FIPS nukleoaren aldaketak Wi-Fi eta VPN moduluak eraman zituen

Gaitu fips-updates, berrabiarazi, eta makina haririk gabeko interfazerik gabe itzultzen da, VPN bezeroak abiarazteari uko egiten dion bitartean, bere nukleo modulua falta delako. Ez da ezer desinstalatu paketeen ohiko zentzuan, eta horregatik bezeroa berriro instalatzeak ez du ezer aldatzen. Makina bere kontrolatzaileak sekula eraiki ez ziren nukleo batekin dabil. Bi sintoma, kausa bat, eta kausa komando bakar batean agertzen da.

Zer aldatu zuen berrabiarazteak benetan

Ubuntu Pro-ren FIPS eguneratzeek nukleoaren bertsio ziurtatu bat instalatzen dute eta abio-sarrera lehenetsia bihurtzen dute. Bertsio hori benetako nukleoa da: abiarazi egiten da, funtzionatzen du, eta jada zenituen zerbitzuak abiarazten ditu. Barnean ez duena nukleo orokorrerako eraikitako modulu bakoitza da, zuhaitzetik kanpo konpilatutako haririk gabeko kontrolatzaile bat eta DKMS bidez emandako tunel modulu bat. Kontrolatzaileen multzoa nukleoarekin mugitzen da, ez pakete kudeatzailearekin. Beraz, hardwarea oraindik han dago eta berarekin hitz egiten duen softwarea ez.

Konparatu exekuzioan dagoen nukleoa instalatutako paketekin, sare-ezarpenik ireki aurretik. Bertsio-kateak nukleo orokorrak ez duen marka bat darama, eta xehetasun bakar horrek azaltzen ditu falta diren bi piezak.

Irakurri abio-sarrera ere, makina batek nukleo ziurtatua instalatuta izan baitezake exekutatu gabe. Kasu horretan moduluen istorioa erabat desberdina da, eta berriro instalatzeko zeunden atakak eta kontrolatzaileak ondo daude.

Irakurri moduluen egoera bezeroaren konfigurazioa baino lehen

Aurkitu ezin den modulu bat eta existitzen den baina kargatzeari uko egiten dion modulu bat akats desberdinak dira, konponbide desberdinekin. modinfo-k zein duzun adierazten du, eta lsmod-ek oraintxe zer dagoen kargatuta. Egin biak VPN bezeroaren konfigurazioari ukitu aurretik, bezeroaren akatsak berak gutxitan bereizten baititu.

Haririk gabekoak banaketa bera behar du. Sekula agertzen ez den interfaze batek kontrolatzailera seinalatzen du, existitzen den baina blokeatuta jarraitzen duenak rfkill-era edo sare kudeatzailera. Biak berdin ikusten dira mahaigaineko aplikazio txiki batean eta ez dute ezer partekatzen azpian.

Exekutatu egiaztapenak makinan bertan, akatsa oraindik errepikagarria den bitartean. Beste ostalari batetik itsatsitako irteerak ez du hau ordezkatzen.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

modinfo-k modulua batere aurkitzen ez duenean, erabiltzaile-espazioko paketea berriro instalatzeak ez du lagunduko, erabiltzaile-espazioa ez baitzen inoiz falta zen zatia. Ohar horrek ordubete pakete lan aurreztu eta zuzenean nukleora seinalatzen du.

Itzuli atzera nukleo bat uzten dizun ordenan

FIPS akats batez gaitu bazen, dokumentatutako berreskuratze-bideak zerbitzua desgaitzen du, bere paketeak garbitzen ditu eta ondoren nukleo orokorra berrezartzen du. Ordena ez da kosmetikoa. Garbiketak ezin du jarraitu beste Ubuntu nukleo bat aurkitzen ez duenean, bakarra kentzeak abiarazi ezin den makina bat utziko bailuke. Egiaztapen hori da atzerako itzulera eta berreraikuntza arteko aldea. Hori da, halaber, sekuentziak huts egiten duen arrazoia nukleo orokorra jada kendu bazen.

Exekutatu nukleo orokorra oraindik instalatuta dagoen bitartean, onartu nukleo bat kentzeari buruzko abisua, eta berrabiarazi ondoren. Gero egiaztatu ez dela FIPS paketerik geratu instalatuta eta exekuzioan dagoen nukleoa espero zenuena dela.

Urruneko ostalari batean, antolatu lehenik kontsola edo banda kanpoko sarbidea. SSH bidez nukleo bat kentzea ondo dago itzultzen ez den berrabiaraztera arte.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

Ziurtagiria baldintza denean

Atzera egitea erabaki okerra da ziurtagiria kontratuzkoa denean, orduan makina auditutak deskribatzen duen konfiguraziotik ateratzen baita. Kasu horretan kontrolatzailearen hutsunea hardware aukeratzeko kontua da: hautatu kontrolatzailea nukleo ziurtatuarekin datorren haririk gabeko egokigailu bat, onartu kablea soilik duen makina bat, edo eraman tunela nukleo ziurtatuak jada onartzen duen osagai batera.

Zuhaitzetik kanpoko modulu bat nukleo ziurtatuan eraikitzea ez da irtenbide neutroa. Nukleoak exekutatzen duena aldatzen du, eta horixe da ziurtagiriak deskribatzen duen propietatea.

Erregistratu erabakia jabearen izenarekin ondoan, Wi-Fi soilik martxan jartzeko eskaera hilabete batzuk barru itzuliko baita testuinguru gutxiagorekin. Orain ohar labur batek gero eztabaida bera eragozten du.

Egiaztatu pila geruzetan aldaketaren ondoren

Atzerako itzuleraren edo hardware aldaketaren ondoren, egiaztatu behetik gora, VPN bezeroaren gainetik behera egin beharrean. Interfazeak existitu behar du, estekak gora egon behar du, ebazleak funtzionatu behar du, eta orduan soilik da tunela garrantzitsua. Geruza bakoitzak bere mezuarekin huts egiten du, eta horiek ordenan irakurtzeak diagnostikoa zintzo mantentzen du.

Aurreko abiotik geratzen den DNS egoera faltsu positibo arrunta da, beraz irakurri ebazlea tunela hautsi dela ondorioztatu aurretik.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

Nukleoa itzuli ondoren tunelak huts egiten badu oraindik, irakurri huts egiten duen etapa, ez bezeroaren laburpen-lerroa. Sekula kargatu ez zen modulu bat, pareak baztertutako ziurtagiri bat eta zerbitzariak ukatutako kredentzial bat hiru arazo bereizi dira, eta berrabiarazte batek ez ditu zuretzat bereiziko. Idatzi etaparen izena txartelean, eta hurrengo ingeniariak zu gelditu zinen tokian hasiko da.