dracut + systemd + LUKS + usbflash = ავტომატური განბლოკვა

ამბავი დიდი ხნის წინ დაიწყო, როდესაც Centos 7 (RHEL 7) გამოვიდა. თუ თქვენ იყენებდით დაშიფვრას Centos 6-ის მქონე დისკებზე, მაშინ დისკების ავტომატური განბლოკვის პრობლემა არ ყოფილა, როდესაც USB ფლეშ დრაივს დაუკავშირდით საჭირო გასაღებებით. თუმცა, როცა 7 გამოვიდა, უცებ ყველაფერი ისე არ მუშაობდა, როგორც შენ იყავი შეჩვეული. შემდეგ შესაძლებელი გახდა გამოსავლის პოვნა dracut-ის sysvinit-ში დაბრუნებაში მარტივი ხაზის გამოყენებით კონფიგურაციაში: echo ‘omit_dracutmodules+=" systemd "’ > /etc/dracut.conf.d/luks-workaround.conf
რამაც მაშინვე დაგვაკარგვინა systemd-ის მთელი სილამაზე - სისტემური სერვისების სწრაფი და პარალელური გაშვება, რამაც მნიშვნელოვნად შეამცირა სისტემის გაშვების დრო.
საქმეები ჯერ კიდევ არსებობს: 905683
გამოსავლის მოლოდინის გარეშე, მე თვითონ გავაკეთე და ახლა ვუზიარებ საზოგადოებას, ვისაც აინტერესებს, წაიკითხეთ.

შესავალი

Systemd, როდესაც პირველად დავიწყე მუშაობა Centos 7-თან, არ გამომიწვევია რაიმე ემოცია, რადგან სერვისის მართვის სინტაქსის უმნიშვნელო ცვლილების გარდა, თავიდან დიდ განსხვავებას ვერ ვგრძნობდი. შემდგომში მომეწონა systemd, მაგრამ პირველი შთაბეჭდილება ოდნავ გაფუჭდა, რადგან dracut-ის დეველოპერებმა დიდი დრო არ დახარჯეს ჩატვირთვის პროცესის მხარდაჭერაზე systemd-ის გამოყენებით დისკის დაშიფვრასთან ერთად. ზოგადად, მუშაობდა, მაგრამ სერვერის ჩართვისას დისკის პაროლის შეყვანა ყველაზე საინტერესო არ არის.
რამდენიმე რეკომენდაციის გამოცდისა და სახელმძღვანელოს შესწავლის შემდეგ, მივხვდი, რომ სისტემურ რეჟიმში USB-ით კონფიგურაცია შესაძლებელია, მაგრამ მხოლოდ თითოეული დისკის ხელით ასოცირებით USB დისკზე კლავიშთან, ხოლო თავად USB დისკი შეიძლება მხოლოდ მის მიერ იყოს დაკავშირებული. UUID, LABEL არ მუშაობდა. სახლში ამის შენარჩუნება არც თუ ისე მოსახერხებელი იყო, ასე რომ, საბოლოოდ ჩავვარდი მოლოდინში და, თითქმის 7 წლის ლოდინის შემდეგ, მივხვდი, რომ არავინ აპირებდა პრობლემის მოგვარებას.

პრობლემები

რა თქმა უნდა, თითქმის ყველას შეუძლია დაწეროს საკუთარი მოდული dracut-ისთვის, მაგრამ მისი მუშაობა არც ისე ადვილია. აღმოჩნდა, რომ სისტემური გაშვების პარალელური ხასიათის გამო, არც ისე ადვილია თქვენი კოდის ჩართვა და ჩატვირთვის პროგრესის შეცვლა. დრაკუტის დოკუმენტაცია არ ხსნიდა ყველაფერს. თუმცა, ხანგრძლივი ექსპერიმენტების შემდეგ, მე შევძელი პრობლემის მოგვარება.

Როგორ მუშაობს

იგი დაფუძნებულია სამ ერთეულზე:

1. luks-auto-key.service - ეძებს დისკებს კლავიშებით LUKS-ისთვის
2. luks-auto.target - მოქმედებს როგორც დამოკიდებულება ჩაშენებული systemd-cryptsetup ერთეულებისთვის
3. luks-auto-clean.service - ასუფთავებს luks-auto-key.service-ის მიერ შექმნილ დროებით ფაილებს

და luks-auto-generator.sh არის სკრიპტი, რომელიც გაშვებულია systemd-ის მიერ და წარმოქმნის ერთეულებს ბირთვის პარამეტრებზე დაყრდნობით. მსგავსი გენერატორები იქმნება fstab ერთეულებით და ა.შ.

luks-auto-generator.sh

drop-in.conf-ის გამოყენებით, სტანდარტული systemd-cryptsetup-ის ქცევა იცვლება მათ დამოკიდებულებაზე luks-auto.target-ის დამატებით.

luks-auto-key.service და luks-auto-key.sh

ეს განყოფილება აწარმოებს luks-auto-key.sh სკრიპტს, რომელიც rd.luks.* კლავიშებზე დაყრდნობით პოულობს მედიას კლავიშებით და აკოპირებს მათ დროებით დირექტორიაში შემდგომი გამოყენებისთვის. პროცესის დასრულების შემდეგ, გასაღებები წაიშლება დროებითი დირექტორიადან luks-auto-clean.service-ის მიერ.

წყაროები:

/usr/lib/dracut/modules.d/99luks-auto/module-setup.sh

#!/bin/bash

check () {
        if ! dracut_module_included "systemd"; then
                "luks-auto needs systemd in the initramfs"
                return 1
        fi
        return 255
}

depends () {
        echo "systemd"
        return 0
}

install () {
        inst "$systemdutildir/systemd-cryptsetup"
		inst_script "$moddir/luks-auto-generator.sh" "$systemdutildir/system-generators/luks-auto-generator.sh"
		inst_script "$moddir/luks-auto-key.sh" "/etc/systemd/system/luks-auto-key.sh"
		inst_script "$moddir/luks-auto.sh" "/etc/systemd/system/luks-auto.sh"
		inst "$moddir/luks-auto.target" "${systemdsystemunitdir}/luks-auto.target"
		inst "$moddir/luks-auto-key.service" "${systemdsystemunitdir}/luks-auto-key.service"
		inst "$moddir/luks-auto-clean.service" "${systemdsystemunitdir}/luks-auto-clean.service"
		ln_r "${systemdsystemunitdir}/luks-auto.target" "${systemdsystemunitdir}/initrd.target.wants/luks-auto.target"
		ln_r "${systemdsystemunitdir}/luks-auto-key.service" "${systemdsystemunitdir}/initrd.target.wants/luks-auto-key.service"
		ln_r "${systemdsystemunitdir}/luks-auto-clean.service" "${systemdsystemunitdir}/initrd.target.wants/luks-auto-clean.service"
}

/usr/lib/dracut/modules.d/99luks-auto/luks-auto-generator.sh

#!/bin/sh
# -*- mode: shell-script; indent-tabs-mode: nil; sh-basic-offset: 4; -*-
# ex: ts=8 sw=4 sts=4 et filetype=sh

. /lib/dracut-lib.sh

SYSTEMD_RUN='/run/systemd/system'
CRYPTSETUP='/usr/lib/systemd/systemd-cryptsetup'
TOUT=$(getargs rd.luks.key.tout)
if [ ! -z "$TOUT" ]; then
	mkdir -p "${SYSTEMD_RUN}/luks-auto-key.service.d"
	cat > "${SYSTEMD_RUN}/luks-auto-key.service.d/drop-in.conf"  <<EOF
[Service]
Type=oneshot
ExecStartPre=/usr/bin/sleep $TOUT

EOF
fi
mkdir -p "$SYSTEMD_RUN/luks-auto.target.wants"
for argv in $(getargs rd.luks.uuid -d rd_LUKS_UUID); do
	_UUID=${argv#luks-}
	_UUID_ESC=$(systemd-escape -p $_UUID)
	mkdir -p "${SYSTEMD_RUN}/systemd-cryptsetup@luksx2d${_UUID_ESC}.service.d"
	cat > "${SYSTEMD_RUN}/systemd-cryptsetup@luksx2d${_UUID_ESC}.service.d/drop-in.conf"  <<EOF
[Unit]
After=luks-auto.target
ConditionPathExists=!/dev/mapper/luks-${_UUID}

EOF
	cat > "${SYSTEMD_RUN}/luks-auto@${_UUID_ESC}.service"  <<EOF
[Unit]
Description=luks-auto Cryptography Setup for %I
DefaultDependencies=no
Conflicts=umount.target
IgnoreOnIsolate=true
Before=luks-auto.target
BindsTo=dev-disk-byx2duuid-${_UUID_ESC}.device
After=dev-disk-byx2duuid-${_UUID_ESC}.device luks-auto-key.service
Before=umount.target

[Service]
Type=oneshot
RemainAfterExit=yes
TimeoutSec=0
ExecStart=/etc/systemd/system/luks-auto.sh ${_UUID}
ExecStop=$CRYPTSETUP detach 'luks-${_UUID}'
Environment=DRACUT_SYSTEMD=1
StandardInput=null
StandardOutput=syslog
StandardError=syslog+console

EOF
ln -fs ${SYSTEMD_RUN}/luks-auto@${_UUID_ESC}.service $SYSTEMD_RUN/luks-auto.target.wants/luks-auto@${_UUID_ESC}.service
done

/usr/lib/dracut/modules.d/99luks-auto/luks-auto-key.service

[Unit]
Description=LUKS AUTO key searcher
After=cryptsetup-pre.target
Before=luks-auto.target
DefaultDependencies=no

[Service]
Environment=DRACUT_SYSTEMD=1
Type=oneshot
ExecStartPre=/usr/bin/sleep 1
ExecStart=/etc/systemd/system/luks-auto-key.sh
RemainAfterExit=true
StandardInput=null
StandardOutput=syslog
StandardError=syslog+console

/usr/lib/dracut/modules.d/99luks-auto/luks-auto-key.sh

#!/bin/sh
# -*- mode: shell-script; indent-tabs-mode: nil; sh-basic-offset: 4; -*-
# ex: ts=8 sw=4 sts=4 et filetype=sh
export DRACUT_SYSTEMD=1

. /lib/dracut-lib.sh
MNT_B="/tmp/luks-auto"
ARG=$(getargs rd.luks.key)
IFS=$':' _t=(${ARG})
KEY=${_t[0]}
F_FIELD=''
F_VALUE=''
if [ ! -z $KEY ] && [ ! -z ${_t[1]} ];then
	IFS=$'=' _t=(${_t[1]})
	F_FIELD=${_t[0]}
	F_VALUE=${_t[1]}
	F_VALUE="${F_VALUE%"}"
	F_VALUE="${F_VALUE#"}"
fi
mkdir -p $MNT_B

finding_luks_keys(){
	local _DEVNAME=''
	local _UUID=''
	local _TYPE=''
	local _LABEL=''
	local _MNT=''
	local _KEY="$1"
	local _F_FIELD="$2"
	local _F_VALUE="$3"
	local _RET=0	
	blkid -s TYPE -s UUID -s LABEL -u filesystem | grep -v -E -e "TYPE=".*_member"" -e "TYPE="crypto_.*"" -e "TYPE="swap"" | while IFS=$'' read -r _line; do
		IFS=$':' _t=($_line);
		_DEVNAME=${_t[0]}
		_UUID=''
		_TYPE=''
		_LABEL=''
		_MNT=''
		IFS=$' ' _t=(${_t[1]});
		for _a in "${_t[@]}"; do
			IFS=$'=' _v=(${_a});
			temp="${_v[1]%"}"
			temp="${temp#"}"
			case ${_v[0]} in
				'UUID')
					_UUID=$temp
				;;
				'TYPE')
					_TYPE=$temp
				;;
				'LABEL')
					_LABEL=$temp
				;;
			esac
		done
		if [ ! -z "$_F_FIELD" ];then
			case $_F_FIELD in
				'UUID')
					[ ! -z "$_F_VALUE" ] && [ "$_UUID" != "$_F_VALUE" ] && continue
				;;
				'LABEL')
					[ ! -z "$_F_VALUE" ] && [ "$_LABEL" != "$_F_VALUE" ] && continue
				;;
				*)
					[ "$_DEVNAME" != "$_F_FIELD" ] && continue
				;;
			esac
		fi
		_MNT=$(findmnt -n -o TARGET $_DEVNAME)
		if [ -z "$_MNT" ]; then
			_MNT=${MNT_B}/KEY-${_UUID}
			mkdir -p "$_MNT" && mount -o ro "$_DEVNAME" "$_MNT"
			_RET=$?
		else
			_RET=0
		fi
		if [ "${_RET}" -eq 0 ] && [ -f "${_MNT}/${_KEY}" ]; then
			cp "${_MNT}/${_KEY}" "$MNT_B/${_UUID}.key"
			info "Found ${_MNT}/${_KEY} on ${_UUID}"
		fi
		if [[ "${_MNT}" =~ "${MNT_B}" ]]; then
			umount "$_MNT" && rm -rfd --one-file-system "$_MNT"						
		fi
	done
	return 0
}
finding_luks_keys $KEY $F_FIELD $F_VALUE

/usr/lib/dracut/modules.d/99luks-auto/luks-auto.target

[Unit]
Description=LUKS AUTO target
After=systemd-readahead-collect.service systemd-readahead-replay.service
After=cryptsetup-pre.target luks-auto-key.service
Before=cryptsetup.target

/usr/lib/dracut/modules.d/99luks-auto/luks-auto.sh

#!/bin/sh
# -*- mode: shell-script; indent-tabs-mode: nil; sh-basic-offset: 4; -*-
# ex: ts=8 sw=4 sts=4 et filetype=sh
export DRACUT_SYSTEMD=1
. /lib/dracut-lib.sh

MNT_B="/tmp/luks-auto"
CRYPTSETUP='/usr/lib/systemd/systemd-cryptsetup'

for i in $(ls -p $MNT_B | grep -v /);do
	info "Trying $i on $1..."
	$CRYPTSETUP attach "luks-$1" "/dev/disk/by-uuid/$1" $MNT_B/$i 'tries=1'
	if [ "$?" -eq "0" ]; then
		info "Found $i for $1"
		exit 0
	fi
done
warn "No key found for $1.  Fallback to passphrase mode."

/usr/lib/dracut/modules.d/99luks-auto/luks-auto-clean.service

[Unit]
Description=LUKS AUTO key cleaner
After=cryptsetup.target
DefaultDependencies=no

[Service]
Type=oneshot
ExecStart=/usr/bin/rm -rfd --one-file-system /tmp/luks-auto

/etc/dracut.conf.d/luks-auto.conf

add_dracutmodules+=" luks-auto "

დაყენების

mkdir -p /usr/lib/dracut/modules.d/99luks-auto/
# размещаем тут почти все файлы
chmod +x /usr/lib/dracut/modules.d/99luks-auto/*.sh
# создаем файл /etc/dracut.conf.d/luks-auto.conf
# И генерируем новый initramfs
dracut -f

დასკვნა

მოხერხებულობისთვის, მე შევინარჩუნე თავსებადობა ბირთვის ბრძანების ხაზის ვარიანტებთან, ისევე როგორც sysvinit რეჟიმში, რაც ამარტივებს ძველ ინსტალაციაში გამოყენებას.

წყარო: www.habr.com