ການຖອດລະຫັດກ່ອງບັນຈຸ LUKS ໃນເວລາເປີດລະບົບ

ສະບາຍດີມື້ແລະກາງຄືນທຸກຄົນ! ຂໍ້ຄວາມນີ້ຈະເປັນປະໂຫຍດສໍາລັບຜູ້ທີ່ໃຊ້ການເຂົ້າລະຫັດຂໍ້ມູນ LUKS ແລະຕ້ອງການຖອດລະຫັດແຜ່ນພາຍໃຕ້ Linux (Debian, Ubuntu) ໃນ ຂັ້ນຕອນຂອງການຖອດລະຫັດການແບ່ງປັນຮາກ. ແລະຂ້ອຍບໍ່ສາມາດຊອກຫາຂໍ້ມູນດັ່ງກ່າວຢູ່ໃນອິນເຕີເນັດ.

ບໍ່ດົນມານີ້, ດ້ວຍການເພີ່ມຂື້ນຂອງຈໍານວນແຜ່ນໃນຊັ້ນວາງ, ຂ້າພະເຈົ້າໄດ້ເຂົ້າໄປໃນບັນຫາຂອງການຖອດລະຫັດແຜ່ນໂດຍໃຊ້ວິທີການທີ່ມີຊື່ສຽງຫຼາຍກວ່າ /etc/crypttab. ສ່ວນບຸກຄົນ, ຂ້າພະເຈົ້າເນັ້ນຫນັກເຖິງບັນຫາເລັກນ້ອຍໃນການນໍາໃຊ້ວິທີການນີ້, ຄືວ່າໄຟລ໌ກໍາລັງຖືກອ່ານ ພຽງ​ແຕ່​ຫຼັງ​ຈາກ​ການ​ໂຫຼດ (mount​) ການ​ແບ່ງ​ປັນ​ຮາກ​, ເຊິ່ງມີຜົນກະທົບທາງລົບຕໍ່ການນໍາເຂົ້າ ZFS, ໂດຍສະເພາະຖ້າພວກມັນຖືກສ້າງຈາກພາທິຊັນໃນອຸປະກອນ *_crypt, ຫຼືການໂຈມຕີ mdadm ທີ່ສ້າງຂຶ້ນຈາກພາທິຊັນເຊັ່ນກັນ. ພວກເຮົາທຸກຄົນຮູ້ວ່າທ່ານສາມາດນໍາໃຊ້ສ່ວນແບ່ງຢູ່ໃນຖັງ LUKS, ແມ່ນບໍ? ແລະຍັງເປັນບັນຫາຂອງການເລີ່ມຕົ້ນຕົ້ນຂອງການບໍລິການອື່ນໆ, ໃນເວລາທີ່ບໍ່ມີ arrays ເທື່ອ, ແຕ່ ໃຊ້ ຂ້ອຍຕ້ອງການບາງສິ່ງບາງຢ່າງແລ້ວ (ຂ້ອຍເຮັດວຽກກັບກຸ່ມ Proxmox VE 5.x ແລະ ZFS ຫຼາຍກວ່າ iSCSI).

ເລັກນ້ອຍກ່ຽວກັບ ZFSoverISCSIiSCSI ເຮັດວຽກສໍາລັບຂ້ອຍໂດຍຜ່ານ LIO, ແລະໃນຄວາມເປັນຈິງ, ເມື່ອເປົ້າຫມາຍ iscsi ເລີ່ມຕົ້ນແລະບໍ່ເຫັນອຸປະກອນ ZVOL, ມັນພຽງແຕ່ເອົາພວກມັນອອກຈາກການຕັ້ງຄ່າ, ເຊິ່ງປ້ອງກັນບໍ່ໃຫ້ລະບົບຂອງແຂກເລີ່ມຕົ້ນ. ດັ່ງນັ້ນ, ບໍ່ວ່າຈະເປັນການຟື້ນຟູການສໍາຮອງຂໍ້ມູນໄຟລ໌ json, ຫຼືການເພີ່ມອຸປະກອນດ້ວຍຕົນເອງທີ່ມີຕົວລະບຸສໍາລັບແຕ່ລະ VM, ເຊິ່ງພຽງແຕ່ຂີ້ຮ້າຍເມື່ອມີເຄື່ອງຈັກດັ່ງກ່າວຫຼາຍສິບເຄື່ອງແລະແຕ່ລະການຕັ້ງຄ່າມີຫຼາຍກວ່າ 1 ແຜ່ນ.

ແລະຄໍາຖາມທີສອງທີ່ຂ້ອຍຈະພິຈາລະນາແມ່ນວິທີການຖອດລະຫັດ (ນີ້ແມ່ນຈຸດສໍາຄັນຂອງບົດຄວາມ). ແລະພວກເຮົາຈະສົນທະນາກ່ຽວກັບເລື່ອງນີ້ຂ້າງລຸ່ມນີ້, ໄປພາຍໃຕ້ການຕັດ!

ສ່ວນຫຼາຍມັກ, ໃນອິນເຕີເນັດ, ໄຟລ໌ທີ່ສໍາຄັນແມ່ນຖືກນໍາໃຊ້ (ເພີ່ມຕົນເອງໃສ່ຊ່ອງໃສ່ກ່ອນນີ້ໂດຍຄໍາສັ່ງ - cryptsetup luksAddKey), ຫຼືໃນຂໍ້ຍົກເວັ້ນທີ່ຫາຍາກ (ໃນອິນເຕີເນັດພາສາລັດເຊຍມີຂໍ້ມູນຫນ້ອຍຫຼາຍ) - script decrypt_derived ຕັ້ງຢູ່ໃນ /lib/cryptsetup/script/ (ແນ່ນອນ, ມີວິທີອື່ນ, ແຕ່ຂ້ອຍໃຊ້ສອງອັນນີ້, ເຊິ່ງສ້າງພື້ນຖານຂອງບົດຄວາມ). ຂ້າພະເຈົ້າຍັງພະຍາຍາມສໍາລັບການລວມເອົາເອກະລາດຢ່າງເຕັມທີ່ຫຼັງຈາກ reboots, ໂດຍບໍ່ມີຄໍາສັ່ງເພີ່ມເຕີມໃດໆໃນ console, ດັ່ງນັ້ນທຸກສິ່ງທຸກຢ່າງຈະ "ບິນຂຶ້ນ" ສໍາລັບຂ້າພະເຈົ້າໃນເວລາດຽວກັນ. ເພາະສະນັ້ນ, ເປັນຫຍັງຈຶ່ງລໍຖ້າ? —

ມາເລີ່ມກັນເລີຍ!

ໃຫ້ສົມມຸດວ່າລະບົບ, ເຊັ່ນ Debian, ຕິດຕັ້ງຢູ່ໃນພາທິຊັນ crypto sda3_crypt ແລະອາຍແກັສດິດພ້ອມທີ່ຈະຖືກເຂົ້າລະຫັດແລະສ້າງໃຫ້ກັບເນື້ອໃນຫົວໃຈຂອງທ່ານ. ພວກເຮົາມີ passphrase (passphrase) ເພື່ອປົດລັອກ sda3_crypt, ແລະມັນແມ່ນມາຈາກພາທິຊັນນີ້ທີ່ພວກເຮົາຈະເອົາ "hash" ອອກຈາກລະຫັດຜ່ານໃນລະບົບແລ່ນ (ຖອດລະຫັດ) ແລະເພີ່ມມັນໃສ່ສ່ວນທີ່ເຫຼືອຂອງແຜ່ນ. ທຸກສິ່ງທຸກຢ່າງແມ່ນປະຖົມ, ໃນ console ພວກເຮົາປະຕິບັດ:

/lib/cryptsetup/scripts/decrypt_derived sda3_crypt | cryptsetup luksFormat /dev/sdX

ບ່ອນທີ່ X ແມ່ນແຜ່ນ, ການແບ່ງປັນຂອງພວກເຮົາ, ແລະອື່ນໆ.

ຫຼັງຈາກເຂົ້າລະຫັດແຜ່ນດ້ວຍ "hash" ຈາກວະລີຜ່ານຂອງພວກເຮົາ, ທ່ານຈໍາເປັນຕ້ອງຊອກຫາ UUID ຫຼື ID - ຂຶ້ນກັບຜູ້ທີ່ຖືກນໍາໃຊ້ເພື່ອຫຍັງແລະອັນໃດ. ພວກເຮົາເອົາຂໍ້ມູນຈາກ /dev/disk/by-uuid ແລະ by-id ຕາມລໍາດັບ.

ຂັ້ນ​ຕອນ​ຕໍ່​ໄປ​ແມ່ນ​ການ​ກະ​ກຽມ​ໄຟລ​໌​ແລະ mini-scripts ສໍາ​ລັບ​ຫນ້າ​ທີ່​ພວກ​ເຮົາ​ຕ້ອງ​ການ​, ໃຫ້​ດໍາ​ເນີນ​ການ​:

cp -p /usr/share/initramfs-tools/hooks/cryptroot /etc/initramfs-tools/hooks/
cp -p /usr/share/initramfs-tools/scripts/local-top/cryptroot /etc/initramfs-tools/scripts/local-top/

ຕື່ມອີກ

touch /etc/initramfs-tools/hooks/decrypt && chmod +x /etc/initramfs-tools/hooks/decrypt

ເນື້ອໃນຂອງ ../decrypt

#!/bin/sh

cp -p /lib/cryptsetup/scripts/decrypt_derived "$DESTDIR/bin/decrypt_derived"

ຕື່ມອີກ

touch /etc/initramfs-tools/hooks/partcopy && chmod +x /etc/initramfs-tools/hooks/partcopy

ເນື້ອໃນຂອງ../partcopy

#!/bin/sh

cp -p /sbin/partprobe "$DESTDIR/bin/partprobe"
cp -p /lib/x86_64-linux-gnu/libparted.so.2 "$DESTDIR/lib/x86_64-linux-gnu/libparted.so.2"
cp -p /lib/x86_64-linux-gnu/libreadline.so.7 "$DESTDIR/lib/x86_64-linux-gnu/libreadline.so.7"

ເລັກນ້ອຍຫຼາຍ

touch /etc/initramfs-tools/scripts/local-bottom/partprobe && chmod +x /etc/initramfs-tools/scripts/local-bottom/partprobe

ເນື້ອໃນ../partprobe

#!/bin/sh

$DESTDIR/bin/partprobe

ແລະສຸດທ້າຍ, ກ່ອນທີ່ຈະອັບເດດ-initramfs, ທ່ານຈໍາເປັນຕ້ອງໄດ້ແກ້ໄຂໄຟລ໌ /etc/initramfs-tools/scripts/local-top/cryptroot, ເລີ່ມຕົ້ນຈາກເສັ້ນ ~ 360, ລະຫັດຂ້າງລຸ່ມນີ້

ຕົ້ນສະບັບ

                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                
                message "cryptsetup ($crypttarget): set up successfully"
                break

ແລະເອົາມາໃສ່ແບບຟອມນີ້

ດັດແກ້

                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                

                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-uuid/ *CRYPT_MAP*
                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-id/ *CRYPT_MAP*

                message "cryptsetup ($crypttarget): set up successfully"
                break

ໃຫ້ສັງເກດວ່າ UUI ຫຼື ID ສາມາດຖືກນໍາໃຊ້ຢູ່ທີ່ນີ້. ສິ່ງທີ່ສໍາຄັນແມ່ນວ່າໄດເວີທີ່ຈໍາເປັນສໍາລັບອຸປະກອນ HDD / SSD ໄດ້ຖືກເພີ່ມເຂົ້າໃນ /etc/initramfs-tools/modules. ເຈົ້າສາມາດຊອກຫາໄດເວີທີ່ຖືກນໍາໃຊ້ກັບຄໍາສັ່ງ udevadm ຂໍ້ມູນ -a -n /dev/sdX | egreg 'ຊອກຫາ|ຄົນຂັບ'.

ໃນປັດຈຸບັນທີ່ພວກເຮົາໄດ້ເຮັດແລະໄຟລ໌ທັງຫມົດຢູ່ໃນສະຖານທີ່, ດໍາເນີນການ update-initramfs -u -k ທັງຫມົດ -v, ຢູ່ໃນບັນທຶກ ຈະຕ້ອງບໍ່ແມ່ນ ຄວາມຜິດພາດການປະຕິບັດຂອງສະຄຣິບຂອງພວກເຮົາ. ພວກເຮົາ reboot, ໃສ່ passphrase ແລະລໍຖ້າເລັກນ້ອຍ, ອີງຕາມຈໍານວນຂອງແຜ່ນ. ຕໍ່ໄປ, ລະບົບຈະເລີ່ມຕົ້ນແລະໃນຂັ້ນຕອນສຸດທ້າຍຂອງການເປີດຕົວ, ຄືຫຼັງຈາກ "ຕິດຕັ້ງ" ການແບ່ງປັນຮາກ, ຄໍາສັ່ງ partprobe ຈະຖືກປະຕິບັດ - ມັນຈະຊອກຫາແລະເລືອກເອົາພາທິຊັນທີ່ສ້າງຂື້ນທັງຫມົດໃນອຸປະກອນ LUKS ແລະ array ໃດ, ບໍ່ວ່າຈະເປັນ ZFS ຫຼື. mdadm, ຈະໄດ້ຮັບການປະກອບໂດຍບໍ່ມີບັນຫາ! ແລະທັງຫມົດນີ້ ກ່ອນທີ່ຈະໂຫລດ ການບໍລິການຫຼັກ ແລະການບໍລິການທີ່ຕ້ອງການແຜ່ນ/ອາເຣເຫຼົ່ານີ້.

update 1: ແນວໃດ ສັງເກດເຫັນ ເອເອ, ວິທີນີ້ໃຊ້ໄດ້ກັບ LUKS1 ເທົ່ານັ້ນ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com