A FIPS kernelcsere magával vitte a Wi-Fi és VPN modulokat

Kapcsolja be a fips-updates-t, indítson újra, és a gép vezeték nélküli interfész nélkül tér vissza, miközben a VPN-kliens megtagadja az indulást, mert hiányzik a kernelmodulja. Semmit nem távolítottak el a csomagok szokásos értelmében, és éppen ezért a kliens újratelepítése semmit sem változtat. A gép olyan kernellel fut, amelyhez az illesztőprogramjai soha nem épültek meg. Két tünet, egy ok, és az ok egyetlen parancsban látszik.

Mit váltott át valójában az újraindítás

Az Ubuntu Pro FIPS-frissítései egy tanúsított kernelváltozatot telepítenek, és azt teszik meg alapértelmezett indítóbejegyzéssé. Az a változat valódi kernel: elindul, fut, és elindítja a már meglévő szolgáltatásokat. Ami nincs benne, az az általános kernelhez épített összes modul, köztük egy fán kívül fordított vezeték nélküli illesztőprogram és egy DKMS-en keresztül szállított alagútmodul. Az illesztőprogram-készlet a kernellel mozog, nem a csomagkezelővel. A hardver tehát még ott van, a vele beszélő szoftver pedig nem.

Hasonlítsa össze a futó kernelt a telepített csomagokkal, mielőtt bármilyen hálózati beállítást megnyit. A verziószöveg olyan jelölést hordoz, amely az általános kernelben nincs, és ez az egyetlen részlet magyarázza mindkét hiányzó darabot.

Olvassa el az indítóbejegyzést is, mert egy gépnél lehet a tanúsított kernel telepítve anélkül, hogy azt futtatná. Ebben az esetben a modulok története teljesen más, és a portok, valamint az illesztőprogramok, amelyeket újratelepíteni készült, rendben vannak.

Olvassa el a modulok állapotát a kliens beállítása előtt

A nem található modul és a létező, de betöltődni nem hajlandó modul két különböző hiba, két különböző javítással. A modinfo megmondja, melyik van Önnél, az lsmod pedig azt, hogy mi van most betöltve. Végezze el mindkettőt, mielőtt hozzányúl a VPN-kliens beállításaihoz, mert a kliens saját hibája ritkán választja szét őket.

A vezeték nélküli résznek ugyanez a felosztás kell. A soha meg nem jelenő interfész az illesztőprogramra mutat, míg a létező, de blokkolt interfész az rfkill-re vagy a hálózatkezelőre. A kettő egy asztali kisalkalmazásban egyformán néz ki, és semmit nem oszt meg a felszín alatt.

Futtassa a vizsgálatokat magán a gépen, amíg a hiba még reprodukálható. Egy másik hosztról beillesztett kimenet nem pótolja ezt.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

Amikor a modinfo egyáltalán nem találja a modult, a felhasználói tér csomagjának újratelepítése nem segít, mert a felhasználói tér soha nem volt a hiányzó rész. Ez a megfigyelés egy óra csomagvesződést spórol meg, és egyenesen a kernelre mutat.

Lépjen vissza olyan sorrendben, amely meghagy egy kernelt

Ha a FIPS tévedésből kapcsolódott be, a dokumentált helyreállítási útvonal kikapcsolja a szolgáltatást, eltávolítja a csomagjait, majd visszaállítja az általános kernelt. A sorrend nem kozmetikai. Az eltávolítás nem hajlandó folytatni, ha nem talál másik Ubuntu kernelt, mert az egyetlen eltávolítása olyan gépet hagyna, amely nem tud elindulni. Ez az ellenőrzés a különbség a visszaállítás és az újraépítés között. Ez az oka annak is, hogy a sorrend meghiúsul, ha az általános kernelt már korábban eltávolították.

Futtassa, amíg az általános kernel még telepítve van, fogadja el a kernel eltávolításáról szóló figyelmeztetést, majd indítson újra. Ezután erősítse meg, hogy nem maradt FIPS-csomag telepített állapotban, és hogy a futó kernel az, amelyet várt.

Távoli hoszton először gondoskodjon konzol- vagy sávon kívüli hozzáférésről. Egy kernel eltávolítása SSH-n keresztül rendben van egészen addig az újraindításig, amely nem tér vissza.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

Amikor a tanúsítás a követelmény

A visszalépés rossz lépés, ha a tanúsítás szerződéses, mert akkor a gép elhagyja azt a konfigurációt, amelyet az audit leír. Ebben az esetben az illesztőprogram-hiány hardverválasztási kérdés: válasszon olyan vezeték nélküli adaptert, amelynek illesztőprogramja a tanúsított kernellel érkezik, fogadjon el csak kábeles gépet, vagy helyezze át az alagutat olyan komponensre, amelyet a tanúsított kernel már támogat.

A fán kívüli modul beépítése a tanúsított kernelbe nem semleges megoldás. Megváltoztatja, mit hajt végre a kernel, és pontosan ezt a tulajdonságot írja le a tanúsítás.

Rögzítse a döntést a tulajdonos nevével mellette, mert a kérés, hogy csak működjön a Wi-Fi, néhány hónap múlva kevesebb kontextussal tér vissza. Egy rövid feljegyzés most megelőzi ugyanazt a vitát később.

A változtatás után rétegenként ellenőrizze a vermet

A visszaállítás vagy a hardvercsere után alulról felfelé ellenőrizzen, ne a VPN-kliens felől lefelé. Az interfésznek léteznie kell, a kapcsolatnak fel kell lennie, a feloldónak működnie kell, és csak ezután számít az alagút. Minden réteg a saját üzenetével hibázik, és ezek sorrendben olvasása becsületben tartja a diagnózist.

Az előző indításból maradt DNS-állapot gyakori téves riasztás, ezért olvassa el a feloldót, mielőtt arra jutna, hogy elromlott az alagút.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

Ha az alagút a kernel visszatérése után is hibázik, a hibázó szakaszt olvassa, ne a kliens összegző sorát. Egy soha be nem töltött modul, egy tanúsítvány, amelyet a partner elutasított, és egy hitelesítő adat, amelyet a kiszolgáló megtagadott, három külön probléma, és egy újraindítás nem választja szét őket Ön helyett. Rögzítse a szakasz nevét a jegyben, és a következő mérnök ott kezdi, ahol Ön abbahagyta.