x86_64.
• systemd (есть во всех актуальных версиях Raspberry Pi OS) и подключение к интернету.
• Аккаунт Colitu с активным тарифом. Pi считается одним из ваших устройств.
• Другое устройство с браузером (телефон или компьютер) для подтверждения входа. Пароль на Pi вводить не нужно.

#Установка

1. На Pi скачайте пакет .deb для ARM64 на странице colitu.com/download/linux (на машине x64 возьмите пакет x64).
2. Установите его из папки загрузки:

``` sudo apt install ./colitu-vpn_*_arm64.deb ```

В одном пакете и приложение для рабочего стола, и консольный клиент. В Raspberry Pi OS Lite рабочего стола нет, поэтому приложение просто не используется и занимает немного места на диске. Если рабочий стол есть, можно оставить оба, но подключаться одновременно через оба нельзя.

1. Служба не запускается автоматически. Запустите её и включите автозапуск при каждой загрузке:

``` sudo systemctl enable --now colitud ```

1. Разрешите своему пользователю управлять ею. Участники группы colitu пользуются командой colitu без sudo:

``` sudo usermod -aG colitu $USER ```

Чтобы группа вступила в силу, выйдите из системы и войдите снова (или выполните newgrp colitu).

#Вход в аккаунт

``` colitu login ```

Команда покажет ссылку, 8-символьный код и (в терминале) QR-код. Откройте ссылку на телефоне или компьютере, убедитесь, что код и имя устройства (<имя компьютера> (headless)) совпадают, и подтвердите вход. Через несколько секунд Pi войдёт в аккаунт. Код действует около 10 минут; если он истёк, снова выполните colitu login. Токены входа хранятся в /var/lib/colitu/state.json, читать файл может только root.

#Подключение, проверка, отключение

Чтобы проверить работу, запишите свой публичный адрес до подключения (curl -s https://ifconfig.me) и выполните команду снова после подключения: должен показаться адрес сервера Colitu. Если на Pi есть браузер, тест VPN-соединения покажет и утечки.

#Автоподключение при загрузке

``` colitu connect --country tr colitu autoconnect on ```

Один раз подключитесь к нужному серверу и включите автоподключение. После этого colitud при каждом запуске подключается к последнему серверу и повторяет попытки, пока не появится сеть. colitu autoconnect off выключает функцию. Важны часы Pi: батарейных часов у него нет, и соединение работает только после синхронизации времени. Обычно это происходит через несколько секунд после появления сети.

#Kill switch и ваша локальная сеть

Пока вы подключены, весь трафик Pi идёт через туннель и не может выйти в обход него (строгая маршрутизация). Локальная сеть остаётся доступной, поэтому ваша SSH-сессия на Pi не обрывается при подключении. Это относится к частным диапазонам 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 и 169.254.0.0/16.

Следствие для DNS: программы на Pi, которые используют роутер как DNS-сервер (в Raspberry Pi OS это по умолчанию), по-прежнему отправляют эти запросы напрямую роутеру, потому что он находится в локальной сети. Чтобы пустить их через туннель, задайте Pi публичный резолвер, например sudo nmcli connection modify "<имя подключения>" ipv4.ignore-auto-dns yes ipv4.dns 1.1.1.1, и переподключите сеть. Запросы к публичному резолверу перехватывает Colitu и приватно обрабатывает через туннель.

Важно понимать, чего здесь нет: в консольном клиенте нет kill switch на основе файрвола, как в приложении для рабочего стола. Если процесс туннеля завершится, colitud автоматически перезапустит его, но пока туннель не вернётся, трафик Pi может идти напрямую. То же верно для первых секунд после загрузки, пока автоподключение ещё не сработало. Использовать Pi как шлюз, раздающий VPN другим устройствам, нельзя.

#Журнал

``` journalctl -u colitud -f ```

показывает, что делает служба (вход, попытки подключения, переподключения). Токены и данные доступа к серверам в журнал никогда не пишутся.

#Обновление и удаление

• Обновление: установите новый .deb так же. Работающий colitud будет перезапущен пакетом и переподключится, если автоподключение включено. Вход сохранится.
• Удаление: sudo apt remove colitu-vpn останавливает службу и закрывает туннель. sudo apt purge colitu-vpn дополнительно удаляет сохранённый вход. Если хотите, чтобы Pi пропал и из списка устройств аккаунта, сначала выполните colitu logout --remove-device; удалить его можно и на colitu.com в разделе Устройства.

#Если что-то не работает

• colitud is not running: выполните sudo systemctl enable --now colitud, затем проверьте systemctl status colitud. Если служба не стартует, причину покажет journalctl -u colitud -e.
• no permission to use the colitud socket: ваш пользователь ещё не в группе colitu. Выполните sudo usermod -aG colitu $USER и войдите в систему заново.
• Код входа истёк или вход отклонён: снова выполните colitu login и подтвердите вход с устройства, на котором выполнен вход в ваш аккаунт.
• This device is paused: тариф допускает меньше устройств, чем вошло в аккаунт. colitu activate делает Pi активным устройством и приостанавливает то, которым дольше всего не пользовались. См. Управление устройствами.
• no active plan или verify your e-mail address: исправьте это в аккаунте на colitu.com и снова выполните colitu connect.
• Не подключается: проверьте дату командой timedatectl (должно быть System clock synchronized: yes; при неверных часах защищённое соединение не устанавливается), затем посмотрите journalctl -u colitud -e. См. также Проблемы с подключением.
• sing-box was not found: пакет установлен не полностью, установите его заново. Ядро туннеля лежит в /opt/colitu-vpn/bin/sing_box/sing-box.
• На Pi уже работает другой VPN (WireGuard, выходной узел Tailscale, приложение Colitu для рабочего стола): два VPN одновременно запускать нельзя. Сначала отключите другой.