เรื่องราวเริ่มต้นเมื่อนานมาแล้ว ย้อนกลับไปเมื่อ Centos 7 (RHEL 7) เปิดตัว หากคุณใช้การเข้ารหัสบนไดรฟ์ด้วย Centos 6 แสดงว่าไม่มีปัญหากับการปลดล็อคไดรฟ์อัตโนมัติเมื่อคุณเชื่อมต่อแฟลชไดรฟ์ USB ด้วยปุ่มที่จำเป็น อย่างไรก็ตาม เมื่อ 7 เปิดตัว จู่ๆ ทุกอย่างก็ไม่ทำงานเหมือนอย่างเคย จากนั้นจึงเป็นไปได้ที่จะหาวิธีแก้ไขในการส่งคืน dracut ไปยัง sysvinit โดยใช้บรรทัดง่ายๆ ในการกำหนดค่า: echo 'omit_dracutmodules+=" systemd "' > /etc/dracut.conf.d/luks-workaround.conf
ซึ่งทำให้เราขาดเสน่ห์ของ systemd ทันที - การเปิดตัวบริการระบบที่รวดเร็วและขนานซึ่งช่วยลดเวลาในการเริ่มต้นระบบลงอย่างมาก
สิ่งต่าง ๆ ยังคงอยู่ที่นั่น:
ฉันทำเพื่อตัวเองโดยไม่ต้องรอวิธีแก้ปัญหา และตอนนี้ฉันกำลังแบ่งปันกับสาธารณะที่สนใจ อ่านต่อ
การแนะนำ
Systemd เมื่อฉันเริ่มทำงานกับ Centos 7 ครั้งแรกไม่ได้ทำให้เกิดอารมณ์ใด ๆ เนื่องจากนอกเหนือจากการเปลี่ยนแปลงเล็กน้อยในรูปแบบการจัดการบริการแล้ว ฉันไม่ได้รู้สึกถึงความแตกต่างมากนักในตอนแรก ต่อจากนั้นฉันชอบ systemd แต่ความประทับใจแรกนั้นเสียไปเล็กน้อยเนื่องจากนักพัฒนา dracut ไม่ได้ใช้เวลามากนักในการสนับสนุนกระบวนการบูตโดยใช้ systemd ร่วมกับการเข้ารหัสดิสก์ โดยทั่วไปแล้วมันใช้งานได้ แต่การป้อนรหัสผ่านดิสก์ทุกครั้งที่เซิร์ฟเวอร์เริ่มทำงานไม่ใช่สิ่งที่น่าสนใจที่สุด
หลังจากลองใช้คำแนะนำมากมายและศึกษาคู่มือแล้วฉันก็ตระหนักว่าในการกำหนดค่าโหมด systemd ด้วย USB เป็นไปได้ แต่เฉพาะกับการเชื่อมโยงด้วยตนเองของแต่ละดิสก์ด้วยคีย์บนดิสก์ USB และดิสก์ USB เองก็สามารถเชื่อมโยงได้เท่านั้น UUID, LABEL ใช้งานไม่ได้ การดูแลสิ่งนี้ที่บ้านไม่สะดวกนักดังนั้นในที่สุดฉันก็รีบรอและหลังจากรอมาเกือบ 7 ปีฉันก็รู้ว่าไม่มีใครจะแก้ปัญหาได้
ปัญหา
แน่นอนว่าเกือบทุกคนสามารถเขียนปลั๊กอินสำหรับ dracut ของตัวเองได้ แต่การทำให้ใช้งานได้ไม่ใช่เรื่องง่ายอีกต่อไป ปรากฎว่าเนื่องจากลักษณะการทำงานแบบขนานของการเริ่มต้น systemd จึงไม่ง่ายนักที่จะรวมรหัสของคุณและเปลี่ยนความคืบหน้าในการโหลด เอกสารสำหรับ dracut ไม่ได้อธิบายทุกอย่าง อย่างไรก็ตาม หลังจากการทดลองอันยาวนาน ฉันสามารถแก้ไขปัญหาได้
มันทำงานอย่างไร
มันขึ้นอยู่กับสามหน่วย:
- luks-auto-key.service - ค้นหาไดรฟ์ด้วยกุญแจสำหรับ LUKS
- luks-auto.target - ทำหน้าที่เป็นการพึ่งพาสำหรับหน่วย systemd-cryptsetup ในตัว
- luks-auto-clean.service - ล้างไฟล์ชั่วคราวที่สร้างโดย luks-auto-key.service
และ luks-auto-generator.sh เป็นสคริปต์ที่เปิดตัวโดย systemd และสร้างหน่วยตามพารามิเตอร์เคอร์เนล เครื่องกำเนิดไฟฟ้าที่คล้ายกันถูกสร้างขึ้นโดยหน่วย fstab เป็นต้น
luks-auto-generator.sh
เมื่อใช้ drop-in.conf พฤติกรรมของ systemd-cryptsetup มาตรฐานจะเปลี่ยนไปโดยการเพิ่ม luks-auto.target ลงในการพึ่งพา
luks-auto-key.service และ luks-auto-key.sh
หน่วยนี้รันสคริปต์ luks-auto-key.sh ซึ่งใช้คีย์ rd.luks.* ค้นหาสื่อที่มีคีย์และคัดลอกไปยังไดเร็กทอรีชั่วคราวเพื่อใช้ต่อไป หลังจากกระบวนการเสร็จสิ้น คีย์จะถูกลบออกจากไดเร็กทอรีชั่วคราวโดย luks-auto-clean.service
แหล่งที่มา:
/usr/lib/dracut/modules.d/99luks-auto/module-setup.sh
#!/bin/bash
check () {
if ! dracut_module_included "systemd"; then
"luks-auto needs systemd in the initramfs"
return 1
fi
return 255
}
depends () {
echo "systemd"
return 0
}
install () {
inst "$systemdutildir/systemd-cryptsetup"
inst_script "$moddir/luks-auto-generator.sh" "$systemdutildir/system-generators/luks-auto-generator.sh"
inst_script "$moddir/luks-auto-key.sh" "/etc/systemd/system/luks-auto-key.sh"
inst_script "$moddir/luks-auto.sh" "/etc/systemd/system/luks-auto.sh"
inst "$moddir/luks-auto.target" "${systemdsystemunitdir}/luks-auto.target"
inst "$moddir/luks-auto-key.service" "${systemdsystemunitdir}/luks-auto-key.service"
inst "$moddir/luks-auto-clean.service" "${systemdsystemunitdir}/luks-auto-clean.service"
ln_r "${systemdsystemunitdir}/luks-auto.target" "${systemdsystemunitdir}/initrd.target.wants/luks-auto.target"
ln_r "${systemdsystemunitdir}/luks-auto-key.service" "${systemdsystemunitdir}/initrd.target.wants/luks-auto-key.service"
ln_r "${systemdsystemunitdir}/luks-auto-clean.service" "${systemdsystemunitdir}/initrd.target.wants/luks-auto-clean.service"
}
/usr/lib/dracut/modules.d/99luks-auto/luks-auto-generator.sh
#!/bin/sh
# -*- mode: shell-script; indent-tabs-mode: nil; sh-basic-offset: 4; -*-
# ex: ts=8 sw=4 sts=4 et filetype=sh
. /lib/dracut-lib.sh
SYSTEMD_RUN='/run/systemd/system'
CRYPTSETUP='/usr/lib/systemd/systemd-cryptsetup'
TOUT=$(getargs rd.luks.key.tout)
if [ ! -z "$TOUT" ]; then
mkdir -p "${SYSTEMD_RUN}/luks-auto-key.service.d"
cat > "${SYSTEMD_RUN}/luks-auto-key.service.d/drop-in.conf" <<EOF
[Service]
Type=oneshot
ExecStartPre=/usr/bin/sleep $TOUT
EOF
fi
mkdir -p "$SYSTEMD_RUN/luks-auto.target.wants"
for argv in $(getargs rd.luks.uuid -d rd_LUKS_UUID); do
_UUID=${argv#luks-}
_UUID_ESC=$(systemd-escape -p $_UUID)
mkdir -p "${SYSTEMD_RUN}/systemd-cryptsetup@luksx2d${_UUID_ESC}.service.d"
cat > "${SYSTEMD_RUN}/systemd-cryptsetup@luksx2d${_UUID_ESC}.service.d/drop-in.conf" <<EOF
[Unit]
After=luks-auto.target
ConditionPathExists=!/dev/mapper/luks-${_UUID}
EOF
cat > "${SYSTEMD_RUN}/luks-auto@${_UUID_ESC}.service" <<EOF
[Unit]
Description=luks-auto Cryptography Setup for %I
DefaultDependencies=no
Conflicts=umount.target
IgnoreOnIsolate=true
Before=luks-auto.target
BindsTo=dev-disk-byx2duuid-${_UUID_ESC}.device
After=dev-disk-byx2duuid-${_UUID_ESC}.device luks-auto-key.service
Before=umount.target
[Service]
Type=oneshot
RemainAfterExit=yes
TimeoutSec=0
ExecStart=/etc/systemd/system/luks-auto.sh ${_UUID}
ExecStop=$CRYPTSETUP detach 'luks-${_UUID}'
Environment=DRACUT_SYSTEMD=1
StandardInput=null
StandardOutput=syslog
StandardError=syslog+console
EOF
ln -fs ${SYSTEMD_RUN}/luks-auto@${_UUID_ESC}.service $SYSTEMD_RUN/luks-auto.target.wants/luks-auto@${_UUID_ESC}.service
done
/usr/lib/dracut/modules.d/99luks-auto/luks-auto-key.service
[Unit]
Description=LUKS AUTO key searcher
After=cryptsetup-pre.target
Before=luks-auto.target
DefaultDependencies=no
[Service]
Environment=DRACUT_SYSTEMD=1
Type=oneshot
ExecStartPre=/usr/bin/sleep 1
ExecStart=/etc/systemd/system/luks-auto-key.sh
RemainAfterExit=true
StandardInput=null
StandardOutput=syslog
StandardError=syslog+console
/usr/lib/dracut/modules.d/99luks-auto/luks-auto-key.sh
#!/bin/sh
# -*- mode: shell-script; indent-tabs-mode: nil; sh-basic-offset: 4; -*-
# ex: ts=8 sw=4 sts=4 et filetype=sh
export DRACUT_SYSTEMD=1
. /lib/dracut-lib.sh
MNT_B="/tmp/luks-auto"
ARG=$(getargs rd.luks.key)
IFS=$':' _t=(${ARG})
KEY=${_t[0]}
F_FIELD=''
F_VALUE=''
if [ ! -z $KEY ] && [ ! -z ${_t[1]} ];then
IFS=$'=' _t=(${_t[1]})
F_FIELD=${_t[0]}
F_VALUE=${_t[1]}
F_VALUE="${F_VALUE%"}"
F_VALUE="${F_VALUE#"}"
fi
mkdir -p $MNT_B
finding_luks_keys(){
local _DEVNAME=''
local _UUID=''
local _TYPE=''
local _LABEL=''
local _MNT=''
local _KEY="$1"
local _F_FIELD="$2"
local _F_VALUE="$3"
local _RET=0
blkid -s TYPE -s UUID -s LABEL -u filesystem | grep -v -E -e "TYPE=".*_member"" -e "TYPE="crypto_.*"" -e "TYPE="swap"" | while IFS=$'' read -r _line; do
IFS=$':' _t=($_line);
_DEVNAME=${_t[0]}
_UUID=''
_TYPE=''
_LABEL=''
_MNT=''
IFS=$' ' _t=(${_t[1]});
for _a in "${_t[@]}"; do
IFS=$'=' _v=(${_a});
temp="${_v[1]%"}"
temp="${temp#"}"
case ${_v[0]} in
'UUID')
_UUID=$temp
;;
'TYPE')
_TYPE=$temp
;;
'LABEL')
_LABEL=$temp
;;
esac
done
if [ ! -z "$_F_FIELD" ];then
case $_F_FIELD in
'UUID')
[ ! -z "$_F_VALUE" ] && [ "$_UUID" != "$_F_VALUE" ] && continue
;;
'LABEL')
[ ! -z "$_F_VALUE" ] && [ "$_LABEL" != "$_F_VALUE" ] && continue
;;
*)
[ "$_DEVNAME" != "$_F_FIELD" ] && continue
;;
esac
fi
_MNT=$(findmnt -n -o TARGET $_DEVNAME)
if [ -z "$_MNT" ]; then
_MNT=${MNT_B}/KEY-${_UUID}
mkdir -p "$_MNT" && mount -o ro "$_DEVNAME" "$_MNT"
_RET=$?
else
_RET=0
fi
if [ "${_RET}" -eq 0 ] && [ -f "${_MNT}/${_KEY}" ]; then
cp "${_MNT}/${_KEY}" "$MNT_B/${_UUID}.key"
info "Found ${_MNT}/${_KEY} on ${_UUID}"
fi
if [[ "${_MNT}" =~ "${MNT_B}" ]]; then
umount "$_MNT" && rm -rfd --one-file-system "$_MNT"
fi
done
return 0
}
finding_luks_keys $KEY $F_FIELD $F_VALUE
/usr/lib/dracut/modules.d/99luks-auto/luks-auto.target
[Unit]
Description=LUKS AUTO target
After=systemd-readahead-collect.service systemd-readahead-replay.service
After=cryptsetup-pre.target luks-auto-key.service
Before=cryptsetup.target
/usr/lib/dracut/modules.d/99luks-auto/luks-auto.sh
#!/bin/sh
# -*- mode: shell-script; indent-tabs-mode: nil; sh-basic-offset: 4; -*-
# ex: ts=8 sw=4 sts=4 et filetype=sh
export DRACUT_SYSTEMD=1
. /lib/dracut-lib.sh
MNT_B="/tmp/luks-auto"
CRYPTSETUP='/usr/lib/systemd/systemd-cryptsetup'
for i in $(ls -p $MNT_B | grep -v /);do
info "Trying $i on $1..."
$CRYPTSETUP attach "luks-$1" "/dev/disk/by-uuid/$1" $MNT_B/$i 'tries=1'
if [ "$?" -eq "0" ]; then
info "Found $i for $1"
exit 0
fi
done
warn "No key found for $1. Fallback to passphrase mode."
/usr/lib/dracut/modules.d/99luks-auto/luks-auto-clean.service
[Unit]
Description=LUKS AUTO key cleaner
After=cryptsetup.target
DefaultDependencies=no
[Service]
Type=oneshot
ExecStart=/usr/bin/rm -rfd --one-file-system /tmp/luks-auto
/etc/dracut.conf.d/luks-auto.conf
add_dracutmodules+=" luks-auto "
การติดตั้ง
mkdir -p /usr/lib/dracut/modules.d/99luks-auto/
# размещаем тут почти все файлы
chmod +x /usr/lib/dracut/modules.d/99luks-auto/*.sh
# создаем файл /etc/dracut.conf.d/luks-auto.conf
# И генерируем новый initramfs
dracut -f
ข้อสรุป
เพื่อความสะดวก ฉันยังคงรักษาความเข้ากันได้กับตัวเลือกบรรทัดคำสั่งเคอร์เนลเช่นเดียวกับโหมด sysvinit ซึ่งทำให้ใช้งานได้ง่ายขึ้นในการติดตั้งรุ่นเก่า
ที่มา: will.com