SSH üzerinden LUKS kilidini açmak için önyükleme işleminin başında bir bağlantı noktası nasıl açılır

Debian 7 çalıştıran tamamen şifreli bir sunucum var ve SSH aracılığıyla LUKS kapsayıcısının kilidini açmak için dropbear ve busybox kurduk ( bu öğreticide ve bu U&L cevabında açıklandığı gibi ).

Ne yazık ki, ne zaman denemek ve SSH sunucuya yeniden (LAN üzerinden) yeniden başlatma, bir "Bağlantı reddedildi" hatası alıyorum. Denedim telnetve nmapvarsayılan bağlantı noktasına (22) ve her ikisi de bağlantı noktasının kapalı olduğunu söylüyor.

Sunucunun ufwLAN'dan gelen tüm trafiği kabul etme kuralı vardır :

Anywhere         ALLOW       192.168.1.0/24

Ben de üzerinde dropbear dinler o bağlantı noktasını değiştirerek denedim /etc/defaults/dropbearama sshve telnetyine bağlantı kabul edilmediğinde ¹ .

LUKS kapsayıcısının kilidini açmak için bağlanabilmem için önyükleme işleminin bu aşamasında bir bağlantı noktasının açık olduğundan nasıl emin olabilirim?

Güvenlik duvarının devre dışı bırakılması fark etmez: nmaptüm bağlantı noktalarının hala kapalı olduğunu gösterir.

Güncelleme 2/14

break=premountÇekirdek hattına ekledim ve initramfs'de bir dürtme yaptım. dropbearbaşladı, ancak ağ bu noktada çalışmıyor . Çıktıktan sonra ağ açılır ve LUKS cihazının kilidini açma istemine kadar önyükleme devam eder.

Bu noktada, ağ açıktır ve ana bilgisayara doğru IP adresi atanmıştır, ancak 22 numaralı bağlantı noktası hala kapalıdır.

/etc/initramfs-tools/intiramfs.confBen kullanıyorum IP hattı :

export IP=192.168.1.200::192.168.1.1:255.255.255.0::eth0:off

Talimatlara uygun olarak /usr/share/doc/cryptsetup/README.remote.gzsadece cihaz seçeneğini eklemeyi denedim, ancak bu ağı yükseltmek ve bir dhcp kiralaması elde etmek için yeterli değil.

Güncelleme 11/10/14

Karl'ın cevabı gerekliydi: Kurulum /etc/initramfs-tools/conf.d/cryptrootanahtardı:

target=md1_crypt,source=UUID=8570d12k-ccha-4985-s09f-e43dhed9fa2a

Bu kılavuz ayrıca daha güncel ve alakalı (ve başarılı) olduğunu kanıtlamıştır.

ssh networking luks

— jasonwryan
kaynak

VAOV! Tamamen kilitli bir LUKS'un kilidini uzaktan açabileceğinizi bilmiyordum. Açıkçası sorunuzu kesin olarak cevaplayamıyorum ama sanırım sshd başlamamıştı. Makinemde, sshd işlemin ilerleyen saatlerinde başlar.

— emory

Meşgul kutusu ortamındayken makineye konsol erişiminiz var mı? Dropbear'ın gerçekten çalıştığını (üzerinden ps) ve beklediğiniz bağlantı noktasını (üzerinden ) dinlediğini doğrulayabilir misiniz netstat?

— larsks

larsks - hayır, çünkü konsolda komut istemi parolanın girilmesini bekliyor ve başka bir TTY'ye geçmek sadece boş bir ekran anlamına geliyor (eğer sizi doğru anladıysam).

— jasonwryan

LUKS şifrelemesini (geçici olarak) kaldırabilir ve bırakma ayısının gerçekten çalıştığını doğrulayabilir misiniz?

— emory

break=XErken bir initramfskabuk almak için önyükleme parametrelerinden birini kullanmayı denediniz mi? Ne zaman dosya sistemi şifreleme hata ayıklamak, kullanırım break=premount. Durumun ne olduğunu kontrol edebilir, çözebilir ve önyüklemeye devam edebilirsiniz.

— Alexios

Yanıtlar:

Aynı sorunu birkaç hafta önce aldım (Debian Wheezy 7.6) ve sorun giderme günlerinden sonra, init-top üzerindeki cryptroot betiğinin düzgün çalışmasını engelleyen bir yapılandırma dosyasının eksik olduğunu öğrendim, bu yüzden durmuyor ssh ile şifre sormak, dizinin sonunda (init-bottom) dropbear öldürmek.

Yapılandırma dosyası çağrılır cryptrootve altında olmalıdır /etc/initramfs-tools/conf.d/ Eğer yanlış değilse, yapılandırma dosyası otomatik olarak kurulum sırasında oluşturulmalıdır (Ben bu yapılandırma dosyası hakkında konuşan sadece bir öğretici okudum) ama bir şekilde olmadı (fiziksel bir sunucuda ve VM, aynı işletim sistemi ve sürümler)

O zaman doğru sözdizimini bulamadığım için düzgün bir şekilde yapılandırmak için birkaç deneme yaptım. Cryptroot yapılandırma dosyam aşağıdaki gibidir:

target=crypt-root,source=/dev/vg0/root,lvm=root

Bir kez yapılandırma dosyası initramfs güncelleyin ve tekrar deneyin:

update-initramfs -u

— Karl
kaynak

Sen bir efsanesin! Teşekkür ederim: Yıllarca bununla mücadele ettim ve çözüme kavuşma umudumdan hemen hemen vazgeçtim. Benim cryptrootsözdizimi sizinkine farklıdır ancak cevap doğru yönde işaret için yeterliydi. Sana borçluyum.

— jasonwryan

Sonunda işe yaradığına sevindim. Sorunumu araştırırken sorunuzu gördüm ve çalıştıktan sonra nasıl çözdüğümü yayınlamam gerektiğini düşündüm.

— Karl

Konu satırı yanlış. Sorun kapalı bir bağlantı noktası değil, bağlı olmayan bir bağlantı noktası. SSHd henüz başlamadı; ona bağlanamamanızın nedeni budur.

— poige
kaynak

@camh, bununla ilgili herhangi bir kural var mı?

— poige

Daha çok editoryal olan ilk cümleye odaklanıyordum. Gerisi iyi bir cevap olmak için oldukça kısa, ama sanırım hala bir cevap. Yorumumu kaldıracağım.

— camh

@camh, anlıyorum ...

— poige

Ben kullanmıyorum sshd: soru belirttiği gibi, varsayılan olarak bağlantı noktası 22 üzerinde çalışan bir dropbear örneğine bağlanmaya çalışıyorum.

— jasonwryan

@jasonwryan, tam olarak hangi TCP hizmetini kullanmaya çalıştığınız, gerçekten önemli olmadığı bir rol oynamıyor.

— poige

Dropbear'ın (ssh sunucusu) önyükleme aşamasında çok erken başlatılması gerekiyordu - init(rcN.d) dizisi ve güvenlik duvarı başlangıç komut dosyalarından daha önce; bile daha erken / monte edilmiş (de şifrelenmiş, değil mi?). Böylece initramfs, ön / kullanıcı alanı önyükleme yükleyicisi tarafından çekirdek için yüklendi. Görüntü, update-initramfs -uiçinde /etc/initramfs-tools/dropbear yapılandırması da dahil olmak üzere , içeriğinden (yeniden) oluşturulur /etc/initramfs-tools/etc/dropbear/. Dropbear config ile oynamak için, onunla oynayın.

Bu nedenle, kontrol edilmesi gereken birkaç nokta:

dropbear başlamıyor: initramfs dizisine iyi takılmamış;
varsayılan güvenlik duvarı hepsini reddeder.

— yrk
kaynak

Teşekkürler yarek: Haklısın - sorumu debian bir hata ile güncelledim (ve işe yaramayan bir düzeltme). Ayrıca güvenlik duvarını devre dışı bırakmayı denedim.

— jasonwryan