FIPS yadro almashtiruvi Wi-Fi va VPN modullarini olib ketdi

fips-updates ni yoqing, qayta ishga tushiring, va mashina simsiz interfeyssiz qaytadi, VPN mijozi esa yadro moduli yo’qligi sababli ishga tushishdan bosh tortadi. Oddiy paket ma’nosida hech narsa o’chirilmagan, shuning uchun mijozni qayta o’rnatish hech narsani o’zgartirmaydi. Mashina drayverlari hech qachon qurilmagan yadroda ishlayapti. Ikki belgi, bitta sabab, va sabab bitta buyruqda ko’rinadi.

Qayta ishga tushirish aslida nimani almashtirdi

Ubuntu Pro dagi FIPS yangilanishlari sertifikatlangan yadro variantini o’rnatadi va uni standart yuklash yozuviga aylantiradi. Bu variant haqiqiy yadro: u yuklanadi, ishlaydi va sizda allaqachon bo’lgan xizmatlarni ishga tushiradi. Unda yo’q narsa — umumiy yadro uchun qurilgan har bir modul, jumladan daraxtdan tashqarida kompilyatsiya qilingan simsiz drayver va DKMS orqali yetkazib beriladigan tunnel moduli. Drayverlar to’plami paket menejeri bilan emas, yadro bilan birga harakatlanadi. Shuning uchun apparat hali ham bor, u bilan gaplashadigan dasturiy ta’minot esa yo’q.

Har qanday tarmoq sozlamasini ochishdan oldin ishlab turgan yadroni o’rnatilgan paketlar bilan solishtiring. Versiya satri umumiy yadroda bo’lmagan belgini olib yuradi, va shu bitta tafsilot ikkala yo’qolgan qismni ham tushuntiradi.

Yuklash yozuvini ham o’qing, chunki mashinada sertifikatlangan yadro o’rnatilgan bo’lishi mumkin, lekin u ishlab turmasligi mumkin. Bunday holda modullar tarixi butunlay boshqacha, va siz qayta o’rnatmoqchi bo’lgan portlar va drayverlar joyida.

Mijoz sozlamasidan oldin modullar holatini o’qing

Topilmaydigan modul va mavjud bo’lsa ham yuklanishdan bosh tortadigan modul — turli tuzatishlarga ega ikki xil nosozlik. modinfo qaysi biri sizda borligini aytadi, lsmod esa hozir nima yuklanganini aytadi. VPN mijozining sozlamasiga tegishdan oldin ikkalasini ham qiling, chunki mijozning o’z xatosi ularni kamdan-kam ajratadi.

Simsiz qismga ham xuddi shunday bo’linish kerak. Hech qachon ko’rinmaydigan interfeys drayverni ko’rsatadi, mavjud bo’lib bloklangan holda qolgani esa rfkill yoki tarmoq menejerini. Ikkalasi ish stolidagi kichik dasturda bir xil ko’rinadi va ostida hech narsani bo’lishmaydi.

Nosozlik hali takrorlanishi mumkin bo’lganda tekshiruvlarni mashinaning o’zida bajaring. Boshqa xostdan yopishtirilgan chiqish buning o’rnini bosmaydi.

uname -r
pro status --all | grep -E 'fips|kernel'
modinfo wireguard 2>&1 | head -3
rfkill list

modinfo modulni umuman topa olmasa, foydalanuvchi maydoni paketini qayta o’rnatish yordam bermaydi, chunki foydalanuvchi maydoni hech qachon yetishmayotgan qism bo’lmagan. Bu kuzatuv bir soatlik paket ovoragarchiligini tejaydi va to’g’ri yadroga ishora qiladi.

Sizga yadro qoldiradigan tartibda orqaga qayting

Agar FIPS xato bilan yoqilgan bo’lsa, hujjatlashtirilgan tiklash yo’li xizmatni o’chiradi, uning paketlarini tozalaydi va keyin umumiy yadroni tiklaydi. Tartib bezak emas. Tozalash boshqa Ubuntu yadrosini topa olmasa davom etishdan bosh tortadi, chunki yagonasini olib tashlash yuklanmaydigan mashina qoldirardi. Shu tekshiruv orqaga qaytish va qayta qurish o’rtasidagi farq. Umumiy yadro allaqachon olib tashlangan bo’lsa, bu ketma-ketlikning muvaffaqiyatsiz bo’lish sababi ham shu.

Umumiy yadro hali o’rnatilgan bo’lganda bajariladi, yadroni olib tashlash haqidagi ogohlantirishni qabul qiling, so’ngra qayta ishga tushiring. Keyin o’rnatilgan holatda hech qanday FIPS paketi qolmaganini va ishlab turgan yadro siz kutgan yadro ekanini tasdiqlang.

Masofadagi xostda avval konsol yoki tarmoqdan tashqari kirishni tashkil qiling. SSH orqali yadroni olib tashlash qaytmaydigan qayta ishga tushirishgacha to’g’ri.

dpkg -l | grep -E 'linux-image|fips'
sudo pro disable fips-updates --purge
sudo apt install --reinstall linux-generic
sudo reboot

Sertifikatlashtirish talab bo’lganda

Agar sertifikatlashtirish shartnomaviy bo’lsa, orqaga qaytish noto’g’ri qadam, chunki mashina audit tasvirlagan konfiguratsiyadan chiqib ketadi. Bunday holda drayver bo’shligi apparat tanlovi masalasi: drayveri sertifikatlangan yadro bilan keladigan simsiz adapter tanlang, faqat kabeli bor mashinani qabul qiling, yoki tunnelni sertifikatlangan yadro allaqachon qo’llab-quvvatlaydigan komponentga ko’chiring.

Daraxtdan tashqari modulni sertifikatlangan yadroga qurish betaraf yechim emas. U yadro nima bajarishini o’zgartiradi, va sertifikatlashtirish aynan shu xususiyatni tasvirlaydi.

Qarorni egasining ismi bilan yonma-yon yozib qo’ying, chunki faqat Wi-Fi ishlashi kerak degan so’rov bir necha oydan keyin kamroq kontekst bilan qaytadi. Hozirgi qisqa yozuv keyin o’sha bahsni oldini oladi.

O’zgarishdan keyin stekni qatlam-qatlam tekshiring

Orqaga qaytish yoki apparat almashtirilgandan keyin VPN mijozidan pastga emas, pastdan yuqoriga tekshiring. Interfeys bo’lishi shart, aloqa ko’tarilgan bo’lishi shart, hal qiluvchi ishlashi shart, va shundan keyingina tunnel muhim. Har bir qatlam o’z xabari bilan muvaffaqiyatsiz bo’ladi, va ularni tartib bilan o’qish tashxisni halol saqlaydi.

Oldingi yuklashdan qolgan DNS holati keng tarqalgan noto’g’ri signal, shuning uchun tunnel buzilgan degan xulosaga kelishdan oldin hal qiluvchini o’qing.

nmcli device status
ip -brief link
resolvectl status | head -12
systemctl --failed

Yadro qaytganidan keyin ham tunnel muvaffaqiyatsiz bo’lsa, mijozning qisqacha satrini emas, muvaffaqiyatsiz bo’lgan bosqichni o’qing. Hech qachon yuklanmagan modul, qarshi tomon rad etgan sertifikat va server rad etgan hisob ma’lumotlari uch xil muammo, va qayta ishga tushirish ularni sizning o’rningizga ajratmaydi. Bosqich nomini chiptaga yozing, keyingi muhandis siz to’xtagan joydan boshlaydi.