Pergantian Kernel FIPS Ikut Membawa Modul Wi-Fi dan VPN

Aktifkan fips-updates, boot ulang, dan mesin kembali tanpa antarmuka nirkabel sementara klien VPN menolak start karena modul kernelnya tidak ada. Tidak ada yang dicopot dalam arti paket biasa, dan itulah sebabnya memasang ulang klien sama sekali tidak mengubah apa pun. Mesin menjalankan kernel yang tidak pernah menjadi target build drivernya. Dua gejala, satu penyebab, dan penyebabnya terlihat dalam satu perintah.

Apa yang sebenarnya diganti oleh boot ulang

Pembaruan FIPS di Ubuntu Pro memasang varian kernel tersertifikasi dan menjadikannya entri boot default. Varian itu kernel sungguhan: ia boot, ia berjalan, dan ia menyalakan layanan yang sudah Anda miliki. Yang tidak dikandungnya adalah setiap modul yang dibangun untuk kernel generik, termasuk driver nirkabel yang dikompilasi di luar pohon dan modul tunnel yang dikirim melalui DKMS. Rangkaian driver bergerak bersama kernel, bukan bersama manajer paket. Jadi perangkat kerasnya masih ada dan perangkat lunak yang berbicara dengannya tidak.

Bandingkan kernel yang berjalan dengan paket yang terpasang sebelum Anda membuka pengaturan jaringan apa pun. String versi membawa penanda yang tidak dimiliki kernel generik, dan satu detail itu menjelaskan kedua bagian yang hilang.

Baca juga entri boot-nya, karena mesin bisa memiliki kernel tersertifikasi terpasang tanpa menjalankannya. Dalam kasus itu cerita modulnya sama sekali berbeda, dan port serta driver yang hendak Anda pasang ulang baik-baik saja.

Baca keadaan modul sebelum konfigurasi klien

Modul yang tidak dapat ditemukan dan modul yang ada tetapi menolak dimuat adalah dua kerusakan berbeda dengan perbaikan berbeda. modinfo melaporkan yang mana yang Anda punya, dan lsmod melaporkan apa yang termuat sekarang. Lakukan keduanya sebelum menyentuh konfigurasi klien VPN, karena kesalahan klien sendiri jarang memisahkan keduanya.

Bagian nirkabel membutuhkan pemisahan yang sama. Antarmuka yang tidak pernah muncul menunjuk ke driver, sedangkan yang ada tetapi tetap terblokir menunjuk ke rfkill atau ke manajer jaringan. Keduanya tampak identik di applet desktop dan tidak berbagi apa pun di bawahnya.

Jalankan pemeriksaan di mesin itu sendiri selama kerusakan masih dapat direproduksi. Output yang ditempel dari host lain bukan pengganti untuk yang ini.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

Ketika modinfo tidak menemukan modulnya sama sekali, memasang ulang paket ruang pengguna tidak akan membantu, karena ruang pengguna tidak pernah menjadi bagian yang hilang. Pengamatan itu menghemat satu jam berkutat dengan paket dan menunjuk langsung ke kernel.

Kembali mundur dalam urutan yang menyisakan kernel

Jika FIPS diaktifkan karena keliru, jalur pemulihan yang didokumentasikan menonaktifkan layanan, membersihkan paketnya, lalu memulihkan kernel generik. Urutannya bukan kosmetik. Pembersihan menolak melanjutkan ketika tidak menemukan kernel Ubuntu lain, karena menghapus satu-satunya akan menyisakan mesin yang tidak bisa boot. Pemeriksaan itulah bedanya antara rollback dan pembangunan ulang. Itu juga sebabnya urutan ini gagal ketika kernel generik sudah dihapus sebelumnya.

Jalankan selama kernel generik masih terpasang, terima peringatan tentang menghapus kernel, lalu boot ulang. Setelah itu pastikan tidak ada paket FIPS yang tersisa dalam keadaan terpasang dan kernel yang berjalan adalah yang Anda harapkan.

Di host jarak jauh, atur dulu akses konsol atau out-of-band. Menghapus kernel lewat SSH baik-baik saja sampai tepat pada boot ulang yang tidak kembali.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

Ketika sertifikasi adalah persyaratannya

Kembali mundur adalah langkah yang salah ketika sertifikasi bersifat kontraktual, karena mesin lalu keluar dari konfigurasi yang dijelaskan audit. Dalam kasus itu celah driver adalah soal pilihan perangkat keras: pilih adaptor nirkabel yang drivernya datang bersama kernel tersertifikasi, terima mesin berkabel saja, atau pindahkan tunnel ke komponen yang sudah didukung kernel tersertifikasi.

Membangun modul di luar pohon ke dalam kernel tersertifikasi bukan solusi netral. Itu mengubah apa yang dieksekusi kernel, dan justru itulah sifat yang dijelaskan sertifikasi.

Catat keputusan itu bersama nama pemiliknya, karena permintaan agar Wi-Fi-nya saja yang jalan akan kembali beberapa bulan kemudian dengan konteks lebih sedikit. Catatan singkat sekarang mencegah perdebatan yang sama nanti.

Periksa tumpukan berlapis setelah perubahan

Setelah rollback atau perubahan perangkat keras, verifikasi dari bawah ke atas alih-alih dari klien VPN ke bawah. Antarmuka harus ada, tautan harus naik, resolver harus bekerja, dan baru setelah itu tunnel penting. Setiap lapisan gagal dengan pesannya sendiri, dan membacanya berurutan menjaga diagnosis tetap jujur.

Sisa keadaan DNS dari boot sebelumnya adalah positif palsu yang umum, jadi baca resolver sebelum menyimpulkan tunnel rusak.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

Jika tunnel masih gagal setelah kernel kembali, baca tahap yang gagal alih-alih baris ringkasan klien. Modul yang tidak pernah dimuat, sertifikat yang ditolak rekan, dan kredensial yang ditolak server adalah tiga masalah terpisah, dan boot ulang tidak akan memisahkannya untuk Anda. Catat nama tahapnya di tiket, dan insinyur berikutnya mulai dari tempat Anda berhenti.