تبديل نواة FIPS أخذ معه وحدتي Wi-Fi وVPN

فعّل fips-updates وأعد التشغيل، فتعود الآلة دون واجهة لاسلكية بينما يرفض عميل VPN البدء لأن وحدة النواة الخاصة به غائبة. لم يُزل أي شيء بالمعنى المعتاد للحزم، ولهذا لا تغيّر إعادة تثبيت العميل شيئًا على الإطلاق. الآلة تعمل بنواة لم تُبنَ لها برامج التشغيل قط. عرضان وسبب واحد، والسبب يظهر في أمر واحد.

ما الذي بدّله إعادة التشغيل فعليًا

تثبّت تحديثات FIPS في Ubuntu Pro نسخة نواة معتمدة وتجعلها مدخل الإقلاع الافتراضي. تلك النسخة نواة حقيقية: تُقلع وتعمل وتشغّل الخدمات التي كانت لديك. وما لا تحتويه هو كل وحدة بُنيت للنواة العامة، بما فيها برنامج تشغيل لاسلكي مُجمَّع خارج الشجرة ووحدة نفق تُسلَّم عبر DKMS. مجموعة برامج التشغيل تنتقل مع النواة لا مع مدير الحزم. لذلك يبقى العتاد موجودًا ولا تبقى البرمجيات التي تخاطبه.

قارن النواة العاملة بالحزم المثبّتة قبل أن تفتح أي إعداد شبكة. سلسلة الإصدار تحمل علامة لا توجد في النواة العامة، وهذه التفصيلة الواحدة تفسّر القطعتين الغائبتين.

اقرأ مدخل الإقلاع أيضًا، لأن الآلة قد تكون فيها النواة المعتمدة مثبّتة دون أن تعمل بها. في هذه الحالة تختلف حكاية الوحدات تمامًا، والمنافذ وبرامج التشغيل التي كنت على وشك إعادة تثبيتها سليمة.

اقرأ حالة الوحدات قبل إعداد العميل

الوحدة التي لا يمكن العثور عليها والوحدة الموجودة التي ترفض التحميل عطلان مختلفان وحلّان مختلفان. يخبرك modinfo أيّهما لديك، ويخبرك lsmod بما هو محمّل الآن. افعل الأمرين قبل أن تلمس إعداد عميل VPN، لأن خطأ العميل نفسه نادرًا ما يفصل بينهما.

اللاسلكي يحتاج إلى التفريق نفسه. الواجهة التي لا تظهر أبدًا تشير إلى برنامج التشغيل، أما التي توجد وتبقى محظورة فتشير إلى rfkill أو إلى مدير الشبكة. يبدو الاثنان متطابقين في تطبيق سطح المكتب ولا يشتركان في شيء تحته.

نفّذ الفحوص على الآلة نفسها بينما العطل ما زال قابلًا للتكرار. المخرجات المنسوخة من مضيف آخر ليست بديلًا عن هذه.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

حين لا يستطيع modinfo العثور على الوحدة إطلاقًا، لن تفيد إعادة تثبيت حزمة فضاء المستخدم، لأن فضاء المستخدم لم يكن الجزء الغائب قط. هذه الملاحظة توفّر ساعة من العبث بالحزم وتشير مباشرة إلى النواة.

تراجع بترتيب يترك لك نواة

إذا كان FIPS قد فُعّل بالخطأ، فإن مسار الاستعادة الموثّق يعطّل الخدمة ويزيل حزمها ثم يستعيد النواة العامة. الترتيب ليس شكليًا. ترفض الإزالة المتابعة حين لا تجد نواة Ubuntu أخرى، لأن إزالة الوحيدة ستترك آلة لا تُقلع. ذلك الفحص هو الفرق بين تراجع وإعادة بناء. وهو أيضًا سبب فشل التسلسل حين تكون النواة العامة قد أُزيلت سابقًا.

نفّذه بينما النواة العامة ما زالت مثبّتة، واقبل التحذير الخاص بإزالة نواة، ثم أعد التشغيل بعده. بعد ذلك تأكد من عدم بقاء أي حزمة FIPS في الحالة المثبّتة وأن النواة العاملة هي التي توقعتها.

على مضيف بعيد، رتّب أولًا وصولًا عبر الطرفية أو خارج النطاق. إزالة نواة عبر SSH أمر مقبول حتى إعادة التشغيل التي لا تعود.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

حين يكون الاعتماد هو المطلب

التراجع خطوة خاطئة حين يكون الاعتماد تعاقديًا، لأن الآلة تخرج عندئذ من الإعداد الذي يصفه التدقيق. في هذه الحالة تكون فجوة برامج التشغيل مسألة اختيار عتاد: اختر محوّلًا لاسلكيًا يأتي برنامج تشغيله مع النواة المعتمدة، أو اقبل آلة سلكية فقط، أو انقل النفق إلى مكوّن تدعمه النواة المعتمدة أصلًا.

بناء وحدة خارج الشجرة داخل النواة المعتمدة ليس حلًا محايدًا. إنه يغيّر ما تنفّذه النواة، وهذا تحديدًا هو الوصف الذي يقدّمه الاعتماد.

سجّل القرار مع اسم المالك بجانبه، لأن طلب «اجعل Wi-Fi يعمل فقط» سيعود بعد أشهر بقليل من السياق. ملاحظة قصيرة الآن تمنع الجدال نفسه لاحقًا.

افحص المكدّس طبقات بعد التغيير

بعد التراجع أو تغيير العتاد، تحقق من الأسفل إلى الأعلى بدلًا من الأعلى من عميل VPN إلى الأسفل. يجب أن توجد الواجهة، ويجب أن يكون الوصل قائمًا، ويجب أن يعمل المحلّل، وعندها فقط يهم النفق. كل طبقة تفشل برسالتها، وقراءتها بالترتيب تُبقي التشخيص صادقًا.

حالة DNS المتبقية من الإقلاع السابق نتيجة إيجابية كاذبة شائعة، فاقرأ المحلّل قبل أن تستنتج أن النفق انكسر.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

إذا استمر فشل النفق بعد رجوع النواة، فاقرأ المرحلة الفاشلة بدلًا من سطر ملخّص العميل. وحدة لم تُحمّل قط، وشهادة رفضها النظير، وبيانات اعتماد رفضها الخادم: ثلاث مشكلات منفصلة، وإعادة التشغيل لن تفرّق بينها نيابةً عنك. سجّل اسم المرحلة في التذكرة، ليبدأ المهندس التالي من حيث توقفت.