FIPS-Kernelwechsel nahm die WLAN- und VPN-Module mit

Aktivieren Sie fips-updates, starten Sie neu, und die Maschine kommt ohne Funk-Schnittstelle zurück, während der VPN-Client den Start verweigert, weil sein Kernelmodul fehlt. Es wurde nichts im üblichen Paketsinn deinstalliert, und deshalb ändert eine Neuinstallation des Clients überhaupt nichts. Die Maschine läuft mit einem Kernel, für den ihre Treiber nie gebaut wurden. Zwei Symptome, eine Ursache, und die Ursache zeigt sich in einem einzigen Befehl.

Was der Neustart tatsächlich umgeschaltet hat

Die FIPS-Aktualisierungen von Ubuntu Pro installieren eine zertifizierte Kernelvariante und machen sie zum Standard-Starteintrag. Diese Variante ist ein echter Kernel: Er startet, er läuft, und er startet die Dienste, die Sie schon hatten. Was er nicht enthält, ist jedes für den generischen Kernel gebaute Modul, einschließlich eines außerhalb des Baums kompilierten Funk-Treibers und eines über DKMS gelieferten Tunnelmoduls. Der Treibersatz bewegt sich mit dem Kernel, nicht mit der Paketverwaltung. Die Hardware ist also noch da, die Software, die mit ihr spricht, nicht.

Vergleichen Sie den laufenden Kernel mit den installierten Paketen, bevor Sie irgendeine Netzwerkeinstellung öffnen. Die Versionszeichenfolge trägt eine Markierung, die der generische Kernel nicht hat, und dieses eine Detail erklärt beide fehlenden Teile.

Lesen Sie auch den Starteintrag, denn eine Maschine kann den zertifizierten Kernel installiert haben, ohne ihn auszuführen. In diesem Fall ist die Modulgeschichte völlig anders, und die Ports und Treiber, die Sie neu installieren wollten, sind in Ordnung.

Lesen Sie den Modulzustand vor der Client-Konfiguration

Ein Modul, das nicht gefunden wird, und ein Modul, das existiert, aber das Laden verweigert, sind verschiedene Fehler mit verschiedenen Lösungen. modinfo meldet, welchen Fall Sie haben, und lsmod meldet, was gerade geladen ist. Tun Sie beides, bevor Sie die Konfiguration des VPN-Clients anfassen, denn der eigene Fehler des Clients trennt die beiden selten.

Der Funk braucht dieselbe Trennung. Eine Schnittstelle, die nie erscheint, deutet auf den Treiber, während eine, die existiert, aber blockiert bleibt, auf rfkill oder auf den Netzwerkmanager deutet. Beide sehen in einem Desktop-Applet gleich aus und teilen unter der Oberfläche nichts.

Führen Sie die Prüfungen auf der Maschine selbst aus, solange der Fehler noch reproduzierbar ist. Eine Ausgabe von einem anderen Host ersetzt diese nicht.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

Wenn modinfo das Modul überhaupt nicht findet, hilft eine Neuinstallation des Userspace-Pakets nicht, weil der Userspace nie der fehlende Teil war. Diese Beobachtung spart eine Stunde Paketwirtschaft und zeigt direkt auf den Kernel.

Rollen Sie in einer Reihenfolge zurück, die Ihnen einen Kernel lässt

Wurde FIPS versehentlich aktiviert, deaktiviert der dokumentierte Wiederherstellungsweg den Dienst, entfernt seine Pakete und stellt danach den generischen Kernel wieder her. Die Reihenfolge ist nicht kosmetisch. Die Entfernung weigert sich weiterzumachen, wenn sie keinen anderen Ubuntu-Kernel findet, denn das Entfernen des einzigen würde eine Maschine hinterlassen, die nicht startet. Diese Prüfung ist der Unterschied zwischen einem Rollback und einem Neuaufbau. Sie ist auch der Grund, warum die Reihenfolge scheitert, wenn der generische Kernel bereits entfernt wurde.

Führen Sie das aus, solange der generische Kernel noch installiert ist, akzeptieren Sie die Warnung über das Entfernen eines Kernels und starten Sie danach neu. Bestätigen Sie dann, dass kein FIPS-Paket im installierten Zustand verbleibt und dass der laufende Kernel der erwartete ist.

Auf einem entfernten Host sorgen Sie zuerst für Konsole- oder Out-of-Band-Zugang. Einen Kernel über SSH zu entfernen ist in Ordnung bis genau zu dem Neustart, der nicht zurückkommt.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

Wenn die Zertifizierung die Anforderung ist

Zurückzurollen ist der falsche Schritt, wenn die Zertifizierung vertraglich ist, denn dann verlässt die Maschine die Konfiguration, die das Audit beschreibt. In diesem Fall ist die Treiberlücke eine Frage der Hardwareauswahl: Nehmen Sie einen Funk-Adapter, dessen Treiber mit dem zertifizierten Kernel geliefert wird, akzeptieren Sie eine Maschine nur mit Kabel, oder verlegen Sie den Tunnel auf eine Komponente, die der zertifizierte Kernel bereits unterstützt.

Ein Modul außerhalb des Baums in den zertifizierten Kernel zu bauen ist keine neutrale Lösung. Es ändert, was der Kernel ausführt, und genau diese Eigenschaft beschreibt die Zertifizierung.

Halten Sie die Entscheidung mit dem Namen des Eigentümers daneben fest, denn die Bitte, das WLAN einfach zum Laufen zu bringen, kommt in einigen Monaten mit weniger Kontext zurück. Eine kurze Notiz jetzt verhindert dieselbe Diskussion später.

Prüfen Sie den Stack nach der Änderung in Schichten

Prüfen Sie nach dem Rollback oder der Hardwareänderung von unten nach oben statt vom VPN-Client abwärts. Die Schnittstelle muss existieren, die Verbindung muss stehen, der Resolver muss arbeiten, und erst dann zählt der Tunnel. Jede Schicht scheitert mit ihrer eigenen Meldung, und sie in der Reihenfolge zu lesen hält die Diagnose ehrlich.

Übrig gebliebener DNS-Zustand vom vorherigen Start ist ein häufiger Fehlalarm, lesen Sie also den Resolver, bevor Sie schließen, dass der Tunnel kaputt ist.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

Wenn der Tunnel nach der Rückkehr des Kernels weiter scheitert, lesen Sie die scheiternde Stufe statt der Zusammenfassungszeile des Clients. Ein Modul, das nie geladen wurde, ein Zertifikat, das die Gegenseite ablehnte, und ein Anmeldedatum, das der Server verweigerte, sind drei getrennte Probleme, und ein Neustart unterscheidet sie nicht für Sie. Halten Sie den Namen der Stufe im Ticket fest, und der nächste Ingenieur beginnt dort, wo Sie aufgehört haben.