FIPS কার্নেল বদল Wi-Fi ও VPN মডিউল দুটোই নিয়ে গেল

fips-updates চালু করুন, রিবুট করুন, আর মেশিনটি ফিরে আসে ওয়্যারলেস ইন্টারফেস ছাড়া, আর VPN ক্লায়েন্ট চালু হতে অস্বীকার করে কারণ তার কার্নেল মডিউলটি নেই। সাধারণ প্যাকেজের অর্থে কিছুই আনইনস্টল হয়নি, তাই ক্লায়েন্ট পুনরায় ইনস্টল করলে কিছুই বদলায় না। মেশিনটি এমন একটি কার্নেলে চলছে যার জন্য তার ড্রাইভার কখনো তৈরি হয়নি। দুটি লক্ষণ, একটি কারণ, আর কারণটি একটি কমান্ডেই দেখা যায়।

রিবুট আসলে কী বদলাল

Ubuntu Pro-র FIPS আপডেট একটি প্রত্যয়িত কার্নেল ভ্যারিয়েন্ট ইনস্টল করে এবং সেটিকে ডিফল্ট বুট এন্ট্রি বানায়। সেই ভ্যারিয়েন্ট সত্যিকারের কার্নেল: এটি বুট হয়, চলে, এবং আপনার আগে থেকেই থাকা সার্ভিসগুলো চালু করে। যেটি এতে নেই তা হলো জেনেরিক কার্নেলের জন্য তৈরি প্রতিটি মডিউল, যার মধ্যে ট্রি-এর বাইরে কম্পাইল করা একটি ওয়্যারলেস ড্রাইভার এবং DKMS-এর মাধ্যমে সরবরাহ করা একটি টানেল মডিউল। ড্রাইভার সেটটি প্যাকেজ ম্যানেজারের সঙ্গে নয়, কার্নেলের সঙ্গে সরে। তাই হার্ডওয়্যার এখনো আছে, আর তার সঙ্গে কথা বলা সফটওয়্যারটি নেই।

কোনো নেটওয়ার্ক সেটিং খোলার আগে চলমান কার্নেলের সঙ্গে ইনস্টল করা প্যাকেজগুলো মিলিয়ে দেখুন। ভার্সন স্ট্রিংয়ে এমন একটি চিহ্ন থাকে যা জেনেরিক কার্নেলে নেই, আর ওই একটি তথ্যই দুই অনুপস্থিত অংশের ব্যাখ্যা দেয়।

বুট এন্ট্রিও পড়ুন, কারণ একটি মেশিনে প্রত্যয়িত কার্নেল ইনস্টল থাকলেও সেটি চলতে পারে না। সে ক্ষেত্রে মডিউলের গল্প সম্পূর্ণ আলাদা, আর আপনি যে পোর্ট ও ড্রাইভার পুনরায় ইনস্টল করতে যাচ্ছিলেন সেগুলো ঠিকই আছে।

ক্লায়েন্ট কনফিগারেশনের আগে মডিউলের অবস্থা পড়ুন

যে মডিউল খুঁজে পাওয়া যায় না আর যে মডিউল আছে কিন্তু লোড হতে অস্বীকার করে—এ দুটি আলাদা ত্রুটি, আলাদা সমাধানসহ। modinfo জানায় আপনার কাছে কোনটি আছে, আর lsmod জানায় এই মুহূর্তে কী লোড আছে। VPN ক্লায়েন্টের কনফিগারেশনে হাত দেওয়ার আগে দুটোই করুন, কারণ ক্লায়েন্টের নিজের ত্রুটি এদের খুব কমই আলাদা করে।

ওয়্যারলেসেরও একই বিভাজন দরকার। যে ইন্টারফেস কখনো দেখা যায় না তা ড্রাইভারের দিকে ইঙ্গিত করে, আর যা আছে কিন্তু ব্লক হয়ে থাকে তা rfkill বা নেটওয়ার্ক ম্যানেজারের দিকে। ডেস্কটপ অ্যাপলেটে দুটি একই রকম দেখায়, অথচ ভেতরে কিছুই ভাগ করে না।

ত্রুটি এখনো পুনরুৎপাদনযোগ্য থাকতেই মেশিনটির ওপরেই পরীক্ষাগুলো চালান। অন্য হোস্ট থেকে পেস্ট করা আউটপুট এর বিকল্প নয়।

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

যখন modinfo মডিউলটি একেবারেই খুঁজে পায় না, তখন ইউজারস্পেস প্যাকেজ পুনরায় ইনস্টল করলে লাভ হবে না, কারণ ইউজারস্পেস কখনোই অনুপস্থিত অংশ ছিল না। এই পর্যবেক্ষণ একটি ঘণ্টার প্যাকেজ-দৌড় বাঁচায় এবং সরাসরি কার্নেলের দিকে ইঙ্গিত করে।

এমন ক্রমে ফিরে যান যা আপনাকে একটি কার্নেল রাখে

FIPS ভুলবশত চালু হয়ে থাকলে, নথিভুক্ত পুনরুদ্ধার পথটি সার্ভিসটি নিষ্ক্রিয় করে, তার প্যাকেজগুলো মোছে, তারপর জেনেরিক কার্নেল পুনরুদ্ধার করে। ক্রমটি সৌন্দর্যের জন্য নয়। অন্য কোনো Ubuntu কার্নেল খুঁজে না পেলে মোছার কাজ এগোতে অস্বীকার করে, কারণ একমাত্রটিই সরিয়ে ফেললে এমন মেশিন থেকে যাবে যা বুট করতে পারে না। ওই পরীক্ষাটিই ফিরে যাওয়া আর নতুন করে গড়ার মধ্যে পার্থক্য। এটিই সেই কারণও, জেনেরিক কার্নেল আগেই সরানো হলে ক্রমটি ব্যর্থ হয়।

জেনেরিক কার্নেল এখনো ইনস্টল থাকতেই এটি চালান, কার্নেল সরানোর সতর্কবার্তিটি মেনে নিন, আর পরে রিবুট করুন। তারপর নিশ্চিত করুন যে ইনস্টল করা অবস্থায় কোনো FIPS প্যাকেজ নেই এবং চলমান কার্নেলটি আপনার প্রত্যাশিতটিই।

দূরবর্তী হোস্টে প্রথমে কনসোল বা আউট-অব-ব্যান্ড অ্যাক্সেসের ব্যবস্থা করুন। SSH-এর ওপর দিয়ে কার্নেল সরানো ঠিকই আছে, ঠিক সেই রিবুট পর্যন্ত যা আর ফিরে আসে না।

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

যখন প্রত্যয়নই দরকার

প্রত্যয়ন যখন চুক্তিগত, তখন ফিরে যাওয়াই ভুল পদক্ষেপ, কারণ তখন মেশিনটি অডিটে বর্ণিত কনফিগারেশন থেকে বেরিয়ে যায়। সে ক্ষেত্রে ড্রাইভারের ঘাটতিটি হার্ডওয়্যার বাছাইয়ের প্রশ্ন: এমন ওয়্যারলেস অ্যাডাপ্টার নিন যার ড্রাইভার প্রত্যয়িত কার্নেলের সঙ্গে আসে, শুধু তারের মেশিন মেনে নিন, অথবা টানেলটিকে এমন উপাদানে সরান যা প্রত্যয়িত কার্নেল আগেই সমর্থন করে।

প্রত্যয়িত কার্নেলে ট্রি-এর বাইরের একটি মডিউল তৈরি করা নিরপেক্ষ কোনো সমাধান নয়। এটি বদলে দেয় কার্নেল কী চালায়, আর প্রত্যয়ন ঠিক সেই বৈশিষ্ট্যেরই বর্ণনা দেয়।

সিদ্ধান্তটি পাশে মালিকের নামসহ লিখে রাখুন, কারণ শুধু Wi-Fi চালু করে দেওয়ার অনুরোধটি কয়েক মাস পরে আরও কম প্রসঙ্গ নিয়ে ফিরে আসবে। এখন একটি ছোট নোট পরে ওই একই তর্ক আটকে দেয়।

পরিবর্তনের পরে স্ট্যাকটি স্তরে স্তরে দেখুন

ফিরে যাওয়া বা হার্ডওয়্যার বদলের পরে VPN ক্লায়েন্ট থেকে নিচের দিকে নয়, বরং নিচ থেকে ওপরে যাচাই করুন। ইন্টারফেসটি থাকতেই হবে, লিংকটি আপ থাকতেই হবে, রিজলভারটিকে কাজ করতে হবে, আর কেবল তখনই টানেলটি গুরুত্বপূর্ণ। প্রতিটি স্তর নিজের বার্তা নিয়ে ব্যর্থ হয়, আর সেগুলো ক্রমে পড়লে রোগনির্ণয় সৎ থাকে।

আগের বুট থেকে পড়ে থাকা DNS অবস্থা একটি সাধারণ ভুয়া সংকেত, তাই টানেল ভেঙেছে বলে সিদ্ধান্তে আসার আগে রিজলভারটি পড়ুন।

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

কার্নেল ফিরে আসার পরেও টানেল ব্যর্থ হলে ক্লায়েন্টের সারসংক্ষেপ লাইন নয়, ব্যর্থ হওয়া ধাপটি পড়ুন। যে মডিউল কখনো লোড হয়নি, যে সার্টিফিকেট সহকর্মী প্রান্ত প্রত্যাখ্যান করেছে আর যে ক্রেডেনশিয়াল সার্ভার অস্বীকার করেছে—এ তিনটি আলাদা সমস্যা, আর একটি রিবুট আপনার হয়ে এদের আলাদা করবে না। টিকিটে ধাপের নামটি লিখে রাখুন, পরের ইঞ্জিনিয়ার যেখানে আপনি থেমেছেন সেখান থেকেই শুরু করবে।