Pertukaran Kernel FIPS Turut Membawa Modul Wi-Fi dan VPN

Hidupkan fips-updates, but semula, dan mesin kembali tanpa antara muka wayarles sementara klien VPN enggan bermula kerana modul kernelnya tiada. Tiada apa yang dinyahpasang dalam erti kata pakej biasa, dan itulah sebabnya memasang semula klien tidak mengubah apa-apa. Mesin menjalankan kernel yang pemandunya tidak pernah dibina untuknya. Dua gejala, satu punca, dan puncanya kelihatan dalam satu arahan.

Apa yang sebenarnya ditukar oleh but semula

Kemas kini FIPS dalam Ubuntu Pro memasang varian kernel yang diperakui dan menjadikannya entri but lalai. Varian itu kernel sebenar: ia but, ia berjalan, dan ia memulakan perkhidmatan yang sudah anda miliki. Apa yang tidak terkandung di dalamnya ialah setiap modul yang dibina untuk kernel generik, termasuk pemacu wayarles yang dikompil di luar pokok dan modul terowong yang dihantar melalui DKMS. Set pemacu bergerak bersama kernel, bukan bersama pengurus pakej. Jadi perkakasan masih ada dan perisian yang bercakap dengannya tidak.

Bandingkan kernel yang berjalan dengan pakej yang dipasang sebelum anda membuka sebarang tetapan rangkaian. Rentetan versi membawa penanda yang tidak ada pada kernel generik, dan satu butiran itu menjelaskan kedua-dua bahagian yang hilang.

Baca juga entri but, kerana mesin boleh mempunyai kernel diperakui yang dipasang tanpa menjalankannya. Dalam kes itu kisah modul sama sekali berbeza, dan port serta pemacu yang anda hendak pasang semula berada dalam keadaan baik.

Baca keadaan modul sebelum konfigurasi klien

Modul yang tidak dapat ditemui dan modul yang wujud tetapi enggan dimuatkan ialah dua kerosakan berbeza dengan pembaikan berbeza. modinfo melaporkan yang mana anda ada, dan lsmod melaporkan apa yang dimuatkan sekarang. Lakukan kedua-duanya sebelum menyentuh konfigurasi klien VPN, kerana ralat klien itu sendiri jarang memisahkan keduanya.

Bahagian wayarles memerlukan pemisahan yang sama. Antara muka yang tidak pernah muncul menunjuk kepada pemacu, manakala yang wujud tetapi kekal disekat menunjuk kepada rfkill atau kepada pengurus rangkaian. Kedua-duanya kelihatan sama dalam applet desktop dan tidak berkongsi apa-apa di bawahnya.

Jalankan pemeriksaan pada mesin itu sendiri selagi kerosakan masih boleh dihasilkan semula. Output yang ditampal dari hos lain bukan pengganti untuk ini.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

Apabila modinfo tidak menemui modul itu sama sekali, memasang semula pakej ruang pengguna tidak akan membantu, kerana ruang pengguna tidak pernah menjadi bahagian yang hilang. Pemerhatian itu menjimatkan sejam bergelut dengan pakej dan menunjuk terus kepada kernel.

Undur ke belakang dalam urutan yang meninggalkan kernel

Jika FIPS dihidupkan secara tersilap, laluan pemulihan yang didokumenkan mematikan perkhidmatan, membersihkan pakejnya dan kemudian memulihkan kernel generik. Urutannya bukan kosmetik. Pembersihan enggan meneruskan apabila ia tidak menemui kernel Ubuntu yang lain, kerana membuang satu-satunya akan meninggalkan mesin yang tidak boleh but. Pemeriksaan itulah perbezaan antara undur dan bina semula. Ia juga sebab mengapa urutan itu gagal apabila kernel generik sudah dibuang lebih awal.

Jalankannya selagi kernel generik masih dipasang, terima amaran tentang membuang kernel, dan but semula selepas itu. Kemudian sahkan tiada pakej FIPS yang tinggal dalam keadaan dipasang dan kernel yang berjalan ialah yang anda jangkakan.

Pada hos jauh, atur akses konsol atau luar jalur terlebih dahulu. Membuang kernel melalui SSH adalah baik sehingga tepat but semula yang tidak kembali.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

Apabila pensijilan ialah keperluan

Undur ke belakang ialah langkah yang salah apabila pensijilan bersifat kontrak, kerana mesin kemudian keluar dari konfigurasi yang diterangkan oleh audit. Dalam kes itu jurang pemacu ialah persoalan pemilihan perkakasan: pilih penyesuai wayarles yang pemacunya disertakan dengan kernel diperakui, terima mesin berkabel sahaja, atau pindahkan terowong ke komponen yang sudah disokong oleh kernel diperakui.

Membina modul di luar pokok ke dalam kernel diperakui bukan penyelesaian neutral. Ia mengubah apa yang dilaksanakan oleh kernel, dan itulah tepat sifat yang diterangkan oleh pensijilan.

Catat keputusan itu bersama nama pemiliknya, kerana permintaan supaya Wi-Fi sahaja berfungsi akan kembali beberapa bulan kemudian dengan konteks yang lebih sedikit. Nota pendek sekarang menghalang perdebatan yang sama nanti.

Periksa tindanan mengikut lapisan selepas perubahan

Selepas undur atau perubahan perkakasan, sahkan dari bawah ke atas dan bukan dari klien VPN ke bawah. Antara muka mesti wujud, pautan mesti naik, penyelesai mesti berfungsi, dan barulah terowong penting. Setiap lapisan gagal dengan mesejnya sendiri, dan membacanya mengikut urutan mengekalkan diagnosis yang jujur.

Keadaan DNS yang tertinggal dari but sebelumnya ialah positif palsu yang biasa, jadi baca penyelesai sebelum membuat kesimpulan bahawa terowong itu rosak.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

Jika terowong masih gagal setelah kernel kembali, baca peringkat yang gagal dan bukan baris ringkasan klien. Modul yang tidak pernah dimuatkan, sijil yang ditolak oleh rakan dan kelayakan yang ditolak oleh pelayan ialah tiga masalah berasingan, dan but semula tidak akan memisahkannya untuk anda. Catat nama peringkat dalam tiket, dan jurutera seterusnya bermula di tempat anda berhenti.