dracut + systemd + LUKS + usbflash = ਆਟੋ ਅਨਲੌਕ

ਕਹਾਣੀ ਬਹੁਤ ਸਮਾਂ ਪਹਿਲਾਂ ਸ਼ੁਰੂ ਹੋਈ ਸੀ, ਜਦੋਂ Centos 7 (RHEL 7) ਰਿਲੀਜ਼ ਹੋਈ ਸੀ। ਜੇਕਰ ਤੁਸੀਂ Centos 6 ਨਾਲ ਡਰਾਈਵਾਂ 'ਤੇ ਏਨਕ੍ਰਿਪਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਸੀ, ਤਾਂ ਜਦੋਂ ਤੁਸੀਂ ਜ਼ਰੂਰੀ ਕੁੰਜੀਆਂ ਨਾਲ USB ਫਲੈਸ਼ ਡਰਾਈਵ ਨੂੰ ਕਨੈਕਟ ਕਰਦੇ ਹੋ, ਤਾਂ ਡ੍ਰਾਈਵ ਦੇ ਆਟੋਮੈਟਿਕ ਅਨਲੌਕਿੰਗ ਵਿੱਚ ਕੋਈ ਸਮੱਸਿਆ ਨਹੀਂ ਸੀ। ਹਾਲਾਂਕਿ, ਜਦੋਂ 7 ਨੂੰ ਰਿਲੀਜ਼ ਕੀਤਾ ਗਿਆ ਸੀ, ਅਚਾਨਕ ਸਭ ਕੁਝ ਉਸ ਤਰ੍ਹਾਂ ਕੰਮ ਨਹੀਂ ਕਰਦਾ ਸੀ ਜਿਵੇਂ ਤੁਸੀਂ ਕਰਦੇ ਸੀ। ਫਿਰ ਸੰਰਚਨਾ ਵਿੱਚ ਇੱਕ ਸਧਾਰਨ ਲਾਈਨ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਡਰਾਕਟ ਨੂੰ ਸਿਸਵਿਨਿਟ ਵਿੱਚ ਵਾਪਸ ਕਰਨ ਲਈ ਇੱਕ ਹੱਲ ਲੱਭਣਾ ਸੰਭਵ ਸੀ: echo ‘omit_dracutmodules+=" systemd "’ > /etc/dracut.conf.d/luks-workaround.conf
ਜਿਸ ਨੇ ਤੁਰੰਤ ਸਾਨੂੰ ਸਿਸਟਮਡ - ਸਿਸਟਮ ਸੇਵਾਵਾਂ ਦੀ ਤੇਜ਼ ਅਤੇ ਸਮਾਨਾਂਤਰ ਸ਼ੁਰੂਆਤ ਦੀ ਸਾਰੀ ਸੁੰਦਰਤਾ ਤੋਂ ਵਾਂਝਾ ਕਰ ਦਿੱਤਾ, ਜਿਸ ਨਾਲ ਸਿਸਟਮ ਦੇ ਸ਼ੁਰੂਆਤੀ ਸਮੇਂ ਵਿੱਚ ਮਹੱਤਵਪੂਰਨ ਕਮੀ ਆਈ।
ਚੀਜ਼ਾਂ ਅਜੇ ਵੀ ਉਥੇ ਹਨ: 905683
ਕਿਸੇ ਹੱਲ ਦੀ ਉਡੀਕ ਕੀਤੇ ਬਿਨਾਂ, ਮੈਂ ਇਸਨੂੰ ਆਪਣੇ ਲਈ ਬਣਾਇਆ ਹੈ, ਅਤੇ ਹੁਣ ਮੈਂ ਇਸਨੂੰ ਜਨਤਾ ਨਾਲ ਸਾਂਝਾ ਕਰ ਰਿਹਾ ਹਾਂ, ਜੋ ਦਿਲਚਸਪੀ ਰੱਖਦੇ ਹਨ, ਪੜ੍ਹੋ।

ਜਾਣ ਪਛਾਣ

ਸਿਸਟਮਡ, ਜਦੋਂ ਮੈਂ ਪਹਿਲੀ ਵਾਰ Centos 7 ਨਾਲ ਕੰਮ ਕਰਨਾ ਸ਼ੁਰੂ ਕੀਤਾ, ਕੋਈ ਭਾਵਨਾਵਾਂ ਪੈਦਾ ਨਹੀਂ ਕੀਤੀਆਂ, ਕਿਉਂਕਿ ਸੇਵਾ ਪ੍ਰਬੰਧਨ ਸੰਟੈਕਸ ਵਿੱਚ ਇੱਕ ਮਾਮੂਲੀ ਤਬਦੀਲੀ ਤੋਂ ਇਲਾਵਾ, ਮੈਨੂੰ ਪਹਿਲਾਂ ਬਹੁਤਾ ਫਰਕ ਮਹਿਸੂਸ ਨਹੀਂ ਹੋਇਆ। ਇਸ ਤੋਂ ਬਾਅਦ, ਮੈਨੂੰ systemd ਪਸੰਦ ਆਇਆ, ਪਰ ਪਹਿਲਾ ਪ੍ਰਭਾਵ ਥੋੜਾ ਵਿਗੜ ਗਿਆ, ਕਿਉਂਕਿ ਡਰਾਕਟ ਡਿਵੈਲਪਰਾਂ ਨੇ ਡਿਸਕ ਐਨਕ੍ਰਿਪਸ਼ਨ ਦੇ ਨਾਲ ਸਿਸਟਮਡ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਬੂਟ ਪ੍ਰਕਿਰਿਆ ਦਾ ਸਮਰਥਨ ਕਰਨ ਲਈ ਜ਼ਿਆਦਾ ਸਮਾਂ ਨਹੀਂ ਲਗਾਇਆ। ਆਮ ਤੌਰ 'ਤੇ, ਇਹ ਕੰਮ ਕਰਦਾ ਹੈ, ਪਰ ਜਦੋਂ ਵੀ ਸਰਵਰ ਚਾਲੂ ਹੁੰਦਾ ਹੈ ਤਾਂ ਡਿਸਕ ਪਾਸਵਰਡ ਦਾਖਲ ਕਰਨਾ ਸਭ ਤੋਂ ਦਿਲਚਸਪ ਗੱਲ ਨਹੀਂ ਹੈ.
ਬਹੁਤ ਸਾਰੀਆਂ ਸਿਫ਼ਾਰਸ਼ਾਂ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਨ ਅਤੇ ਮੈਨੂਅਲ ਦਾ ਅਧਿਐਨ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਮੈਂ ਮਹਿਸੂਸ ਕੀਤਾ ਕਿ ਸਿਸਟਮਡ ਮੋਡ ਵਿੱਚ USB ਦੇ ਨਾਲ ਸੰਰਚਨਾ ਸੰਭਵ ਹੈ, ਪਰ ਸਿਰਫ਼ USB ਡਿਸਕ 'ਤੇ ਇੱਕ ਕੁੰਜੀ ਨਾਲ ਹਰੇਕ ਡਿਸਕ ਦੇ ਮੈਨੂਅਲ ਸਬੰਧ ਨਾਲ, ਅਤੇ USB ਡਿਸਕ ਆਪਣੇ ਆਪ ਨੂੰ ਸਿਰਫ਼ ਇਸਦੇ ਦੁਆਰਾ ਜੋੜਿਆ ਜਾ ਸਕਦਾ ਹੈ. UUID, LABEL ਨੇ ਕੰਮ ਨਹੀਂ ਕੀਤਾ। ਘਰ ਵਿੱਚ ਇਸ ਨੂੰ ਬਣਾਈ ਰੱਖਣਾ ਬਹੁਤ ਸੁਵਿਧਾਜਨਕ ਨਹੀਂ ਸੀ, ਇਸ ਲਈ ਅੰਤ ਵਿੱਚ ਮੈਂ ਉਡੀਕ ਵਿੱਚ ਡੁੱਬ ਗਿਆ ਅਤੇ, ਲਗਭਗ 7 ਸਾਲਾਂ ਦੀ ਉਡੀਕ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਮੈਨੂੰ ਅਹਿਸਾਸ ਹੋਇਆ ਕਿ ਕੋਈ ਵੀ ਸਮੱਸਿਆ ਦਾ ਹੱਲ ਕਰਨ ਵਾਲਾ ਨਹੀਂ ਸੀ।

ਸਮੱਸਿਆਵਾਂ

ਬੇਸ਼ੱਕ, ਲਗਭਗ ਕੋਈ ਵੀ ਡਰਾਕਟ ਲਈ ਆਪਣਾ ਪਲੱਗਇਨ ਲਿਖ ਸਕਦਾ ਹੈ, ਪਰ ਇਸਨੂੰ ਕੰਮ ਕਰਨਾ ਹੁਣ ਇੰਨਾ ਆਸਾਨ ਨਹੀਂ ਹੈ। ਇਹ ਪਤਾ ਚਲਿਆ ਕਿ ਸਿਸਟਮਡ ਸਟਾਰਟਅੱਪ ਦੇ ਸਮਾਨਾਂਤਰ ਸੁਭਾਅ ਦੇ ਕਾਰਨ, ਤੁਹਾਡੇ ਕੋਡ ਨੂੰ ਸ਼ਾਮਲ ਕਰਨਾ ਅਤੇ ਲੋਡਿੰਗ ਪ੍ਰਗਤੀ ਨੂੰ ਬਦਲਣਾ ਇੰਨਾ ਆਸਾਨ ਨਹੀਂ ਹੈ. ਡਰਾਕਟ ਲਈ ਦਸਤਾਵੇਜ਼ਾਂ ਨੇ ਸਭ ਕੁਝ ਨਹੀਂ ਦੱਸਿਆ। ਹਾਲਾਂਕਿ, ਲੰਬੇ ਪ੍ਰਯੋਗਾਂ ਤੋਂ ਬਾਅਦ, ਮੈਂ ਸਮੱਸਿਆ ਨੂੰ ਹੱਲ ਕਰਨ ਦੇ ਯੋਗ ਸੀ.

ਕਿਦਾ ਚਲਦਾ

ਇਹ ਤਿੰਨ ਯੂਨਿਟਾਂ 'ਤੇ ਅਧਾਰਤ ਹੈ:

1. luks-auto-key.service - LUKS ਲਈ ਕੁੰਜੀਆਂ ਨਾਲ ਡਰਾਈਵਾਂ ਦੀ ਖੋਜ ਕਰਦਾ ਹੈ
2. luks-auto.target - ਬਿਲਟ-ਇਨ systemd-cryptsetup ਯੂਨਿਟਾਂ ਲਈ ਨਿਰਭਰਤਾ ਵਜੋਂ ਕੰਮ ਕਰਦਾ ਹੈ
3. luks-auto-clean.service - luks-auto-key.service ਦੁਆਰਾ ਬਣਾਈਆਂ ਅਸਥਾਈ ਫਾਈਲਾਂ ਨੂੰ ਸਾਫ਼ ਕਰਦਾ ਹੈ

ਅਤੇ luks-auto-generator.sh ਇੱਕ ਸਕ੍ਰਿਪਟ ਹੈ ਜੋ systemd ਦੁਆਰਾ ਲਾਂਚ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਅਤੇ ਕਰਨਲ ਪੈਰਾਮੀਟਰਾਂ ਦੇ ਅਧਾਰ 'ਤੇ ਯੂਨਿਟ ਤਿਆਰ ਕਰਦੀ ਹੈ। ਮਿਲਦੇ-ਜੁਲਦੇ ਜਨਰੇਟਰ fstab ਯੂਨਿਟਾਂ ਆਦਿ ਦੁਆਰਾ ਬਣਾਏ ਜਾਂਦੇ ਹਨ।

luks-auto-generator.sh

drop-in.conf ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਸਟੈਂਡਰਡ systemd-cryptsetup ਦਾ ਵਿਵਹਾਰ luks-auto.target ਨੂੰ ਉਹਨਾਂ ਦੀ ਨਿਰਭਰਤਾ ਵਿੱਚ ਜੋੜ ਕੇ ਬਦਲਿਆ ਜਾਂਦਾ ਹੈ।

luks-auto-key.service ਅਤੇ luks-auto-key.sh

ਇਹ ਯੂਨਿਟ luks-auto-key.sh ਸਕ੍ਰਿਪਟ ਚਲਾਉਂਦੀ ਹੈ, ਜੋ ਕਿ, rd.luks.* ਕੁੰਜੀਆਂ ਦੇ ਅਧਾਰ ਤੇ, ਕੁੰਜੀਆਂ ਨਾਲ ਮੀਡੀਆ ਲੱਭਦੀ ਹੈ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਹੋਰ ਵਰਤੋਂ ਲਈ ਇੱਕ ਅਸਥਾਈ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਕਾਪੀ ਕਰਦੀ ਹੈ। ਪ੍ਰਕਿਰਿਆ ਪੂਰੀ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਕੁੰਜੀਆਂ ਨੂੰ luks-auto-clean.service ਦੁਆਰਾ ਅਸਥਾਈ ਡਾਇਰੈਕਟਰੀ ਤੋਂ ਮਿਟਾ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ।

ਸਰੋਤ:

/usr/lib/dracut/modules.d/99luks-auto/module-setup.sh

#!/bin/bash

check () {
        if ! dracut_module_included "systemd"; then
                "luks-auto needs systemd in the initramfs"
                return 1
        fi
        return 255
}

depends () {
        echo "systemd"
        return 0
}

install () {
        inst "$systemdutildir/systemd-cryptsetup"
		inst_script "$moddir/luks-auto-generator.sh" "$systemdutildir/system-generators/luks-auto-generator.sh"
		inst_script "$moddir/luks-auto-key.sh" "/etc/systemd/system/luks-auto-key.sh"
		inst_script "$moddir/luks-auto.sh" "/etc/systemd/system/luks-auto.sh"
		inst "$moddir/luks-auto.target" "${systemdsystemunitdir}/luks-auto.target"
		inst "$moddir/luks-auto-key.service" "${systemdsystemunitdir}/luks-auto-key.service"
		inst "$moddir/luks-auto-clean.service" "${systemdsystemunitdir}/luks-auto-clean.service"
		ln_r "${systemdsystemunitdir}/luks-auto.target" "${systemdsystemunitdir}/initrd.target.wants/luks-auto.target"
		ln_r "${systemdsystemunitdir}/luks-auto-key.service" "${systemdsystemunitdir}/initrd.target.wants/luks-auto-key.service"
		ln_r "${systemdsystemunitdir}/luks-auto-clean.service" "${systemdsystemunitdir}/initrd.target.wants/luks-auto-clean.service"
}

/usr/lib/dracut/modules.d/99luks-auto/luks-auto-generator.sh

#!/bin/sh
# -*- mode: shell-script; indent-tabs-mode: nil; sh-basic-offset: 4; -*-
# ex: ts=8 sw=4 sts=4 et filetype=sh

. /lib/dracut-lib.sh

SYSTEMD_RUN='/run/systemd/system'
CRYPTSETUP='/usr/lib/systemd/systemd-cryptsetup'
TOUT=$(getargs rd.luks.key.tout)
if [ ! -z "$TOUT" ]; then
	mkdir -p "${SYSTEMD_RUN}/luks-auto-key.service.d"
	cat > "${SYSTEMD_RUN}/luks-auto-key.service.d/drop-in.conf"  <<EOF
[Service]
Type=oneshot
ExecStartPre=/usr/bin/sleep $TOUT

EOF
fi
mkdir -p "$SYSTEMD_RUN/luks-auto.target.wants"
for argv in $(getargs rd.luks.uuid -d rd_LUKS_UUID); do
	_UUID=${argv#luks-}
	_UUID_ESC=$(systemd-escape -p $_UUID)
	mkdir -p "${SYSTEMD_RUN}/systemd-cryptsetup@luksx2d${_UUID_ESC}.service.d"
	cat > "${SYSTEMD_RUN}/systemd-cryptsetup@luksx2d${_UUID_ESC}.service.d/drop-in.conf"  <<EOF
[Unit]
After=luks-auto.target
ConditionPathExists=!/dev/mapper/luks-${_UUID}

EOF
	cat > "${SYSTEMD_RUN}/luks-auto@${_UUID_ESC}.service"  <<EOF
[Unit]
Description=luks-auto Cryptography Setup for %I
DefaultDependencies=no
Conflicts=umount.target
IgnoreOnIsolate=true
Before=luks-auto.target
BindsTo=dev-disk-byx2duuid-${_UUID_ESC}.device
After=dev-disk-byx2duuid-${_UUID_ESC}.device luks-auto-key.service
Before=umount.target

[Service]
Type=oneshot
RemainAfterExit=yes
TimeoutSec=0
ExecStart=/etc/systemd/system/luks-auto.sh ${_UUID}
ExecStop=$CRYPTSETUP detach 'luks-${_UUID}'
Environment=DRACUT_SYSTEMD=1
StandardInput=null
StandardOutput=syslog
StandardError=syslog+console

EOF
ln -fs ${SYSTEMD_RUN}/luks-auto@${_UUID_ESC}.service $SYSTEMD_RUN/luks-auto.target.wants/luks-auto@${_UUID_ESC}.service
done

/usr/lib/dracut/modules.d/99luks-auto/luks-auto-key.service

[Unit]
Description=LUKS AUTO key searcher
After=cryptsetup-pre.target
Before=luks-auto.target
DefaultDependencies=no

[Service]
Environment=DRACUT_SYSTEMD=1
Type=oneshot
ExecStartPre=/usr/bin/sleep 1
ExecStart=/etc/systemd/system/luks-auto-key.sh
RemainAfterExit=true
StandardInput=null
StandardOutput=syslog
StandardError=syslog+console

/usr/lib/dracut/modules.d/99luks-auto/luks-auto-key.sh

#!/bin/sh
# -*- mode: shell-script; indent-tabs-mode: nil; sh-basic-offset: 4; -*-
# ex: ts=8 sw=4 sts=4 et filetype=sh
export DRACUT_SYSTEMD=1

. /lib/dracut-lib.sh
MNT_B="/tmp/luks-auto"
ARG=$(getargs rd.luks.key)
IFS=$':' _t=(${ARG})
KEY=${_t[0]}
F_FIELD=''
F_VALUE=''
if [ ! -z $KEY ] && [ ! -z ${_t[1]} ];then
	IFS=$'=' _t=(${_t[1]})
	F_FIELD=${_t[0]}
	F_VALUE=${_t[1]}
	F_VALUE="${F_VALUE%"}"
	F_VALUE="${F_VALUE#"}"
fi
mkdir -p $MNT_B

finding_luks_keys(){
	local _DEVNAME=''
	local _UUID=''
	local _TYPE=''
	local _LABEL=''
	local _MNT=''
	local _KEY="$1"
	local _F_FIELD="$2"
	local _F_VALUE="$3"
	local _RET=0	
	blkid -s TYPE -s UUID -s LABEL -u filesystem | grep -v -E -e "TYPE=".*_member"" -e "TYPE="crypto_.*"" -e "TYPE="swap"" | while IFS=$'' read -r _line; do
		IFS=$':' _t=($_line);
		_DEVNAME=${_t[0]}
		_UUID=''
		_TYPE=''
		_LABEL=''
		_MNT=''
		IFS=$' ' _t=(${_t[1]});
		for _a in "${_t[@]}"; do
			IFS=$'=' _v=(${_a});
			temp="${_v[1]%"}"
			temp="${temp#"}"
			case ${_v[0]} in
				'UUID')
					_UUID=$temp
				;;
				'TYPE')
					_TYPE=$temp
				;;
				'LABEL')
					_LABEL=$temp
				;;
			esac
		done
		if [ ! -z "$_F_FIELD" ];then
			case $_F_FIELD in
				'UUID')
					[ ! -z "$_F_VALUE" ] && [ "$_UUID" != "$_F_VALUE" ] && continue
				;;
				'LABEL')
					[ ! -z "$_F_VALUE" ] && [ "$_LABEL" != "$_F_VALUE" ] && continue
				;;
				*)
					[ "$_DEVNAME" != "$_F_FIELD" ] && continue
				;;
			esac
		fi
		_MNT=$(findmnt -n -o TARGET $_DEVNAME)
		if [ -z "$_MNT" ]; then
			_MNT=${MNT_B}/KEY-${_UUID}
			mkdir -p "$_MNT" && mount -o ro "$_DEVNAME" "$_MNT"
			_RET=$?
		else
			_RET=0
		fi
		if [ "${_RET}" -eq 0 ] && [ -f "${_MNT}/${_KEY}" ]; then
			cp "${_MNT}/${_KEY}" "$MNT_B/${_UUID}.key"
			info "Found ${_MNT}/${_KEY} on ${_UUID}"
		fi
		if [[ "${_MNT}" =~ "${MNT_B}" ]]; then
			umount "$_MNT" && rm -rfd --one-file-system "$_MNT"						
		fi
	done
	return 0
}
finding_luks_keys $KEY $F_FIELD $F_VALUE

/usr/lib/dracut/modules.d/99luks-auto/luks-auto.target

[Unit]
Description=LUKS AUTO target
After=systemd-readahead-collect.service systemd-readahead-replay.service
After=cryptsetup-pre.target luks-auto-key.service
Before=cryptsetup.target

/usr/lib/dracut/modules.d/99luks-auto/luks-auto.sh

#!/bin/sh
# -*- mode: shell-script; indent-tabs-mode: nil; sh-basic-offset: 4; -*-
# ex: ts=8 sw=4 sts=4 et filetype=sh
export DRACUT_SYSTEMD=1
. /lib/dracut-lib.sh

MNT_B="/tmp/luks-auto"
CRYPTSETUP='/usr/lib/systemd/systemd-cryptsetup'

for i in $(ls -p $MNT_B | grep -v /);do
	info "Trying $i on $1..."
	$CRYPTSETUP attach "luks-$1" "/dev/disk/by-uuid/$1" $MNT_B/$i 'tries=1'
	if [ "$?" -eq "0" ]; then
		info "Found $i for $1"
		exit 0
	fi
done
warn "No key found for $1.  Fallback to passphrase mode."

/usr/lib/dracut/modules.d/99luks-auto/luks-auto-clean.service

[Unit]
Description=LUKS AUTO key cleaner
After=cryptsetup.target
DefaultDependencies=no

[Service]
Type=oneshot
ExecStart=/usr/bin/rm -rfd --one-file-system /tmp/luks-auto

/etc/dracut.conf.d/luks-auto.conf

add_dracutmodules+=" luks-auto "

ਸੈਟਿੰਗ

mkdir -p /usr/lib/dracut/modules.d/99luks-auto/
# размещаем тут почти все файлы
chmod +x /usr/lib/dracut/modules.d/99luks-auto/*.sh
# создаем файл /etc/dracut.conf.d/luks-auto.conf
# И генерируем новый initramfs
dracut -f

ਸਿੱਟਾ

ਸਹੂਲਤ ਲਈ, ਮੈਂ sysvinit ਮੋਡ ਲਈ ਕਰਨਲ ਕਮਾਂਡ ਲਾਈਨ ਵਿਕਲਪਾਂ ਨਾਲ ਅਨੁਕੂਲਤਾ ਬਣਾਈ ਰੱਖੀ ਹੈ, ਜੋ ਪੁਰਾਣੀਆਂ ਸਥਾਪਨਾਵਾਂ ਵਿੱਚ ਵਰਤਣਾ ਆਸਾਨ ਬਣਾਉਂਦਾ ਹੈ।

ਸਰੋਤ: www.habr.com