FIPS өзөгүн алмаштыруу Wi-Fi жана VPN модулдарын ала кетти

fips-updates күйгүзүңүз, кайра жүктөңүз, жана машина зымсыз интерфейссиз кайтат, ал эми VPN кардары өзөк модулу жок болгондуктан ишке кирүүдөн баш тартат. Кадимки пакет маанисинде эч нерсе өчүрүлгөн жок, ошондуктан кардарды кайра орнотуу эч нерсени өзгөртпөйт. Машина драйверлери эч качан курулбаган өзөктө иштеп турат. Эки белги, бир себеп, жана себеп бир буйрукта көрүнөт.

Кайра жүктөө чындыгында эмнени алмаштырды

Ubuntu Pro'нун FIPS жаңыртуулары сертификатталган өзөк вариантын орнотуп, аны демейки жүктөө жазуусуна айландырат. Ал вариант чыныгы өзөк: ал жүктөлөт, иштейт жана сизде мурунтан бар кызматтарды ишке киргизет. Анда жок нерсе — жалпы өзөк үчүн курулган ар бир модуль, анын ичинде дарактын сыртында компиляцияланган зымсыз драйвер жана DKMS аркылуу жеткирилүүчү туннель модулу. Драйверлер топтому пакет менеджери менен эмес, өзөк менен бирге кыймылдайт. Ошондуктан аппараттык камсыздоо дагы деле бар, ал эми аны менен сүйлөшкөн программалык камсыздоо жок.

Каалаган тармактык жөндөөнү ачуудан мурун иштеп турган өзөктү орнотулган пакеттер менен салыштырыңыз. Версия сабында жалпы өзөктө жок белги бар, жана ошол бир деталь жоголгон эки бөлүктүн себебин түшүндүрөт.

Жүктөө жазуусун да окуңуз, анткени машинада сертификатталган өзөк орнотулуп, бирок иштебеши мүмкүн. Мындай учурда модулдардын тарыхы таптакыр башка, ал эми кайра орнотууга даярданган порттор жана драйверлер жакшы.

Кардардын конфигурациясынан мурун модулдардын абалын окуңуз

Табылбаган модуль жана бар болсо да жүктөлүүдөн баш тарткан модуль — ар кандай чечими бар эки башка бузулуу. modinfo кайсынысы бар экенин айтат, ал эми lsmod азыр эмне жүктөлгөнүн айтат. VPN кардарынын конфигурациясына тийүүдөн мурун экөөнү тең жасаңыз, анткени кардардын өз катасы аларды сейрек ажыратат.

Зымсыз бөлүккө да ошондой бөлүү керек. Эч качан көрүнбөгөн интерфейс драйверге көрсөтөт, ал эми бар болуп бөгөттөлгөн бойдон калганы rfkill же тармак менеджерине. Экөө тең жумуш үстөлүндөгү апплетте бирдей көрүнөт жана астында эч нерсени бөлүшпөйт.

Бузулуу дагы кайталана турган кезде текшерүүлөрдү машинанын өзүндө жүргүзүңүз. Башка хосттон чапталган чыгарылыш мунун ордун баспайт.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

modinfo модулду таптакыр таба албаганда, колдонуучу мейкиндигинин пакетин кайра орнотуу жардам бербейт, анткени колдонуучу мейкиндиги эч качан жетишпеген бөлүк болгон эмес. Бул байкоо бир саат пакет азабын үнөмдөп, түз өзөккө көрсөтөт.

Сизге өзөк калтырган тартипте артка кайтыңыз

Эгер FIPS ката менен күйгүзүлсө, документтелген калыбына келтирүү жолу кызматты өчүрүп, анын пакеттерин тазалап, анан жалпы өзөктү калыбына келтирет. Тартип кооздук үчүн эмес. Тазалоо башка Ubuntu өзөгүн таба албаганда улантуудан баш тартат, анткени жалгызды жок кылуу жүктөлбөгөн машина калтырат. Ошол текшерүү — артка кайтуу менен кайра куруунун ортосундагы айырма. Ошондой эле жалпы өзөк мурун эле жок кылынган болсо, бул ырааттуулук эмне үчүн ишке ашпай каларынын себеби.

Жалпы өзөк дагы орнотулуп турганда аткарыңыз, өзөктү жок кылуу тууралуу эскертүүнү кабыл алыңыз, анан кайра жүктөңүз. Андан кийин орнотулган абалда FIPS пакети калбаганын жана иштеп турган өзөк күткөнүңүз экенин ырастаңыз.

Алыскы хостто адегенде консолдук же тилке сыртындагы кирүүнү уюштуруңуз. SSH аркылуу өзөктү жок кылуу кайтып келбеген кайра жүктөөгө чейин жарайт.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

Сертификаттоо талап болгондо

Сертификаттоо келишимдик болсо, артка кайтуу туура эмес кадам, анткени анда машина аудит сүрөттөгөн конфигурациядан чыгат. Мындай учурда драйвердин боштугу — аппараттык тандоо маселеси: драйвери сертификатталган өзөк менен келген зымсыз адаптерди тандаңыз, кабель гана бар машинаны кабыл алыңыз, же туннелди сертификатталган өзөк мурун эле колдогон компонентке жылдырыңыз.

Дарактан тышкары модулду сертификатталган өзөккө куруу бейтарап чечим эмес. Ал өзөктүн эмнени аткарарын өзгөртөт, жана сертификаттоо дал ушул касиетти сүрөттөйт.

Чечимди катына ээсинин аты менен жазып коюңуз, анткени Wi-Fi гана иштесин деген өтүнүч бир нече айдан кийин азыраак контекст менен кайтат. Азыркы кыска жазуу кийинки ошол талашты болтурбайт.

Өзгөртүүдөн кийин стекти катмар-катмар текшериңиз

Артка кайтуудан же аппараттык алмаштыруудан кийин VPN кардарынан ылдый эмес, ылдыйдан жогору карай текшериңиз. Интерфейс болушу керек, байланыш көтөрүлүшү керек, чечүүчү иштеши керек, жана ошондон кийин гана туннелдин мааниси бар. Ар бир катмар өз билдирүүсү менен ишке ашпайт, жана аларды ирети менен окуу диагностиканы акыйкат кармайт.

Мурунку жүктөөдөн калган DNS абалы көп кездешүүчү жалган белги болуп саналат, ошондуктан туннел бузулду деген тыянакка келүүдөн мурун чечүүчүнү окуңуз.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

Өзөк кайткандан кийин туннел дагы ишке ашпаса, кардардын жыйынтык сабын эмес, ишке ашпаган баскычты окуңуз. Эч качан жүктөлбөгөн модуль, каршы тарап четке каккан сертификат жана сервер четке каккан каттоо маалыматы — үч башка маселе, жана кайра жүктөө аларды сиз үчүн ажыратпайт. Баскычтын атын билетке жазыңыз, кийинки инженер сиз токтогон жерден баштайт.