Il-bidla tal-kernel FIPS ħadet magħha l-moduli Wi-Fi u VPN

Ixegħel fips-updates, erġa' ibbottja, u l-magna terġa' lura mingħajr interface bla fil waqt li l-klijent VPN jirrifjuta li jibda għax il-modulu tal-kernel tiegħu huwa nieqes. Xejn ma ġie ddisinstallat fis-sens tas-soltu tal-pakketti, u għalhekk it-tinstallazzjoni mill-ġdid tal-klijent ma tibdel xejn. Il-magna qed taħdem b'kernel li d-drivers tagħha qatt ma nbnew għalih. Żewġ sintomi, kawża waħda, u l-kawża tidher f'kmand wieħed.

X'inbidel tassew bis-saħħa tal-boot mill-ġdid

L-aġġornamenti FIPS ta' Ubuntu Pro jinstallaw varjant ċertifikat tal-kernel u jagħmluh l-entrata tal-boot default. Dak il-varjant huwa kernel veru: jibda, jaħdem, u jibda s-servizzi li kellek diġà. Dak li ma fihx huwa kull modulu mibni għall-kernel ġeneriku, inkluż driver bla fil kompilat barra mis-siġra u modulu tat-tunnel li jingħata permezz ta' DKMS. Is-sett tad-drivers jiċċaqlaq mal-kernel, mhux mal-maniġer tal-pakketti. Għalhekk il-hardware għadu hemm u s-software li jitkellem miegħu mhuwiex.

Qabbel il-kernel li qed jaħdem mal-pakketti installati qabel ma tiftaħ xi setting tan-netwerk. Is-string tal-verżjoni jġorr marka li l-kernel ġeneriku m'għandux, u dak id-dettall wieħed jispjega ż-żewġ biċċiet neqsin.

Aqra wkoll l-entrata tal-boot, għax magna tista' jkollha l-kernel ċertifikat installat mingħajr ma tkun qed taħdem bih. F'dak il-każ l-istorja tal-moduli hija għal kollox differenti, u l-ports u d-drivers li kont se terġa' tinstalla huma tajbin.

Aqra l-istat tal-moduli qabel il-konfigurazzjoni tal-klijent

Modulu li ma jinstabx u modulu li jeżisti iżda jirrifjuta li jiġi mgħobbi huma żewġ ħsarat differenti b'żewġ soluzzjonijiet differenti. modinfo jgħid liema għandek, u lsmod jgħid x'inhu mgħobbi bħalissa. Agħmel it-tnejn qabel ma tmiss il-konfigurazzjoni tal-klijent VPN, għax l-iżball tal-klijent innifsu rari jifredhom.

Il-parti bla fil teħtieġ l-istess diviżjoni. Interface li qatt ma tidher tindika d-driver, filwaqt li waħda li teżisti iżda tibqa' mblukkata tindika rfkill jew il-maniġer tan-netwerk. It-tnejn jidhru l-istess f'applet tad-desktop u ma jaqsmu xejn taħt il-wiċċ.

Mexxi l-kontrolli fuq il-magna nnifisha sakemm il-ħsara għadha tista' tiġi riprodotta. Output imwaħħal minn host ieħor mhuwiex sostitut għal dan.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

Meta modinfo ma jsibx il-modulu xejn, it-tinstallazzjoni mill-ġdid tal-pakkett tal-user space mhix se tgħin, għax il-user space qatt ma kien il-parti nieqsa. Dak l-osservazzjoni jiffranka siegħa ta' ħabta mal-pakketti u jindika dritt lejn il-kernel.

Erġa' lura b'ordni li jħallilek kernel

Jekk FIPS ġie attivat bi żball, il-mogħdija tal-irkupru dokumentata tiddiżattiva s-servizz, tnaddaf il-pakketti tiegħu u mbagħad tirrestawra l-kernel ġeneriku. L-ordni mhix kożmetika. It-tindif jirrifjuta li jkompli meta ma jsibx kernel ieħor ta' Ubuntu, għax it-tneħħija tal-uniku wieħed tħalli magna li ma tibbootjax. Dak il-kontroll huwa d-differenza bejn irkupru u bini mill-ġdid. Huwa wkoll ir-raġuni għaliex is-sekwenza tfalli meta l-kernel ġeneriku jkun diġà tneħħa.

Mexxiha waqt li l-kernel ġeneriku għadu installat, aċċetta t-twissija dwar it-tneħħija ta' kernel, u mbagħad erġa' bbottja. Imbagħad ikkonferma li ma fadal l-ebda pakkett FIPS fl-istat installat u li l-kernel li qed jaħdem huwa dak li kont qed tistenna.

Fuq host remot, l-ewwel ipprepara aċċess tal-console jew barra mill-banda. It-tneħħija ta' kernel permezz ta' SSH hija tajba sa eżattament il-boot mill-ġdid li ma jiġix lura.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

Meta ċ-ċertifikazzjoni hija r-rekwiżit

L-irkupru huwa l-mossa ħażina meta ċ-ċertifikazzjoni hija kuntrattwali, għax il-magna mbagħad toħroġ mill-konfigurazzjoni li tiddeskrivi l-awditjar. F'dak il-każ il-vojt fid-drivers hija kwistjoni ta' għażla tal-hardware: agħżel adapter bla fil li d-driver tiegħu jiġi mal-kernel ċertifikat, aċċetta magna bil-kejbil biss, jew erġa' ċċaqlaq it-tunnel għal komponent li l-kernel ċertifikat diġà jappoġġja.

Il-bini ta' modulu barra mis-siġra fil-kernel ċertifikat mhuwiex soluzzjoni newtrali. Dan ibiddel x'jikkompli l-kernel, u din hija preċiżament il-proprjetà li tiddeskrivi ċ-ċertifikazzjoni.

Irreġistra d-deċiżjoni bl-isem tas-sid ħdejha, għax it-talba biex il-Wi-Fi biss jaħdem se terġa' lura fi ftit xhur b'inqas kuntest. Nota qasira issa tħares l-istess argument aktar tard.

Iċċekkja l-istack f'saffi wara l-bidla

Wara l-irkupru jew il-bidla tal-hardware, ivverifika minn isfel għal fuq minflok mill-klijent VPN 'l isfel. L-interface trid teżisti, il-link trid tkun 'il fuq, ir-resolver irid jaħdem, u biss imbagħad it-tunnel huwa importanti. Kull saff ifalli bil-messaġġ tiegħu stess, u l-qari tagħhom fl-ordni jżomm id-dijanjosi onesta.

Stat DNS li jibqa' mill-boot preċedenti huwa pożittiv falz komuni, għalhekk aqra r-resolver qabel ma tikkonkludi li t-tunnel inkiser.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

Jekk it-tunnel xorta jfalli ladarba l-kernel jerġa' lura, aqra l-istadju li qed ifalli minflok il-linja tal-qosor tal-klijent. Modulu li qatt ma ġie mgħobbi, ċertifikat li rrifjuta l-peer u kredenzjali li rrifjuta s-server huma tliet problemi separati, u boot mill-ġdid mhux se jifridhom għalik. Irreġistra isem l-istadju fit-ticket, u l-inġinier li jmiss jibda fejn waqaft.