Výmena jadra FIPS si vzala moduly Wi-Fi a VPN

Zapnite fips-updates, reštartujte a stroj sa vráti bez bezdrôtového rozhrania, zatiaľ čo klient VPN odmieta naštartovať, lebo mu chýba modul jadra. V bežnom zmysle balíkov sa nič neodinštalovalo, a preto preinštalácia klienta nezmení vôbec nič. Stroj beží na jadre, pre ktoré sa jeho ovládače nikdy nestavali. Dva príznaky, jedna príčina a príčina je vidieť v jedinom príkaze.

Čo reštart vlastne prepol

Aktualizácie FIPS v Ubuntu Pro nainštalujú certifikovaný variant jadra a urobia z neho predvolenú položku na spustenie. Ten variant je skutočné jadro: naštartuje, beží a spustí služby, ktoré ste už mali. Čo v ňom nie je, je každý modul zostavený pre generické jadro, vrátane bezdrôtového ovládača skompilovaného mimo stromu a tunelového modulu dodávaného cez DKMS. Sada ovládačov sa posúva s jadrom, nie so správcom balíkov. Hardvér teda stále je a softvér, ktorý s ním hovorí, nie.

Porovnajte bežiace jadro s nainštalovanými balíkmi, skôr než otvoríte akékoľvek sieťové nastavenie. Reťazec verzie nesie značku, ktorú generické jadro nemá, a ten jediný detail vysvetľuje obe chýbajúce časti.

Prečítajte si aj položku na spustenie, pretože stroj môže mať certifikované jadro nainštalované a napriek tomu ho nespúšťať. V takom prípade je príbeh modulov úplne iný a porty a ovládače, ktoré ste sa chystali preinštalovať, sú v poriadku.

Prečítajte stav modulov pred konfiguráciou klienta

Modul, ktorý sa nedá nájsť, a modul, ktorý existuje, ale odmieta sa načítať, sú dve rôzne poruchy s rôznymi opravami. modinfo hlási, ktorú z nich máte, a lsmod hlási, čo je práve načítané. Urobte oboje, skôr než sa dotknete konfigurácie klienta VPN, pretože vlastná chyba klienta ich málokedy odlíši.

Bezdrôtová časť potrebuje rovnaké rozdelenie. Rozhranie, ktoré sa nikdy neobjaví, ukazuje na ovládač, zatiaľ čo to, ktoré existuje, ale zostáva zablokované, ukazuje na rfkill alebo na správcu siete. V paneli na ploche vyzerajú obe rovnako a pod povrchom nemajú nič spoločné.

Spustite kontroly na samotnom stroji, kým sa porucha ešte dá reprodukovať. Výstup vložený z iného hostiteľa toto nenahrádza.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

Keď modinfo modul vôbec nenájde, preinštalácia balíka v používateľskom priestore nepomôže, pretože používateľský priestor nikdy nebol tou chýbajúcou časťou. To pozorovanie ušetrí hodinu handrkovania s balíkmi a mieri priamo na jadro.

Vráťte sa v poradí, ktoré vám nechá jadro

Ak bolo FIPS zapnuté omylom, dokumentovaná cesta obnovy vypne službu, odstráni jej balíky a potom obnoví generické jadro. Poradie nie je kozmetické. Odstránenie odmietne pokračovať, keď nenájde iné jadro Ubuntu, pretože odstránenie jediného by nechalo stroj, ktorý nenabootuje. Práve táto kontrola je rozdiel medzi návratom a prestavbou. Je to aj dôvod, prečo sled zlyhá, keď už bolo generické jadro predtým odstránené.

Vykonajte to, kým je generické jadro ešte nainštalované, prijmite upozornenie na odstránenie jadra a potom reštartujte. Následne potvrďte, že v stave nainštalované nezostal žiadny balík FIPS a že bežiace jadro je to, ktoré ste čakali.

Na vzdialenom hostiteľovi si najskôr zaistite konzolový alebo mimopásmový prístup. Odstraňovať jadro cez SSH je v poriadku presne do reštartu, ktorý sa nevráti.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

Keď je certifikácia požiadavkou

Vrátiť sa späť je nesprávny krok, keď je certifikácia zmluvná, pretože stroj tým opustí konfiguráciu, ktorú opisuje audit. V takom prípade je medzera v ovládačoch otázkou výberu hardvéru: vyberte bezdrôtový adaptér, ktorého ovládač sa dodáva s certifikovaným jadrom, prijmite stroj len s káblom, alebo presuňte tunel na komponent, ktorý certifikované jadro už podporuje.

Zostaviť modul mimo stromu do certifikovaného jadra nie je neutrálne riešenie. Mení to, čo jadro vykonáva, a to je presne tá vlastnosť, ktorú certifikácia opisuje.

Zapíšte rozhodnutie s menom vlastníka vedľa neho, pretože žiadosť, aby Wi-Fi jednoducho fungovalo, sa o pár mesiacov vráti s menším kontextom. Krátka poznámka teraz zabráni tej istej hádke neskôr.

Po zmene prejdite stack po vrstvách

Po návrate alebo výmene hardvéru overujte zdola nahor, nie od klienta VPN nadol. Rozhranie musí existovať, spoj musí byť hore, resolver musí fungovať, a až potom má tunel význam. Každá vrstva zlyháva s vlastnou správou a čítanie v poradí udrží diagnózu poctivú.

Zvyškový stav DNS z predchádzajúceho spustenia je častý falošný poplach, preto si prečítajte resolver, skôr než usúdite, že sa tunel pokazil.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

Ak tunel po návrate jadra stále zlyháva, čítajte zlyhávajúcu fázu, nie súhrnný riadok klienta. Modul, ktorý sa nikdy nenačítal, certifikát, ktorý protistrana odmietla, a prihlasovacie údaje, ktoré server odmietol, sú tri oddelené problémy a reštart ich za vás neodlíši. Zapíšte názov fázy do tiketu a ďalší inžinier začne tam, kde ste skončili.