FIPS-kearnwiksel naam de Wi-Fi- en VPN-modulen mei

Sette fips-updates oan, start opnij, en de masine komt werom sûnder draadleas ynterface, wylst de VPN-klant wegeret te starten om't syn kearnmodule ûntbrekt. Der is neat deinstallearre yn 'e gewoane pakketsin, en dêrom feroaret it opnij ynstallearjen fan 'e klant hielendal neat. De masine draait op in kearn dêr't syn stjoerprogramma's nea foar boud binne. Twa symptomen, ien oarsaak, en de oarsaak is yn ien komando te sjen.

Wat de opnij-start eins wiksele

De FIPS-bywurkingen fan Ubuntu Pro ynstallearje in sertifisearre kearnfariant en meitsje dy de standert startynskriuwing. Dy variant is in echte kearn: hy start, hy draait en hy start de tsjinsten dy't jo al hienen. Wat der net yn sit, is elk module boud foar de generike kearn, ynklusyf in draadleas stjoerprogramma kompilearre bûten de beam en in tunnelmodule levere fia DKMS. De stjoerprogrammaset beweecht mei de kearn, net mei de pakketbehearder. Sa is de hardware der noch en de software dy't der mei praat net.

Fergelykje de draaiende kearn mei de ynstallearre pakketten foardat jo hokker netynstelling dan ek iepenje. De ferzje-string draacht in marker dy't de generike kearn net hat, en dat iene detail ferklearret beide ûntbrekkende stikken.

Lês ek de startynskriuwing, want in masine kin de sertifisearre kearn ynstallearre hawwe sûnder him te draaien. Yn dat gefal is it moduleferhaal hiel oars, en de poarten en stjoerprogramma's dy't jo opnij ynstallearje woenen binne goed.

Lês de modulestatus foar de klantkonfiguraasje

In module dy't net fûn wurde kin en in module dy't bestiet mar wegeret te laden binne ferskillende stoarings mei ferskillende oplossingen. modinfo meldt hokker jo hawwe, en lsmod meldt wat no laden is. Doch beide foardat jo de konfiguraasje fan 'e VPN-klant oanreitsje, want de eigen flater fan 'e klant skiedt se selden.

Draadleas hat deselde splitsing nedich. In ynterface dy't nea ferskynt wiist op it stjoerprogramma, wylst ien dy't bestiet mar blokkearre bliuwt op rfkill of op 'e netwurkbehearder wiist. Dy twa sjogge der itselde út yn in lyts programma op it buroblêd en diele neat ûnder de oerflakte.

Fier de kontrôles út op 'e masine sels wylst de stoaring noch reprodusearre wurde kin. Utfier plakt fan in oare host is gjin ferfanging hjirfoar.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

As modinfo de module hielendal net fine kin, sil opnij ynstallearjen fan it brûkersromtepakket net helpe, want it brûkersromte wie nea it ûntbrekkende part. Dy konstatearring sparret in oere pakketgedoch en wiist direkt nei de kearn.

Rôlje werom yn in folchoarder dy't jo in kearn lit

As FIPS by fersin oanset is, skeakelet it dokumintearre herstelpaad de tsjinst út, smyt syn pakketten fuort en set dan de generike kearn werom. De folchoarder is net kosmetysk. It fuortsmytjen wegeret troch te gean as it gjin oare Ubuntu-kearn fynt, want it fuortheljen fan 'e iennige soe in masine litte dy't net starte kin. Dy kontrôle is it ferskil tusken in weromrôljen en in weropbou. It is ek de reden dat de searje mislearret as de generike kearn al fuorthelle is.

Fier it út wylst de generike kearn noch ynstallearre is, akseptearje de warskôging oer it fuortheljen fan in kearn, en start dêrnei opnij. Befêstigje dan dat der gjin FIPS-pakket yn 'e ynstallearre steat oerbliuwt en dat de draaiende kearn dy is dy't jo ferwachten.

Op in ôfstân-host regelje jo earst konsol- as bûtenbân-tagong. In kearn fuorthelje fia SSH is goed oant krekt de opnij-start dy't net weromkomt.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

As de sertifikaasje de eask is

Weromrôljen is de ferkearde set as de sertifikaasje kontraktueel is, want de masine ferlit dan de konfiguraasje dy't de audit beskriuwt. Yn dat gefal is de stjoerprogrammaklofte in kwestje fan hardwarekar: nim in draadleas adapter waans stjoerprogramma mei de sertifisearre kearn komt, akseptearje in masine allinnich mei kabel, of ferpleats de tunnel nei in komponint dy't de sertifisearre kearn al stipet.

In module bûten de beam yn 'e sertifisearre kearn bouwe is gjin neutrale oplossing. It feroaret wat de kearn útfiert, en dat is krekt it eigenskip dat de sertifikaasje beskriuwt.

Skriuw de beslissing op mei de namme fan 'e eigner derby, want it fersyk om de Wi-Fi gewoan wurkje te litten komt oer in pear moannen werom mei minder kontekst. In koarte notysje no foarkomt deselde diskusje letter.

Kontrolearje de stapel yn lagen nei de feroaring

Kontrolearje nei it weromrôljen of de hardwareferoaring fan ûnderen nei boppen ynstee fan fan 'e VPN-klant nei ûnderen. It ynterface moat bestean, de ferbining moat omheech wêze, de resolver moat wurkje, en pas dan docht de tunnel der ta. Elke laach mislearret mei syn eigen berjocht, en se yn folchoarder lêze hâldt de diagnoaze earlik.

Oerbliuwende DNS-steat fan 'e foarige start is in gewoane falske positive, lês dus de resolver foardat jo konkludearje dat de tunnel brutsen is.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

As de tunnel noch mislearret as de kearn werom is, lês dan de mislearjende stap ynstee fan 'e gearfettingsrigel fan 'e klant. In module dy't nea laden is, in sertifikaat dat de oare kant wegere en oanmeldgegevens dy't de tsjinner wegere binne trije aparte problemen, en in opnij-start skiedt se net foar jo. Skriuw de namme fan 'e stap yn it ticket, en de folgjende yngenieur begjint wêr't jo opholden binne.