FIPS-ის ბირთვის შეცვლამ Wi-Fi და VPN მოდულები თან წაიღო

ჩართეთ fips-updates, გადატვირთეთ და მანქანა ბრუნდება უკაბელო ინტერფეისის გარეშე, მაშინ როცა VPN კლიენტი უარს ამბობს გაშვებაზე, რადგან მისი ბირთვის მოდული აკლია. ჩვეულებრივი პაკეტის გაგებით არაფერი არ წაშლილა, და სწორედ ამიტომ კლიენტის ხელახლა დაყენება საერთოდ არაფერს ცვლის. მანქანა მუშაობს ბირთვზე, რომლისთვისაც მისი დრაივერები არასდროს აშენებულა. ორი სიმპტომი, ერთი მიზეზი, და მიზეზი ერთ ბრძანებაში ჩანს.

რა შეცვალა გადატვირთვამ სინამდვილეში

Ubuntu Pro-ს FIPS განახლებები აყენებს ბირთვის სერტიფიცირებულ ვარიანტს და მას ნაგულისხმევ ჩატვირთვის ჩანაწერად აქცევს. ეს ვარიანტი ნამდვილი ბირთვია: ის იტვირთება, მუშაობს და რთავს იმ სერვისებს, რომლებიც უკვე გქონდათ. რაც მასში არ არის, არის ყველა მოდული, რომელიც ზოგადი ბირთვისთვის აშენდა, მათ შორის ხის გარეთ კომპილირებული უკაბელო დრაივერი და გვირაბის მოდული, რომელიც DKMS-ით მოწოდება. დრაივერების ნაკრები ბირთვთან ერთად მოძრაობს და არა პაკეტების მენეჯერთან. ასე რომ, აპარატურა ჯერ კიდევ არის, ხოლო პროგრამული უზრუნველყოფა, რომელიც მას ელაპარაკება, არა.

შეადარეთ გაშვებული ბირთვი დაყენებულ პაკეტებს, სანამ რომელიმე ქსელურ პარამეტრს გახსნით. ვერსიის სტრიქონი ატარებს ნიშანს, რომელიც ზოგად ბირთვს არ აქვს, და ეს ერთი დეტალი ხსნის ორივე დაკარგულ ნაწილს.

წაიკითხეთ ჩატვირთვის ჩანაწერიც, რადგან მანქანას შეიძლება ჰქონდეს სერტიფიცირებული ბირთვი დაყენებული, მაგრამ არ ამუშავებდეს მას. ამ შემთხვევაში მოდულების ისტორია სრულიად სხვაა, და პორტები და დრაივერები, რომელთა გადაყენებასაც აპირებდით, რიგზეა.

წაიკითხეთ მოდულების მდგომარეობა კლიენტის კონფიგურაციამდე

მოდული, რომელიც ვერ მოიძებნა, და მოდული, რომელიც არსებობს, მაგრამ ჩატვირთვაზე უარს ამბობს, ორი სხვადასხვა გაუმართაობაა სხვადასხვა გადაწყვეტით. modinfo გეუბნებათ, რომელი გაქვთ, ხოლო lsmod — რა არის ახლა ჩატვირთული. გააკეთეთ ორივე, სანამ VPN კლიენტის კონფიგურაციას შეეხებით, რადგან თავად კლიენტის შეცდომა იშვიათად ჰყოფს მათ.

უკაბელო ნაწილსაც იგივე დაყოფა სჭირდება. ინტერფეისი, რომელიც არასდროს ჩნდება, დრაივერზე მიუთითებს, ხოლო ის, რაც არსებობს, მაგრამ დაბლოკილი რჩება, rfkill-ზე ან ქსელის მენეჯერზე. ორივე ერთნაირად გამოიყურება სამუშაო მაგიდის აპლეტში და ზედაპირის ქვეშ არაფერს იზიარებს.

გაუშვით შემოწმებები თავად მანქანაზე, სანამ გაუმართაობა ჯერ კიდევ გამრავლებადია. სხვა ჰოსტიდან ჩასმული გამომავალი ამის შემცვლელი არ არის.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

როცა modinfo მოდულს საერთოდ ვერ პოულობს, მომხმარებლის სივრცის პაკეტის გადაყენება არ დაგეხმარებათ, რადგან მომხმარებლის სივრცე არასდროს ყოფილა დაკარგული ნაწილი. ეს დაკვირვება ზოგავს საათს პაკეტებთან ჭიდაობაში და პირდაპირ ბირთვზე მიუთითებს.

უკან დაბრუნდით ისე, რომ ბირთვი დაგრჩეთ

თუ FIPS შეცდომით ჩაირთო, დოკუმენტირებული აღდგენის გზა გამორთავს სერვისს, წაშლის მის პაკეტებს და შემდეგ აღადგენს ზოგად ბირთვს. თანმიმდევრობა დეკორატიული არ არის. წაშლა უარს ამბობს გაგრძელებაზე, როცა ვერ პოულობს სხვა Ubuntu-ს ბირთვს, რადგან ერთადერთის მოცილება დატოვებდა მანქანას, რომელიც ვერ ჩაიტვირთება. სწორედ ეს შემოწმებაა განსხვავება უკან დაბრუნებასა და ხელახლა აშენებას შორის. ის ასევე მიზეზია, რის გამოც ეს თანმიმდევრობა მარცხდება, როცა ზოგადი ბირთვი უკვე წაშლილია.

გაუშვით ის, სანამ ზოგადი ბირთვი ჯერ კიდევ დაყენებულია, მიიღეთ გაფრთხილება ბირთვის მოცილების შესახებ და შემდეგ გადატვირთეთ. ამის შემდეგ დაადასტურეთ, რომ დაყენებულ მდგომარეობაში არც ერთი FIPS პაკეტი არ დარჩა და რომ მოქმედი ბირთვი ის არის, რომელსაც ელოდებოდით.

დისტანციურ ჰოსტზე ჯერ კონსოლის ან ზოლის გარეთ წვდომა მოაწყვეთ. ბირთვის მოცილება SSH-ის გავლით კარგია ზუსტად იმ გადატვირთვამდე, რომელიც არ ბრუნდება.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

როცა სერტიფიცირება მოთხოვნაა

უკან დაბრუნება არასწორი ნაბიჯია, როცა სერტიფიცირება სახელშეკრულებოა, რადგან მაშინ მანქანა ტოვებს იმ კონფიგურაციას, რომელსაც აუდიტი აღწერს. ამ შემთხვევაში დრაივერის ხარვეზი აპარატურის არჩევის საკითხია: აირჩიეთ უკაბელო ადაპტერი, რომლის დრაივერიც სერტიფიცირებულ ბირთვთან მოდის, მიიღეთ მხოლოდ კაბელიანი მანქანა, ან გადაიტანეთ გვირაბი იმ კომპონენტზე, რომელსაც სერტიფიცირებული ბირთვი უკვე მხარს უჭერს.

ხის გარეთ მოდულის სერტიფიცირებულ ბირთვში ჩაშენება ნეიტრალური გადაწყვეტა არ არის. ის ცვლის იმას, რასაც ბირთვი ასრულებს, და სწორედ ამ თვისებას აღწერს სერტიფიცირება.

ჩაწერეთ გადაწყვეტილება მფლობელის სახელით გვერდით, რადგან მოთხოვნა, უბრალოდ Wi-Fi იმუშაოს, რამდენიმე თვეში ნაკლები კონტექსტით დაბრუნდება. მოკლე ჩანაწერი ახლა ხელს უშლის იმავე კამათს მოგვიანებით.

ცვლილების შემდეგ სტეკი ფენებად შეამოწმეთ

უკან დაბრუნების ან აპარატურის შეცვლის შემდეგ შეამოწმეთ ქვემოდან ზემოთ და არა VPN კლიენტიდან ქვემოთ. ინტერფეისი უნდა არსებობდეს, კავშირი უნდა იყოს აწეული, რეზოლვერი უნდა მუშაობდეს და მხოლოდ ამის შემდეგ აქვს გვირაბს მნიშვნელობა. ყოველი ფენა თავისი შეტყობინებით მარცხდება, და მათი რიგრიგობით კითხვა დიაგნოზს პატიოსნად ინახავს.

წინა ჩატვირთვიდან დარჩენილი DNS მდგომარეობა ხშირი ცრუ სიგნალია, ამიტომ წაიკითხეთ რეზოლვერი, სანამ დაასკვნით, რომ გვირაბი გატყდა.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

თუ გვირაბი კვლავ მარცხდება ბირთვის დაბრუნების შემდეგ, წაიკითხეთ ჩავარდნილი ეტაპი და არა კლიენტის შემაჯამებელი ხაზი. მოდული, რომელიც არასდროს ჩაიტვირთა, სერტიფიკატი, რომელიც მეორე მხარემ უარყო, და სერტიფიკატი, რომელიც სერვერმა არ მიიღო, სამი ცალკე პრობლემაა, და გადატვირთვა მათ თქვენ ნაცვლად არ გაარჩევს. ჩაწერეთ ეტაპის სახელი ბილეთში, და შემდეგი ინჟინერი იქიდან დაიწყებს, სადაც თქვენ გაჩერდით.