Zamjena jezgre s FIPS-om odnijela je i Wi-Fi i VPN module

Uključite fips-updates, restartujte, i mašina se vrati bez bežičnog interfejsa, dok VPN klijent odbija da se pokrene jer njegov modul jezgra nedostaje. Ništa nije deinstalirano u uobičajenom smislu paketa, i zato ponovna instalacija klijenta ne mijenja baš ništa. Mašina radi na jezgru za koje njeni drajveri nikad nisu bili kompajlirani. Dva simptoma, jedan uzrok, a uzrok se vidi u jednoj komandi.

Šta je restart zapravo prebacio

FIPS ažuriranja u Ubuntu Pro-u instaliraju certificiranu varijantu jezgra i postavljaju je kao zadanu stavku za podizanje. Ta varijanta je pravo jezgro: podiže se, radi i pokreće servise koje ste već imali. Ono što ne sadrži jest svaki modul izgrađen za generičko jezgro, uključujući bežični drajver kompajliran izvan stabla i tunelski modul isporučen kroz DKMS. Skup drajvera se kreće s jezgrom, a ne s upraviteljem paketa. Zato je hardver još tu, a softver koji s njim razgovara nije.

Uporedite jezgro koje radi s instaliranim paketima prije nego što otvorite bilo koju mrežnu postavku. Niz verzije nosi oznaku koju generičko jezgro nema, i taj jedan detalj objašnjava oba dijela koji nedostaju.

Pročitajte i stavku za podizanje, jer mašina može imati certificirano jezgro instalirano, a da ga ne pokreće. U tom slučaju priča o modulima je potpuno drugačija, a portovi i drajveri koje ste namjeravali ponovo instalirati su u redu.

Pročitajte stanje modula prije konfiguracije klijenta

Modul koji se ne može naći i modul koji postoji ali odbija da se učita dva su različita kvara s različitim rješenjima. modinfo javlja koji od njih imate, a lsmod javlja šta je trenutno učitano. Uradite oboje prije nego što dirnete konfiguraciju VPN klijenta, jer klijentova vlastita greška rijetko ih razdvaja.

Bežična strana traži istu podjelu. Interfejs koji se nikad ne pojavi upućuje na drajver, dok onaj koji postoji ali ostaje blokiran upućuje na rfkill ili na mrežnog menadžera. To dvoje izgleda identično u apletu na radnoj površini i ne dijeli ništa ispod.

Pokrenite provjere na samoj mašini dok se kvar još može ponoviti. Izlaz zalijepljen s drugog hosta nije zamjena za ovaj.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

Kad modinfo uopće ne može naći modul, ponovna instalacija paketa u korisničkom prostoru neće pomoći, jer korisnički prostor nikad nije bio dio koji nedostaje. To zapažanje štedi sat vremena natezanja s paketima i pokazuje pravo na jezgro.

Vratite se unatrag redoslijedom koji vam ostavlja jezgro

Ako je FIPS uključen greškom, dokumentovani put oporavka isključuje servis, briše njegove pakete i zatim vraća generičko jezgro. Redoslijed nije kozmetički. Brisanje odbija da nastavi kad ne može naći drugo Ubuntu jezgro, jer bi uklanjanje jedinog ostavilo mašinu koja se ne može podići. Ta provjera je razlika između vraćanja unatrag i ponovne gradnje. Ona je i razlog zašto niz ne uspijeva kad je generičko jezgro već uklonjeno.

Izvršite to dok je generičko jezgro još instalirano, prihvatite upozorenje o uklanjanju jezgra i zatim restartujte. Potom potvrdite da nije ostao nijedan FIPS paket u instaliranom stanju i da je jezgro koje radi ono koje ste očekivali.

Na udaljenom hostu prvo osigurajte konzolni ili izvanpojasni pristup. Uklanjanje jezgra preko SSH-a je u redu tačno do restarta koji se ne vraća.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

Kad je certifikacija uslov

Vraćanje unatrag je pogrešan potez kad je certifikacija ugovorna, jer mašina tada izlazi iz konfiguracije koju opisuje revizija. U tom slučaju praznina u drajverima je pitanje izbora hardvera: uzmite bežični adapter čiji drajver dolazi s certificiranim jezgrom, prihvatite mašinu samo s kablom ili premjestite tunel na komponentu koju certificirano jezgro već podržava.

Gradnja modula izvan stabla u certificirano jezgro nije neutralno rješenje. Ona mijenja šta jezgro izvršava, a upravo to svojstvo certifikacija opisuje.

Zapišite odluku s imenom vlasnika pored nje, jer će se zahtjev da se samo pusti Wi-Fi da radi vratiti za nekoliko mjeseci s manje konteksta. Kratka bilješka sada sprječava istu raspravu kasnije.

Provjerite stog u slojevima nakon promjene

Nakon vraćanja unatrag ili promjene hardvera provjeravajte odozdo prema gore, a ne od VPN klijenta prema dolje. Interfejs mora postojati, veza mora biti podignuta, resolver mora raditi i tek tada je tunel bitan. Svaki sloj pada sa svojom porukom, a čitanje po redu drži dijagnozu iskrenom.

Zaostalo DNS stanje iz prethodnog podizanja čest je lažni pozitivan nalaz, zato pročitajte resolver prije nego zaključite da se tunel pokvario.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

Ako tunel i dalje pada kad se jezgro vrati, čitajte fazu koja pada, a ne klijentov sažeti red. Modul koji se nikad nije učitao, certifikat koji je druga strana odbila i akreditiv koji je server odbio tri su odvojena problema, a restart ih neće razlučiti umjesto vas. Zabilježite naziv faze u tiketu i sljedeći inženjer počinje tamo gdje ste vi stali.