Змена ядра FIPS забрала з сабой модулі Wi-Fi і VPN

Уключыце fips-updates, перазагрузіцеся — і машына вяртаецца без бесправаднога інтэрфейсу, а кліент VPN адмаўляецца запускацца, бо яго модуль ядра адсутнічае. Нічога не было выдалена ў звычайным сэнсе пакетаў, і менавіта таму пераўсталёўка кліента не змяняе нічога. Машына працуе на ядры, для якога яе драйверы ніколі не збіраліся. Два сімптомы, адна прычына, і прычына бачная ў адной камандзе.

Што насамрэч пераключыла перазагрузка

Абнаўленні FIPS у Ubuntu Pro усталёўваюць сертыфікаваны варыянт ядра і робяць яго прадвызначаным пунктам загрузкі. Гэты варыянт — сапраўднае ядро: яно загружаецца, працуе і запускае службы, якія ў вас ужо былі. Чаго ў ім няма, дык гэта ўсіх модуляў, збудаваных для агульнага ядра, у тым ліку бесправаднога драйвера, сабранага па-за дрэвам, і тунельнага модуля, які пастаўляецца праз DKMS. Набор драйвераў рухаецца разам з ядром, а не з менеджарам пакетаў. Такім чынам, абсталяванне ўсё яшчэ ёсць, а праграмнага забеспячэння, якое з ім размаўляе, няма.

Параўнайце працуючае ядро з усталяванымі пакетамі, перш чым адкрываць любыя сеткавыя налады. Радок версіі нясе маркер, якога няма ў агульнага ядра, і гэтая адна дэталь тлумачыць абодва адсутныя кавалкі.

Прачытайце і пункт загрузкі, бо машына можа мець сертыфікаванае ядро ўсталяваным, але не запускаць яго. У такім разе гісторыя з модулямі цалкам іншая, і порты ды драйверы, якія вы збіраліся пераўсталёўваць, у парадку.

Прачытайце стан модуляў да наладкі кліента

Модуль, які немагчыма знайсці, і модуль, які існуе, але адмаўляецца загружацца, — гэта розныя непаладкі з рознымі рашэннямі. modinfo паведамляе, якая з іх у вас, а lsmod — што загружана зараз. Зрабіце і тое, і тое, перш чым кранаць налады кліента VPN, бо ўласная памылка кліента рэдка іх раздзяляе.

Бесправадная частка патрабуе таго ж падзелу. Інтэрфейс, які ніколі не з'яўляецца, паказвае на драйвер, а той, што існуе, але застаецца заблакіраваным, — на rfkill або на менеджар сеткі. У праграме на працоўным стале яны выглядаюць аднолькава і нічога не маюць агульнага ўнутры.

Праводзьце праверкі на самой машыне, пакуль непаладка яшчэ ўзнаўляецца. Вывад, устаўлены з іншага хоста, не замяняе гэты.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

Калі modinfo зусім не можа знайсці модуль, пераўсталёўка пакета прасторы карыстальніка не дапаможа, бо прастора карыстальніка ніколі не была адсутнай часткай. Гэта назіранне эканоміць гадзіну пакетнай мітусні і паказвае проста на ядро.

Адкотвайце ў такім парадку, каб вам засталося ядро

Калі FIPS быў уключаны памылкова, дакументаваны шлях аднаўлення адключае службу, выдаляе яе пакеты, а потым аднаўляе агульнае ядро. Парадак не дэкаратыўны. Выдаленне адмаўляецца працягваць, калі не знаходзіць іншага ядра Ubuntu, бо выдаленне адзінага пакінула б машыну, якая не можа загрузіцца. Гэтая праверка і ёсць розніца паміж адкотам і перабудовай. Яна ж — прычына, чаму паслядоўнасць не спрацоўвае, калі агульнае ядро ўжо выдалена.

Выканайце гэта, пакуль агульнае ядро яшчэ ўсталявана, прымеце папярэджанне аб выдаленні ядра і пасля перазагрузіцеся. Потым пацвердзіце, што ні адзін пакет FIPS не застаўся ва ўсталяваным стане і што працуючае ядро — тое, якое вы чакалі.

На аддаленым хосце спачатку арганізуйце кансольны або пазапалосны доступ. Выдаляць ядро праз SSH нармальна роўна да таго моманту, калі перазагрузка не вернецца.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

Калі сертыфікацыя — гэта патрабаванне

Адкот — няправільны крок, калі сертыфікацыя прадугледжана дамовай, бо тады машына выходзіць з канфігурацыі, якую апісвае аўдыт. У такім разе разрыў у драйверах — гэта пытанне выбару абсталявання: вазьміце бесправадны адаптар, драйвер якога пастаўляецца з сертыфікаваным ядром, пагадзіцеся на машыну толькі з кабелем або перанясіце тунель на кампанент, які сертыфікаванае ядро ўжо падтрымлівае.

Убудаванне модуля па-за дрэвам у сертыфікаванае ядро — не нейтральны абыход. Яно змяняе тое, што выконвае ядро, і менавіта гэтую ўласцівасць апісвае сертыфікацыя.

Запішыце рашэнне разам з імем уладальніка, бо просьба проста зрабіць Wi-Fi працаздольным вернецца праз некалькі месяцаў з меншым кантэкстам. Кароткая нататка зараз прадухіляе тую ж спрэчку пазней.

Праверце стэк пластамі пасля змены

Пасля адкоту або змены абсталявання правярайце знізу ўверх, а не ад кліента VPN уверх. Інтэрфейс павінен існаваць, злучэнне — быць узнятым, рэзальвер — працаваць, і толькі тады мае значэнне тунель. Кожны пласт падае са сваім паведамленнем, і чытанне іх па парадку трымае дыягностыку сумленнай.

Рэшткавы стан DNS ад папярэдняй загрузкі — частая ілжывая трывога, таму прачытайце рэзальвер, перш чым рабіць выснову, што тунель зламаўся.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

Калі тунель па-ранейшаму не працуе пасля вяртання ядра, чытайце этап, які падае, а не радок зводкі кліента. Модуль, які ніколі не загрузіўся, сертыфікат, які адхіліў партнёр, і ўліковыя даныя, якія адхіліў сервер, — тры асобныя праблемы, і перазагрузка не адрозніць іх за вас. Зафіксуйце назву этапу ў заяўцы, і наступны інжынер пачне з таго месца, дзе вы спыніліся.