FIPS-tuumavahetus viis kaasa Wi-Fi ja VPN-i moodulid

Lülitage sisse fips-updates, taaskäivitage, ja masin tuleb tagasi ilma traadita liideseta, samal ajal kui VPN-klient keeldub käivitumast, sest selle tuumamoodul puudub. Midagi ei desinstallitud tavalises paketi mõttes, ja seepärast ei muuda kliendi uuesti installimine üldse midagi. Masin töötab tuumaga, mille jaoks selle draiverid kunagi ei ehitatud. Kaks sümptomit, üks põhjus, ja põhjus on näha ühe käsuga.

Mida taaskäivitus tegelikult vahetas

Ubuntu Pro FIPS-värskendused installivad sertifitseeritud tuumavariandi ja teevad sellest vaikimisi alglaadimiskirje. See variant on tõeline tuum: see laadib, see töötab ja see käivitab teenused, mis teil juba olid. Mida see ei sisalda, on iga üldise tuuma jaoks ehitatud moodul, sealhulgas väljaspool puud kompileeritud traadita draiver ja DKMS-i kaudu tarnitav tunnelimoodul. Draiverite komplekt liigub koos tuumaga, mitte paketihalduriga. Nii et riistvara on endiselt olemas ja tarkvara, mis sellega räägib, ei ole.

Võrrelge töötavat tuuma paigaldatud pakettidega enne, kui avate ükskõik millise võrgusätte. Versioonistring kannab märgist, mida üldisel tuumal ei ole, ja see üks detail selgitab mõlemat puuduvat tükki.

Lugege ka alglaadimiskirjet, sest masinal võib olla sertifitseeritud tuum paigaldatud, ilma et see töötaks. Sel juhul on moodulite lugu täiesti teine, ja pordid ning draiverid, mida kavatsesite uuesti installida, on korras.

Lugege moodulite olekut enne kliendi seadistamist

Moodul, mida ei leita, ja moodul, mis on olemas, kuid keeldub laadimast, on kaks erinevat viga erinevate lahendustega. modinfo teatab, milline neist teil on, ja lsmod teatab, mis on praegu laetud. Tehke mõlemat enne, kui puudutate VPN-kliendi seadistust, sest kliendi enda viga eristab neid harva.

Traadita osa vajab sama jaotust. Liides, mis ei ilmu kunagi, osutab draiverile, samas kui olemasolev, kuid blokeerituks jääv liides osutab rfkill-ile või võrguhaldurile. Need kaks näevad töölaua rakenduses ühesugused välja ega jaga midagi allpool.

Käivitage kontrollid masinal endal, kuni viga on veel korratav. Teisest hostist kopeeritud väljund ei asenda seda.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

Kui modinfo ei leia moodulit üldse, ei aita kasutajaruumi paketi uuesti installimine, sest kasutajaruum ei olnud kunagi puuduv osa. See tähelepanek säästab tunni paketimängu ja osutab otse tuumale.

Kerige tagasi järjekorras, mis jätab teile tuuma

Kui FIPS lülitati kogemata sisse, keelab dokumenteeritud taastetee teenuse, puhastab selle paketid ja taastab seejärel üldise tuuma. Järjekord ei ole kosmeetiline. Puhastamine keeldub jätkamast, kui see ei leia teist Ubuntu tuuma, sest ainsa eemaldamine jätaks masina, mis ei käivitu. See kontroll on tagasikerimise ja ülesehitamise vahe. See on ka põhjus, miks jada ebaõnnestub, kui üldine tuum on juba eemaldatud.

Käivitage see, kuni üldine tuum on veel paigaldatud, nõustuge hoiatusega tuuma eemaldamise kohta ja taaskäivitage seejärel. Seejärel kinnitage, et paigaldatud olekusse ei jäänud ühtegi FIPS-paketti ja et töötav tuum on see, mida ootasite.

Kaugmasinas korraldage esmalt konsooli- või ribaväline juurdepääs. Tuuma eemaldamine SSH kaudu on korras täpselt kuni taaskäivituseni, mis ei tule tagasi.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

Kui sertifitseerimine on nõue

Tagasikerimine on vale käik, kui sertifitseerimine on lepinguline, sest siis lahkub masin seadistusest, mida audit kirjeldab. Sel juhul on draiverilünk riistvara valiku küsimus: valige traadita adapter, mille draiver tuleb sertifitseeritud tuumaga, nõustuge ainult kaabliga masinaga või viige tunnel komponenti, mida sertifitseeritud tuum juba toetab.

Väljaspool puud oleva mooduli ehitamine sertifitseeritud tuuma ei ole neutraalne lahendus. See muudab seda, mida tuum täidab, ja täpselt seda omadust sertifitseerimine kirjeldab.

Kirjutage otsus koos omaniku nimega kõrvale, sest palve lihtsalt Wi-Fi tööle saada tuleb mõne kuu pärast tagasi väiksema kontekstiga. Lühike märkus praegu hoiab ära sama vaidluse hiljem.

Kontrollige virna kihiti pärast muudatust

Pärast tagasikerimist või riistvara muudatust kontrollige alt üles, mitte VPN-kliendist allapoole. Liides peab olemas olema, ühendus peab olema üleval, resolver peab töötama, ja alles siis on tunnelil tähtsust. Iga kiht ebaõnnestub oma sõnumiga, ja nende järjekorras lugemine hoiab diagnoosi ausana.

Eelmisest alglaadimisest jäänud DNS-olek on tavaline valepositiivne, seega lugege resolverit enne, kui järeldate, et tunnel läks katki.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

Kui tunnel ebaõnnestub endiselt pärast tuuma tagasitulekut, lugege ebaõnnestuvat etappi, mitte kliendi kokkuvõtte rida. Moodul, mida kunagi ei laetud, sertifikaat, mille partner lükkas tagasi, ja mandaat, mille server keeldus, on kolm eraldi probleemi, ja taaskäivitus ei erista neid teie eest. Kirjutage etapi nimi piletisse ja järgmine insener alustab sealt, kus teie lõpetasite.