Η αλλαγή πυρήνα FIPS πήρε μαζί της τις μονάδες Wi-Fi και VPN

Ενεργοποιήστε το fips-updates, κάντε επανεκκίνηση και το μηχάνημα επιστρέφει χωρίς ασύρματη διεπαφή, ενώ ο πελάτης VPN αρνείται να ξεκινήσει επειδή λείπει η μονάδα πυρήνα του. Τίποτα δεν απεγκαταστάθηκε με τη συνήθη έννοια των πακέτων, και γι' αυτό η επανεγκατάσταση του πελάτη δεν αλλάζει απολύτως τίποτα. Το μηχάνημα τρέχει έναν πυρήνα για τον οποίο δεν χτίστηκαν ποτέ οι οδηγοί του. Δύο συμπτώματα, μία αιτία, και η αιτία φαίνεται με μία μόνο εντολή.

Τι άλλαξε στην πραγματικότητα η επανεκκίνηση

Οι ενημερώσεις FIPS του Ubuntu Pro εγκαθιστούν μια πιστοποιημένη παραλλαγή πυρήνα και την κάνουν προεπιλεγμένη καταχώριση εκκίνησης. Αυτή η παραλλαγή είναι πραγματικός πυρήνας: εκκινεί, τρέχει και ξεκινά τις υπηρεσίες που είχατε ήδη. Αυτό που δεν περιέχει είναι κάθε μονάδα που χτίστηκε για τον γενικό πυρήνα, μαζί με έναν ασύρματο οδηγό μεταγλωττισμένο έξω από το δέντρο και μια μονάδα σήραγγας που παραδίδεται μέσω DKMS. Το σύνολο των οδηγών κινείται μαζί με τον πυρήνα, όχι με τον διαχειριστή πακέτων. Άρα το υλικό είναι ακόμη εκεί και το λογισμικό που μιλάει μαζί του δεν είναι.

Συγκρίνετε τον πυρήνα που τρέχει με τα εγκατεστημένα πακέτα πριν ανοίξετε οποιαδήποτε ρύθμιση δικτύου. Η συμβολοσειρά έκδοσης φέρει ένα σημάδι που ο γενικός πυρήνας δεν έχει, και αυτή η μία λεπτομέρεια εξηγεί και τα δύο κομμάτια που λείπουν.

Διαβάστε και την καταχώριση εκκίνησης, γιατί ένα μηχάνημα μπορεί να έχει τον πιστοποιημένο πυρήνα εγκατεστημένο χωρίς να τον εκτελεί. Σε αυτή την περίπτωση η ιστορία των μονάδων είναι εντελώς διαφορετική, και οι θύρες και οι οδηγοί που επρόκειτο να επανεγκαταστήσετε είναι εντάξει.

Διαβάστε την κατάσταση των μονάδων πριν από τη ρύθμιση του πελάτη

Μια μονάδα που δεν βρίσκεται και μια μονάδα που υπάρχει αλλά αρνείται να φορτωθεί είναι δύο διαφορετικές βλάβες με διαφορετικές λύσεις. Το modinfo αναφέρει ποια από τις δύο έχετε, και το lsmod αναφέρει τι είναι φορτωμένο αυτή τη στιγμή. Κάντε και τα δύο πριν αγγίξετε τη ρύθμιση του πελάτη VPN, γιατί το σφάλμα του ίδιου του πελάτη σπάνια τις ξεχωρίζει.

Το ασύρματο χρειάζεται τον ίδιο διαχωρισμό. Μια διεπαφή που δεν εμφανίζεται ποτέ δείχνει τον οδηγό, ενώ μία που υπάρχει αλλά μένει μπλοκαρισμένη δείχνει το rfkill ή τον διαχειριστή δικτύου. Οι δύο φαίνονται ίδιες σε μια μικροεφαρμογή της επιφάνειας εργασίας και δεν μοιράζονται τίποτα από κάτω.

Εκτελέστε τους ελέγχους στο ίδιο το μηχάνημα όσο η βλάβη αναπαράγεται ακόμη. Η έξοδος που επικολλήθηκε από άλλον υπολογιστή δεν αντικαθιστά αυτήν.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

Όταν το modinfo δεν βρίσκει καθόλου τη μονάδα, η επανεγκατάσταση του πακέτου χώρου χρήστη δεν θα βοηθήσει, γιατί ο χώρος χρήστη δεν ήταν ποτέ το κομμάτι που έλειπε. Αυτή η παρατήρηση γλιτώνει μια ώρα πακέτων και δείχνει κατευθείαν στον πυρήνα.

Κάντε επαναφορά με σειρά που σας αφήνει πυρήνα

Αν το FIPS ενεργοποιήθηκε κατά λάθος, η τεκμηριωμένη διαδρομή ανάκτησης απενεργοποιεί την υπηρεσία, καθαρίζει τα πακέτα της και μετά επαναφέρει τον γενικό πυρήνα. Η σειρά δεν είναι διακοσμητική. Ο καθαρισμός αρνείται να συνεχίσει όταν δεν βρίσκει άλλον πυρήνα Ubuntu, γιατί η αφαίρεση του μοναδικού θα άφηνε μηχάνημα που δεν εκκινεί. Αυτός ο έλεγχος είναι η διαφορά ανάμεσα σε επαναφορά και ανακατασκευή. Είναι επίσης ο λόγος που η ακολουθία αποτυγχάνει όταν ο γενικός πυρήνας έχει ήδη αφαιρεθεί.

Εκτελέστε την όσο ο γενικός πυρήνας είναι ακόμη εγκατεστημένος, δεχτείτε την προειδοποίηση για αφαίρεση πυρήνα και μετά επανεκκινήστε. Έπειτα επιβεβαιώστε ότι δεν έμεινε κανένα πακέτο FIPS σε κατάσταση εγκατεστημένο και ότι ο πυρήνας που τρέχει είναι αυτός που περιμένατε.

Σε απομακρυσμένο υπολογιστή, φροντίστε πρώτα πρόσβαση κονσόλας ή εκτός ζώνης. Η αφαίρεση πυρήνα μέσω SSH είναι εντάξει μέχρι ακριβώς την επανεκκίνηση που δεν επιστρέφει.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

Όταν η πιστοποίηση είναι η απαίτηση

Η επαναφορά είναι λάθος κίνηση όταν η πιστοποίηση είναι συμβατική, γιατί τότε το μηχάνημα φεύγει από τη διαμόρφωση που περιγράφει ο έλεγχος. Σε αυτή την περίπτωση το κενό οδηγού είναι θέμα επιλογής υλικού: διαλέξτε ασύρματο προσαρμογέα του οποίου ο οδηγός έρχεται με τον πιστοποιημένο πυρήνα, δεχτείτε μηχάνημα μόνο με καλώδιο ή μετακινήστε τη σήραγγα σε στοιχείο που ο πιστοποιημένος πυρήνας υποστηρίζει ήδη.

Το χτίσιμο μονάδας έξω από το δέντρο μέσα στον πιστοποιημένο πυρήνα δεν είναι ουδέτερη λύση. Αλλάζει το τι εκτελεί ο πυρήνας, και ακριβώς αυτή την ιδιότητα περιγράφει η πιστοποίηση.

Καταγράψτε την απόφαση με το όνομα του ιδιοκτήτη δίπλα, γιατί το αίτημα να δουλέψει απλώς το Wi-Fi θα επιστρέψει σε λίγους μήνες με λιγότερο πλαίσιο. Μια σύντομη σημείωση τώρα αποτρέπει την ίδια διαφωνία αργότερα.

Ελέγξτε τη στοίβα σε επίπεδα μετά την αλλαγή

Μετά την επαναφορά ή την αλλαγή υλικού, επαληθεύστε από κάτω προς τα πάνω αντί από τον πελάτη VPN προς τα κάτω. Η διεπαφή πρέπει να υπάρχει, η ζεύξη πρέπει να είναι ενεργή, ο επιλυτής πρέπει να δουλεύει, και μόνο τότε έχει σημασία η σήραγγα. Κάθε επίπεδο αποτυγχάνει με το δικό του μήνυμα, και η ανάγνωσή τους με σειρά κρατά τη διάγνωση έντιμη.

Η υπολειπόμενη κατάσταση DNS από την προηγούμενη εκκίνηση είναι συχνό ψευδές θετικό, οπότε διαβάστε τον επιλυτή πριν συμπεράνετε ότι χάλασε η σήραγγα.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

Αν η σήραγγα εξακολουθεί να αποτυγχάνει όταν επιστρέψει ο πυρήνας, διαβάστε το στάδιο που αποτυγχάνει αντί για τη γραμμή σύνοψης του πελάτη. Μια μονάδα που δεν φορτώθηκε ποτέ, ένα πιστοποιητικό που απέρριψε ο ομότιμος και ένα διαπιστευτήριο που αρνήθηκε ο διακομιστής είναι τρία ξεχωριστά προβλήματα, και μια επανεκκίνηση δεν θα τα ξεχωρίσει για σας. Καταγράψτε το όνομα του σταδίου στο δελτίο, και ο επόμενος μηχανικός θα ξεκινήσει εκεί που σταματήσατε.