FIPS-ytimen vaihto vei mukanaan Wi-Fi- ja VPN-moduulit

Ota fips-updates käyttöön, käynnistä uudelleen, ja kone palaa ilman langatonta liitäntää, kun taas VPN-asiakasohjelma kieltäytyy käynnistymästä, koska sen ydinmoduuli puuttuu. Mitään ei poistettu asennettu tavallisessa pakettimielessä, ja siksi asiakasohjelman uudelleenasennus ei muuta yhtään mitään. Kone ajaa ydintä, jota varten sen ajurit eivät koskaan kääntyneet. Kaksi oiretta, yksi syy, ja syy näkyy yhdellä komennolla.

Mitä uudelleenkäynnistys oikeastaan vaihtoi

Ubuntu Pron FIPS-päivitykset asentavat sertifioidun ydinversion ja tekevät siitä oletusarvoisen käynnistysmerkinnän. Se versio on oikea ydin: se käynnistyy, se toimii ja se käynnistää palvelut, jotka sinulla jo oli. Se, mitä siinä ei ole, on jokainen yleiselle ytimelle käännetty moduuli, mukaan lukien puun ulkopuolella käännetty langaton ajuri ja DKMS:n kautta toimitettu tunnelimoduuli. Ajurisarja liikkuu ytimen mukana, ei paketinhallinnan. Laitteisto on siis edelleen paikallaan, mutta sen kanssa puhuva ohjelmisto ei.

Vertaa käynnissä olevaa ydintä asennettuihin paketteihin ennen kuin avaat yhtään verkkoasetusta. Versiomerkkijono kantaa merkintää, jota yleisellä ytimellä ei ole, ja tuo yksi yksityiskohta selittää molemmat puuttuvat osat.

Lue myös käynnistysmerkintä, sillä koneessa voi olla sertifioitu ydin asennettuna ilman että sitä ajetaan. Siinä tapauksessa moduulien tarina on täysin erilainen, ja portit ja ajurit, joita olit asentamassa uudelleen, ovat kunnossa.

Lue moduulien tila ennen asiakasohjelman asetuksia

Moduuli, jota ei löydy, ja moduuli, joka on olemassa mutta kieltäytyy latautumasta, ovat eri vikoja eri korjauksilla. modinfo kertoo, kumpi sinulla on, ja lsmod kertoo, mitä juuri nyt on ladattu. Tee molemmat ennen kuin kosket VPN-asiakasohjelman asetuksiin, sillä asiakasohjelman oma virhe harvoin erottaa niitä.

Langaton tarvitsee saman jaon. Liitäntä, joka ei koskaan ilmesty, viittaa ajuriin, kun taas liitäntä, joka on olemassa mutta pysyy estettynä, viittaa rfkill-työkaluun tai verkkohallintaan. Ne näyttävät samalta työpöydän pienoisohjelmassa eivätkä jaa mitään pinnan alla.

Aja tarkistukset itse koneella, kun vika on vielä toistettavissa. Toisesta koneesta liitetty tuloste ei korvaa tätä.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

Kun modinfo ei löydä moduulia lainkaan, käyttäjäavaruuden paketin uudelleenasennus ei auta, koska käyttäjäavaruus ei ollut koskaan se puuttuva osa. Tämä havainto säästää tunnin pakettirumbaa ja osoittaa suoraan ytimeen.

Palaa takaisin järjestyksessä, joka jättää sinulle ytimen

Jos FIPS otettiin käyttöön vahingossa, dokumentoitu palautuspolku poistaa palvelun käytöstä, puhdistaa sen paketit ja palauttaa sitten yleisen ytimen. Järjestys ei ole kosmeettinen. Puhdistus kieltäytyy jatkamasta, kun se ei löydä toista Ubuntu-ydintä, sillä ainoan poistaminen jättäisi koneen, joka ei käynnisty. Tämä tarkistus on ero palautuksen ja uudelleenrakennuksen välillä. Se on myös syy siihen, miksi sarja epäonnistuu, kun yleinen ydin on jo poistettu.

Suorita se, kun yleinen ydin on vielä asennettuna, hyväksy varoitus ytimen poistamisesta ja käynnistä sitten uudelleen. Vahvista tämän jälkeen, ettei yhtään FIPS-pakettia jää asennettuna ja että käynnissä oleva ydin on se, jota odotit.

Etäkoneella järjestä ensin konsoli- tai verkon ulkopuolinen pääsy. Ytimen poistaminen SSH:n yli on kunnossa aina siihen uudelleenkäynnistykseen asti, joka ei palaa.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

Kun sertifiointi on vaatimus

Takaisin palaaminen on väärä siirto, kun sertifiointi on sopimusperusteinen, sillä silloin kone poistuu kokoonpanosta, jonka auditointi kuvaa. Siinä tapauksessa ajuripuute on laitevalintakysymys: valitse langaton sovitin, jonka ajuri tulee sertifioidun ytimen mukana, hyväksy vain kaapelilla toimiva kone tai siirrä tunneli komponenttiin, jota sertifioitu ydin jo tukee.

Puun ulkopuolisen moduulin kääntäminen sertifioituun ytimeen ei ole neutraali ratkaisu. Se muuttaa sitä, mitä ydin suorittaa, ja juuri sitä ominaisuutta sertifiointi kuvaa.

Kirjaa päätös omistajan nimi vieressä, sillä pyyntö saada vain Wi-Fi toimimaan palaa muutaman kuukauden päästä vähemmällä taustatiedolla. Lyhyt muistiinpano nyt estää saman väittelyn myöhemmin.

Tarkista pino kerroksittain muutoksen jälkeen

Tarkista palautuksen tai laitemuutoksen jälkeen alhaalta ylös eikä VPN-asiakasohjelmasta alaspäin. Liitännän on oltava olemassa, yhteyden oltava ylhäällä, resolverin toimittava, ja vasta sitten tunnelilla on merkitystä. Jokainen kerros epäonnistuu omalla viestillään, ja niiden lukeminen järjestyksessä pitää diagnoosin rehellisenä.

Edellisestä käynnistyksestä jäänyt DNS-tila on tavallinen väärä hälytys, joten lue resolver ennen kuin päättelet tunnelin hajonneen.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

Jos tunneli epäonnistuu edelleen, kun ydin on palannut, lue epäonnistuva vaihe äläkä asiakasohjelman yhteenvetoriviä. Moduuli, jota ei koskaan ladattu, sertifikaatti, jonka vastapuoli hylkäsi, ja kirjautumistieto, jonka palvelin hylkäsi, ovat kolme erillistä ongelmaa, eikä uudelleenkäynnistys erota niitä puolestasi. Kirjaa vaiheen nimi tikettiin, niin seuraava insinööri aloittaa siitä, mihin sinä lopetit.