FIPS nüvə dəyişimi Wi-Fi və VPN modullarını da apardı

fips-updates-i aktivləşdirin, yenidən yükləyin və maşın simsiz interfeys olmadan geri qayıdır, VPN klienti isə nüvə modulu olmadığı üçün başlamaqdan imtina edir. Adi paket mənasında heç nə silinməyib, buna görə klienti yenidən qurmaq ümumiyyətlə heç nəyi dəyişmir. Maşın sürücülərinin heç vaxt qurulmadığı bir nüvədə işləyir. İki simptom, bir səbəb və səbəb tək bir əmrdə görünür.

Yenidən yükləmə əslində nəyi dəyişdi

Ubuntu Pro-nun FIPS yeniləmələri sertifikatlaşdırılmış nüvə variantını quraşdırır və onu standart yükləmə girişinə çevirir. Bu variant əsl nüvədir: yüklənir, işləyir və artıq malik olduğunuz xidmətləri başladır. İçində olmayan şey ümumi nüvə üçün qurulmuş hər moduldur, o cümlədən ağacdan kənar kompilyasiya edilmiş simsiz sürücü və DKMS vasitəsilə verilən tunel modulu. Sürücü dəsti paket meneceri ilə deyil, nüvə ilə birlikdə hərəkət edir. Beləliklə, aparat hələ də yerindədir və onunla danışan proqram deyil.

Hər hansı şəbəkə parametrini açmadan əvvəl işləyən nüvəni quraşdırılmış paketlərlə müqayisə edin. Versiya sətri ümumi nüvədə olmayan bir işarə daşıyır və bu tək detal hər iki itkin parçanı izah edir.

Yükləmə girişini də oxuyun, çünki maşında sertifikatlaşdırılmış nüvə quraşdırılıb, lakin işlədilməyə bilər. Bu halda modul hekayəsi tamamilə fərqlidir və yenidən qurmaq istədiyiniz portlar və sürücülər qaydasındadır.

Klient konfiqurasiyasından əvvəl modul vəziyyətini oxuyun

Tapıla bilməyən modul ilə mövcud olan, lakin yüklənməkdən imtina edən modul fərqli xətalar və fərqli həllərdir. modinfo hansının sizdə olduğunu, lsmod isə hazırda nəyin yükləndiyini bildirir. VPN klientinin konfiqurasiyasına toxunmadan əvvəl hər ikisini edin, çünki klientin öz xətası onları nadir hallarda ayırır.

Simsiz də eyni bölgüyə ehtiyac duyur. Heç vaxt görünməyən interfeys sürücüyə işarə edir, mövcud olub bloklanmış qalan isə rfkill-ə və ya şəbəkə menecerinə. Bu ikisi masaüstü appletdə eyni görünür və altında heç nəyi paylaşmır.

Yoxlamaları nasazlıq hələ təkrarlana bilənkən maşının özündə aparın. Başqa hostdan yapışdırılmış çıxış bunun əvəzi deyil.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

modinfo modulu ümumiyyətlə tapa bilmədikdə, istifadəçi sahəsi paketini yenidən qurmaq kömək etməyəcək, çünki istifadəçi sahəsi heç vaxt itkin hissə olmayıb. Bu müşahidə bir saatlıq paket əziyyətinə qənaət edir və birbaşa nüvəyə işarə edir.

Sizə nüvə qoyan bir sıra ilə geri qaytarın

Əgər FIPS səhvən aktivləşdirilibsə, sənədləşdirilmiş bərpa yolu xidməti söndürür, paketlərini təmizləyir və sonra ümumi nüvəni bərpa edir. Sıra kosmetik deyil. Təmizləmə başqa Ubuntu nüvəsi tapa bilmədikdə davam etməkdən imtina edir, çünki yeganə olanı silmək yüklənə bilməyən bir maşın qoyub gedərdi. Bu yoxlama geri qaytarma ilə yenidən qurma arasındakı fərqdir. Həm də ümumi nüvə əvvəlcədən silinibsə, ardıcıllığın uğursuz olmasının səbəbidir.

Ümumi nüvə hələ quraşdırılmışkən icra edin, nüvənin silinməsi ilə bağlı xəbərdarlığı qəbul edin və sonra yenidən yükləyin. Bundan sonra heç bir FIPS paketinin quraşdırılmış vəziyyətdə qalmadığını və işləyən nüvənin gözlədiyiniz olduğunu təsdiqləyin.

Uzaq hostda əvvəlcə konsol və ya zolaq xarici girişi təşkil edin. SSH üzərindən nüvə silmək geri qayıtmayan yenidən yükləməyə qədər qaydasındadır.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

Sertifikatlaşdırma tələb olduqda

Sertifikatlaşdırma müqavilə ilə bağlı olduqda geri qaytarmaq səhv addımdır, çünki maşın bundan sonra auditin təsvir etdiyi konfiqurasiyadan çıxır. Bu halda sürücü boşluğu aparat seçimi məsələsidir: sürücüsü sertifikatlaşdırılmış nüvə ilə gələn simsiz adapter seçin, yalnız kabel ilə işləyən maşını qəbul edin və ya tuneli sertifikatlaşdırılmış nüvənin artıq dəstəklədiyi komponentə köçürün.

Ağacdan kənar modulu sertifikatlaşdırılmış nüvəyə qurmaq neytral həll yolu deyil. Bu, nüvənin nə icra etdiyini dəyişir və məhz bu, sertifikatlaşdırmanın təsvir etdiyi xüsusiyyətdir.

Qərarı yanında sahibinin adı ilə qeyd edin, çünki sadəcə Wi-Fi-ı işə salmaq xahişi bir neçə aydan sonra daha az kontekstlə qayıdacaq. İndi yazılmış qısa qeyd sonradan eyni mübahisənin qarşısını alır.

Dəyişiklikdən sonra yığımı qat-qat yoxlayın

Geri qaytarmadan və ya aparat dəyişikliyindən sonra VPN klientindən aşağıya deyil, aşağıdan yuxarıya doğru yoxlayın. İnterfeys mövcud olmalı, əlaqə qalxmalı, həlledici işləməli, yalnız bundan sonra tunel əhəmiyyət kəsb etməlidir. Hər qat öz mesajı ilə uğursuz olur və onları sıra ilə oxumaq diaqnozu dürüst saxlayır.

Əvvəlki yükləmədən qalan DNS vəziyyəti tez-tez yalançı müsbət nəticədir, ona görə tunelin pozulduğu qənaətinə gəlməzdən əvvəl həlledicini oxuyun.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

Nüvə geri qayıtdıqdan sonra tunel hələ də uğursuz olursa, klientin xülasə sətrini deyil, uğursuz mərhələni oxuyun. Heç yüklənməmiş modul, qarşı tərəfin rədd etdiyi sertifikat və serverin rədd etdiyi etimadnamə üç ayrı problemdir və yenidən yükləmə onları sizin adınıza ayırmayacaq. Mərhələnin adını biletdə qeyd edin və növbəti mühəndis dayandığınız yerdən başlayacaq.