FIPS ядросын ауыстыру Wi-Fi мен VPN модульдерін ала кетті

fips-updates қосыңыз, қайта жүктеңіз, және машина сымсыз интерфейссіз қайтады, ал VPN клиенті ядро модулі жоқ болғандықтан іске қосылудан бас тартады. Кәдімгі пакет мағынасында ештеңе жойылған жоқ, сондықтан клиентті қайта орнату ештеңені өзгертпейді. Машина драйверлері ешқашан құрастырылмаған ядрода жұмыс істеп тұр. Екі белгі, бір себеп, және себеп бір командада көрінеді.

Қайта жүктеу шын мәнінде нені ауыстырды

Ubuntu Pro-ның FIPS жаңартулары сертификатталған ядро нұсқасын орнатады және оны әдепкі жүктеу жазбасына айналдырады. Ол нұсқа нағыз ядро: ол жүктеледі, жұмыс істейді және сізде бұрыннан бар қызметтерді іске қосады. Онда жоқ нәрсе — жалпы ядро үшін құрастырылған әрбір модуль, соның ішінде ағаштан тыс компиляцияланған сымсыз драйвер және DKMS арқылы жеткізілетін туннель модулі. Драйверлер жиынтығы пакет менеджерімен емес, ядромен бірге қозғалады. Сондықтан жабдық әлі де бар, ал онымен сөйлесетін бағдарламалық жасақтама жоқ.

Кез келген желілік параметрді ашпас бұрын жұмыс істеп тұрған ядроны орнатылған пакеттермен салыстырыңыз. Нұсқа жолында жалпы ядрода жоқ белгі бар, және сол бір деталь жоғалған екі бөліктің де себебін түсіндіреді.

Жүктеу жазбасын да оқыңыз, өйткені машинада сертификатталған ядро орнатылып, бірақ іске қосылмауы мүмкін. Ондай жағдайда модульдер тарихы мүлдем басқа, ал қайта орнатуға дайындалған порттар мен драйверлер дұрыс.

Клиент конфигурациясынан бұрын модуль күйін оқыңыз

Табылмайтын модуль мен бар болса да жүктелуден бас тартатын модуль — әр түрлі шешімі бар екі бөлек ақау. modinfo қайсысы екенін айтады, ал lsmod қазір не жүктелгенін айтады. VPN клиентінің конфигурациясына тимес бұрын екеуін де орындаңыз, өйткені клиенттің өз қатесі оларды сирек ажыратады.

Сымсыз бөлікке де сол бөлу керек. Ешқашан пайда болмайтын интерфейс драйверге нұсқайды, ал бар болып бұғатталған күйде қалғаны rfkill-ге немесе желі менеджеріне. Екеуі жұмыс үстеліндегі апплетте бірдей көрінеді және астында ештеңе ортақ емес.

Ақау әлі қайталанатын кезде тексерулерді машинаның өзінде орындаңыз. Басқа хосттан қойылған шығыс бұның орнын баспайды.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

modinfo модульді мүлде таба алмағанда, пайдаланушы кеңістігі пакетін қайта орнату көмектеспейді, өйткені пайдаланушы кеңістігі ешқашан жетіспейтін бөлік болмаған. Бұл байқау бір сағат пакет әуре-сарсапын үнемдейді және тікелей ядроға нұсқайды.

Сізге ядро қалдыратын тәртіппен кері қайтыңыз

Егер FIPS қателесіп қосылса, құжатталған қалпына келтіру жолы қызметті өшіреді, оның пакеттерін тазалайды, содан кейін жалпы ядроны қалпына келтіреді. Тәртіп безендіру емес. Тазалау басқа Ubuntu ядросын таба алмағанда жалғастырудан бас тартады, өйткені жалғызды жою жүктелмейтін машина қалдырар еді. Сол тексеру — кері қайту мен қайта құру арасындағы айырмашылық. Бұл сондай-ақ жалпы ядро бұрын жойылған болса, реттілік неге сәтсіз болатынының себебі.

Жалпы ядро әлі орнатылып тұрғанда орындаңыз, ядроны жою туралы ескертуді қабылдаңыз, содан кейін қайта жүктеңіз. Содан кейін орнатылған күйде FIPS пакеті қалмағанын және жұмыс істеп тұрған ядро күткеніңіз екенін растаңыз.

Қашықтағы хостта алдымен консольдік немесе жолақтан тыс қатынасты реттеңіз. SSH арқылы ядроны жою қайтып келмейтін қайта жүктеуге дейін дұрыс.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

Сертификаттау талап болғанда

Сертификаттау шарттық болса, кері қайту дұрыс емес қадам, өйткені сонда машина аудит сипаттайтын конфигурациядан шығады. Бұл жағдайда драйвер алшақтығы — жабдық таңдау мәселесі: драйвері сертификатталған ядромен келетін сымсыз адаптер таңдаңыз, тек кабельді машинаны қабылдаңыз немесе туннельді сертификатталған ядро қолдайтын құрамдасқа көшіріңіз.

Ағаштан тыс модульді сертификатталған ядроға құрастыру бейтарап шешім емес. Ол ядроның нені орындайтынын өзгертеді, және сертификаттау дәл осы қасиетті сипаттайды.

Шешімді қасына иесінің атымен жазып қойыңыз, өйткені тек Wi-Fi жұмыс істесін деген өтініш бірнеше айдан кейін азырақ контекспен қайтады. Қазіргі қысқа жазба кейінгі сол дауды болдырмайды.

Өзгерістен кейін стекті қабат-қабат тексеріңіз

Кері қайтудан немесе жабдықты ауыстырудан кейін VPN клиентінен төмен емес, төменнен жоғары қарай тексеріңіз. Интерфейс болуы керек, байланыс көтерілуі керек, шешуші жұмыс істеуі керек, және содан кейін ғана туннель маңызды. Әр қабат өз хабарламасымен сәтсіз болады, және оларды ретімен оқу диагностиканы адал ұстайды.

Алдыңғы жүктеуден қалған DNS күйі жиі жалған дабыл болып табылады, сондықтан туннель бұзылды деген қорытындыға келмес бұрын шешушіні оқыңыз.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

Ядро қайтқаннан кейін туннель әлі де сәтсіз болса, клиенттің қорытынды жолын емес, сәтсіз болған кезеңді оқыңыз. Ешқашан жүктелмеген модуль, қарсы тарап қабылдамаған сертификат және сервер қабылдамаған тіркелгі деректері — үш бөлек мәселе, және қайта жүктеу оларды сіз үшін ажыратпайды. Кезең атауын билетке жазыңыз, келесі инженер сіз тоқтаған жерден бастайды.