FIPS цөмийн солилт Wi-Fi болон VPN модулиудыг дагуулан авав

fips-updates-ийг асааж, дахин ачаална, тэгэхэд машин утасгүй интерфэйсгүй буцаж ирнэ, харин VPN клиент цөмийн модуль байхгүй тул ажиллахаас татгалзана. Энгийн пакетийн утгаар юу ч устгагдаагүй, иймээс клиентийг дахин суулгах нь юу ч өөрчлөхгүй. Машин драйверууд нь хэзээ ч бүтээгдээгүй цөм дээр ажиллаж байна. Хоёр шинж тэмдэг, нэг шалтгаан, шалтгаан нь нэг командад харагдана.

Дахин ачаалалт үнэндээ юуг сольсон бэ

Ubuntu Pro-ийн FIPS шинэчлэлтүүд гэрчилгээжсэн цөмийн хувилбарыг суулгаж, түүнийг өгөгдмөл ачаалах бичлэг болгоно. Тэр хувилбар нь жинхэнэ цөм: ачаална, ажиллана, таны өмнөөс байсан үйлчилгээнүүдийг эхлүүлнэ. Түүнд байхгүй зүйл бол ерөнхий цөмд зориулж бүтээсэн бүх модуль, түүний дотор модны гадна компайл хийсэн утасгүй драйвер болон DKMS-ээр нийлүүлдэг туннелийн модуль. Драйверуудын багц пакет менежертэй биш, цөмтэй хамт хөдөлдөг. Тиймээс техник хангамж байсаар байгаа бөгөөд түүнтэй ярьдаг програм хангамж байхгүй байна.

Ямар ч сүлжээний тохиргоог нээхээс өмнө ажиллаж байгаа цөмийг суулгасан пакетуудтай харьцуулна уу. Хувилбарын мөрөнд ерөнхий цөмд байхгүй тэмдэг байдаг бөгөөд тэр нэг дэлгэрэнгүй нь алга болсон хоёр хэсгийг хоёуланг нь тайлбарлана.

Ачаалах бичлэгийг ч уншина уу, учир нь машин гэрчилгээжсэн цөмийг суулгасан байхад ажиллуулахгүй байж болно. Тэр тохиолдолд модулиудын түүх огт өөр бөгөөд таны дахин суулгах гэж байсан портууд болон драйверууд хэвийн байна.

Клиентийн тохиргооноос өмнө модулийн төлвийг уншина уу

Олдохгүй модуль болон байгаа боловч ачаалахаас татгалздаг модуль нь өөр өөр засвартай хоёр өөр гэмтэл юм. modinfo танд аль нь байгааг хэлнэ, lsmod одоо юу ачаалагдсаныг хэлнэ. VPN клиентийн тохиргоог хүрэхээс өмнө хоёуланг нь хийнэ үү, учир нь клиентийн өөрийн алдаа тэдгээрийг ховор ялгадаг.

Утасгүй хэсэгт мөн адил хуваалт хэрэгтэй. Хэзээ ч харагдахгүй интерфэйс драйверыг заана, харин байгаа боловч блоклогдсон хэвээр байгаа нь rfkill эсвэл сүлжээний менежерыг заана. Хоёулаа ширээний апплет дээр ижил харагддаг бөгөөд доор нь юу ч хуваалцдаггүй.

Гэмтэл дахин давтагдах боломжтой байхад шалгалтыг машинд нь хийгээрэй. Өөр хостоос хуулсан гаралт үүнийг орлохгүй.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

modinfo модулийг огт олж чадахгүй бол хэрэглэгчийн орон зайн пакетыг дахин суулгах нь тус болохгүй, учир нь хэрэглэгчийн орон зай хэзээ ч дутагдаж байсан хэсэг байгаагүй. Энэ ажиглалт нэг цагийн пакетын самууныг хэмнэж, шууд цөм рүү заана.

Цөм үлдээх дарааллаар буцаж ороорой

Хэрэв FIPS алдаатайгаар асаагдсан бол баримтжуулсан сэргээх зам үйлчилгээг унтрааж, пакетуудыг нь цэвэрлэж, дараа нь ерөнхий цөмийг сэргээнэ. Дараалал нь гоёл чимэглэл биш. Цэвэрлэлт өөр Ubuntu цөм олж чадахгүй үед үргэлжлүүлэхээс татгалзана, учир нь цорын ганцыг устгавал ачаалж чадахгүй машин үлдэнэ. Тэр шалгалт нь буцах болон дахин бүтээх хоёрын ялгаа юм. Ерөнхий цөмийг өмнө нь устгасан бол энэ дараалал яагаад бүтэлгүйтдэгийн шалтгаан ч мөн адил.

Ерөнхий цөм суулгасан хэвээр байхад ажиллуулж, цөм устгах тухай анхааруулгыг хүлээн авч, дараа нь дахин ачаална уу. Дараа нь суулгасан төлөвт FIPS пакет үлдээгүй, ажиллаж байгаа цөм таны хүлээсэн цөм мөн эсэхийг баталгаажуулна уу.

Алсын хост дээр эхлээд консол эсвэл зурвасын гадна хандалтыг зохион байгуулна уу. SSH-ээр цөм устгах нь буцаж ирэхгүй дахин ачаалалт хүртэл зөв.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

Гэрчилгээжүүлэлт нь шаардлага болсон үед

Гэрчилгээжүүлэлт нь гэрээний шинжтэй бол буцах нь буруу алхам, учир нь тэгэхэд машин аудитын тодорхойлсон тохиргооноос гарна. Тэр тохиолдолд драйверын зөрүү нь техник хангамжийн сонголтын асуудал: драйвер нь гэрчилгээжсэн цөмтэй ирдэг утасгүй адаптер сонгох, зөвхөн кабельтай машиныг хүлээн авах, эсвэл туннелийг гэрчилгээжсэн цөм аль хэдийн дэмждэг бүрэлдэхүүн рүү зөөх.

Модны гадна модулийг гэрчилгээжсэн цөмд бүтээх нь төвийг сахисан шийдэл биш. Энэ нь цөм юу гүйцэтгэхийг өөрчилдөг бөгөөд гэрчилгээжүүлэлт яг тэр шинж чанарыг тодорхойлдог.

Шийдвэрийг эзний нэрний хажууд бичээрэй, учир нь зөвхөн Wi-Fi ажиллуул гэсэн хүсэлт хэдэн сарын дараа бага контексттэй буцаж ирнэ. Одоогийн богино тэмдэглэл дараа нь мөнөөх маргааныг сэргийлнэ.

Өөрчлөлтийн дараа стекийг давхаргаар шалгана уу

Буцасны эсвэл техник хангамжийг сольсны дараа VPN клиентээс доош биш, доороос дээш шалгана уу. Интерфэйс байх ёстой, холбоос өргөгдсөн байх ёстой, шийдэгч ажиллах ёстой, зөвхөн дараа нь туннель чухал болно. Давхарга бүр өөрийн мессежээр бүтэлгүйтдэг бөгөөд тэдгээрийг дарааллаар нь унших нь оношийг шударга байлгана.

Өмнөх ачаалалтаас үлдсэн DNS төлөв нь нийтлэг хуурамч дохио тул туннель эвдэрсэн гэж дүгнэхээс өмнө шийдэгчийг уншина уу.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

Цөм буцаж ирсний дараа ч туннель бүтэлгүйтвэл клиентийн хураангуй мөрийг биш, бүтэлгүйтсэн шатыг уншина уу. Хэзээ ч ачаалагдаагүй модуль, эсрэг талын няцаасан гэрчилгээ, серверийн татгалзсан итгэмжлэл гэсэн гурав нь тусдаа асуудал бөгөөд дахин ачаалалт тэдгээрийг таны оронд ялгахгүй. Шатын нэрийг тасалбарт бичээрэй, дараагийн инженер таны зогссон газраас эхэлнэ.