Πρόβλημα με encrypted root partition

[megahead13]

Τα φώτα σας παρακαλώ για το εξής πρόβλημα. Έκανα όλα τα βήματα για μεταφορά του λειτουργικού και κρύπτο με LUKS των partition στον καινούργιο σκληρό (crypttab, fstab, update-initramfs, grub, κλπ). Το θέμα είναι ότι όταν ο kernel μπουτάρει δε μου βγάζει το prompt για να βάλω το passphrase του / κι έτσι το σύστημα κολλάει. Υποψιάζεστε τι μπορεί να έχω κάνει λάθος;

[AppDeb]

Τι διανομή;

Κάποιο log από εκεί που σταματάει το boot;

Τι όνομα έχεις δώσει στο encrypted root ( /dev/mapper/??? );

Το crypttab και το fstab διαβάζονται μετά το boot, άρα το πρόβλημα πιθανώς θα είναι στο grub/initramfs. Άμα μπορείς κάνε τα post.

[megahead13]

Τι διανομή;

Κάποιο log από εκεί που σταματάει το boot;

Τι όνομα έχεις δώσει στο encrypted root ( /dev/mapper/??? );

Το crypttab και το fstab διαβάζονται μετά το boot, άρα το πρόβλημα πιθανώς θα είναι στο grub/initramfs. Άμα μπορείς κάνε τα post.

Διανομή Sidux (aka Debian Unstable) Για το encrypted root έχω δώσει /dev/mapper/root. To grub είναι αυτό:

title		Debian GNU/Linux, kernel 2.6.33-0.slh.15-sidux-686
root		(hd0,0)
kernel       /vmlinuz-2.6.33-0.slh.15-sidux-686 root=/dev/mapper/root ro quiet crypt_root=/dev/sda3 vga=791
initrd		/initrd.img-2.6.33-0.slh.15-sidux-686

initramfs θες το /etc/initramfs-tools/modules ;

[AppDeb]

Δοκίμασε να βγάλεις το root=/dev/mapper/root

πχ δοκίμασε αυτό:

kernel       /vmlinuz-2.6.33-0.slh.15-sidux-686 crypt_root=/dev/sda3

Τι error βγάζει ακριβώς στο boot;

[megahead13]

Το έχω κάνει χωρίς αποτέλεσμα. Σε αυτή την περίπτωση το error που βγάζει είναι πως δε μπορεί να διαβάσει το /etc/fstab και ότι δε μπορεί να κάνει mount τα /proc, /sys, κτλ Και πάλι κολλάει. Όπως το έχω αρχικά δηλωμένο, δεν κάνει απολύτως τίποτα, παρά κολλάει χωρίς να πετάει κάποιο μήνυμα λάθους.

[AppDeb]

Τότε άμα μπορείς ψάξε τα αρχικά μηνύματα στο boot. Και βρες κάποια πληροφορία σχετικά με luks/crypt/root error, κάτι θα υπάρχει σίγουρα.

Έτσι όπως το λες είναι σαν να μην φορτώνει καθόλου το initramfs. ή το initramfs να μην καταλαβαίνει τίποτα από Luks.

Κανονικά δεν θα έπρεπε να προσπαθεί να βρει fstab και να κάνει mount /proc /sys κτλ. Αφού ακόμα δεν ξέρει τίποτα για το root partition.

Με το cryptsetup ανοίγει κανονικά το encrypted partition /dev/sda3 χωρίς κανένα πρόβλημα;

........Auto merged post: AppDeb πρόσθεσε 18 λεπτά και 1 δευτερόλεπτα αργότερα ........

Δοκίμασε και αυτό γιατί από ότι βλέπω το initramfs του debian δουλεύει αλλιώς:

kernel       /vmlinuz-2.6.33-0.slh.15-sidux-686 root=/dev/mapper/sda3_crypt ro quiet

[megahead13]

[QUOTE=AppDeb;3438466]Τότε άμα μπορείς ψάξε τα αρχικά μηνύματα στο boot. Και βρες κάποια πληροφορία σχετικά με luks/crypt/root error, κάτι θα υπάρχει σίγουρα.

Έτσι όπως το λες είναι σαν να μην φορτώνει καθόλου το initramfs. ή το initramfs να μην καταλαβαίνει τίποτα από Luks.

Κανονικά δεν θα έπρεπε να προσπαθεί να βρει fstab και να κάνει mount /proc /sys κτλ. Αφού ακόμα δεν ξέρει τίποτα για το root partition.

[QUOTE=AppDeb;3438466]Με το cryptsetup ανοίγει κανονικά το encrypted partition /dev/sda3 χωρίς κανένα πρόβλημα;[QUOTE]
Ναι.

Δοκίμασε και αυτό γιατί από ότι βλέπω το initramfs του debian δουλεύει αλλιώς:

kernel       /vmlinuz-2.6.33-0.slh.15-sidux-686 root=/dev/mapper/sda3_crypt ro quiet

ΟΚ. Εγώ βλέπω να αναφέρεται και το αρχείο /etc/initramfs-tools/conf.d/cryptroot που πρέπει να έχει κάτι σαν

CRYPTOPTS=target=root,source=/dev/sda3

Αν και κάποιος άλλος λέει πώς πλέον δε χρειάζεται...

[imitheos]

ΟΚ. Εγώ βλέπω να αναφέρεται και το αρχείο /etc/initramfs-tools/conf.d/cryptroot που πρέπει να έχει κάτι σαν

CRYPTOPTS=target=root,source=/dev/sda3

Αν και κάποιος άλλος λέει πώς πλέον δε χρειάζεται...

Αν και δεν γνωρίζω πολλά από debian, έχω την εντύπωση ότι το CRYPTOPTS
χρειάζεται μόνο σε περίπτωση που θέλεις να κάνεις decrypt την / με απλό cryptsetup.
Με LUKS δεν πρέπει να χρειάζεται. Σημείωση ότι μπορεί να είμαι εντελώς λάθος.

Εφόσον έχεις φτιάξει σωστά το crypttab σου, δοκίμασε να κάνεις

update-initramfs -u

ώστε να ανανεωθεί το initramfs.

Στο Slack δεν χρειάζεται καθόλου crypttab όταν είναι encrypted το /, αλλά μάλλον
το debian λειτουργεί διαφορετικά.

[megahead13]

update-initrmafs -u έχω κάνει. Για το CRYPTOPTS ούτε εγώ έχω καταλάβει. Έχω δει και το CRYPTROOT ή και τίποτα (μόνο τα target=, source=)

[AppDeb]

Αν και δεν γνωρίζω πολλά από debian, έχω την εντύπωση ότι το CRYPTOPTS
χρειάζεται μόνο σε περίπτωση που θέλεις να κάνεις decrypt την / με απλό cryptsetup.
Με LUKS δεν πρέπει να χρειάζεται. Σημείωση ότι μπορεί να είμαι εντελώς λάθος.

Εφόσον έχεις φτιάξει σωστά το crypttab σου, δοκίμασε να κάνεις

update-initramfs -u

ώστε να ανανεωθεί το initramfs.

Στο Slack δεν χρειάζεται καθόλου crypttab όταν είναι encrypted το /, αλλά μάλλον
το debian λειτουργεί διαφορετικά.

Πουθενά δεν χρειάζεται το crypttab στο root γιατί είναι μέσα στο root που είναι encrypted . Απλά έχει την προαιρετική χρήση να αλλάξεις όνομα στο /mapper/??? στο remount που κάνει το boot.

To θέμα είναι τι mapper όνομα αποφασίζει να δώσει αρχικά το initramfs του Debian στο encrypted partition. Στο gentoo είναι από default /dev/mapper/root. Στο debian από ότι καταλαβαίνω είναι /dev/mapper/($DEVICE_NAME)_crypt. Προφανώς κάπως θα ρυθμίζεται αυτό αλλά είναι καλύτερα να πας με τα νερά του Debian (για να μην σπάσει τίποτα με upgrade πχ.)

@megahead13

Τελικά δοκίμασες το τελευταίο grub line μου; (χωρίς να βάλεις τα CRYPTOPS κλπ.)

[imitheos]

To θέμα είναι τι mapper όνομα αποφασίζει να δώσει αρχικά το initramfs του Debian στο encrypted partition. Στο gentoo είναι από default /dev/mapper/root. Στο debian από ότι καταλαβαίνω είναι /dev/mapper/($DEVICE_NAME)_crypt. Προφανώς κάπως θα ρυθμίζεται αυτό αλλά είναι καλύτερα να πας με τα νερά του Debian (για να μην σπάσει τίποτα με upgrade πχ.)

Από ό,τι βλέπω στο /usr/share/initramfs-tools/scripts/local-top/cryptroot είναι cryptroot.

crypttarget=cryptroot
cryptsource=""
for x in $cryptopts; do
                case $x in
                target=*)
                        crypttarget=${x#target=}
                        export CRYPTTAB_NAME="$crypttarget"
                        ;;
                source=*)
                        cryptsource=${x#source=}
done

if /sbin/cryptsetup isLuks $cryptsource > /dev/null 2>&1; then
                cryptcreate="/sbin/cryptsetup -T 1 luksOpen $cryptsource $crypttarget"
fi

Οπότε στο CRYPTOPTS, βάλε για source την κανονική device και για target ό,τι
έχεις δηλώσεις στο fstab για / (εκτός αν το / σε lvm οπότε δεν πρέπει να παίζει
ρόλο το όνομα του target). Υπάρχει επίσης και η παράμετρος rootdev χωρίς όρισμα
που μπαίνει στο CRYPTOPTS για να δηλώσει ότι είναι encrypted η / αλλά μέσα λέει
ότι χρειάζεται μόνο για το LILO, οπότε μάλλον δε σου χρειάζεται.

Επίσης αν κρίνω από το for, το CRYPTOPTS θα πρέπει να χωρίζεται με space
και όχι με comma.

[megahead13]

Πουθενά δεν χρειάζεται το crypttab στο root γιατί είναι μέσα στο root που είναι encrypted . Απλά έχει την προαιρετική χρήση να αλλάξεις όνομα στο /mapper/??? στο remount που κάνει το boot.

To θέμα είναι τι mapper όνομα αποφασίζει να δώσει αρχικά το initramfs του Debian στο encrypted partition. Στο gentoo είναι από default /dev/mapper/root. Στο debian από ότι καταλαβαίνω είναι /dev/mapper/($DEVICE_NAME)_crypt. Προφανώς κάπως θα ρυθμίζεται αυτό αλλά είναι καλύτερα να πας με τα νερά του Debian (για να μην σπάσει τίποτα με upgrade πχ.)

@megahead13

Τελικά δοκίμασες το τελευταίο grub line μου; (χωρίς να βάλεις τα CRYPTOPS κλπ.)

Δοκίμασα, αλλά και πάλι τίποτα. Ξαναέφτιαξα το initramfs με το CRYPTOPS και επιτέλους μου ζήτησε το passphrase, αλλά μετά δε συνέχισε να μπουτάρει!!

Από ό,τι βλέπω στο /usr/share/initramfs-tools/scripts/local-top/cryptroot είναι cryptroot.

crypttarget=cryptroot
cryptsource=""
for x in $cryptopts; do
                case $x in
                target=*)
                        crypttarget=${x#target=}
                        export CRYPTTAB_NAME="$crypttarget"
                        ;;
                source=*)
                        cryptsource=${x#source=}
done

if /sbin/cryptsetup isLuks $cryptsource > /dev/null 2>&1; then
                cryptcreate="/sbin/cryptsetup -T 1 luksOpen $cryptsource $crypttarget"
fi

Οπότε στο CRYPTOPS, βάλε για source την κανονική device και για target ό,τι
έχεις δηλώσεις στο fstab για / (εκτός αν το / σε lvm οπότε δεν πρέπει να παίζει
ρόλο το όνομα του target). Υπάρχει επίσης και η παράμετρος rootdev χωρίς όρισμα
που μπαίνει στο CRYPTOPS για να δηλώσει ότι είναι encrypted η / αλλά μέσα λέει
ότι χρειάζεται μόνο για το LILO, οπότε μάλλον δε σου χρειάζεται.

Επίσης αν κρίνω από το for, το CRYPTOPS θα πρέπει να χωρίζεται με space
και όχι με comma.

Δες από πάνω...

ΤΑ ΝΕΥΡΑ ΜΟΥ!!! Ένα σωρό κόσμος το έχει κάνει, εκτός από μένα το λακαμά!

Μου φαίνεται θα κάνω μια εγκατάσταση από την αρχή στο encrypted root και στα @@ μου! Άντε γιατί παρατράβηξε το αστείο!!!

Κι ένα documentation της προκοπής για το συγκεκριμένο θέμα δεν υπάρχει, σε αντίθεση με το εξαιρετικό wiki στο Gentoo. Πρέπει να μυρίσω τα νύχια μου!!! Άι σιχτίρ!!!!!

[imitheos]

Δοκίμασα, αλλά και πάλι τίποτα. Ξαναέφτιαξα το initramfs με το CRYPTOPS και επιτέλους μου ζήτησε το passphrase, αλλά μετά δε συνέχισε να μπουτάρει!!

Δες από πάνω...

Είδα που το είχες δηλώσει από πάνω αλλά το είχες με κόμμα, για αυτό είπα για το
space.

Αφού ζητήσει τον κωδικό και μετά, τι μηνύματα λέει ? Εκεί θα φαίνεται γιατί δεν
συνεχίζει.

[megahead13]

Είδα που το είχες δηλώσει από πάνω αλλά το είχες με κόμμα, για αυτό είπα για το
space.

Αφού ζητήσει τον κωδικό και μετά, τι μηνύματα λέει ? Εκεί θα φαίνεται γιατί δεν
συνεχίζει.

Εμ, δεν πετάει κάποιο μήνυμα, αυτό είναι το θέμα! Κάθεται και περιμένει!! Μιλάω για το grub όπως το έχω δηλώσει στο αρχικό μου μήνυμα

[AppDeb]

Από ό,τι βλέπω στο /usr/share/initramfs-tools/scripts/local-top/cryptroot είναι cryptroot.

Λοιπόν επειδή το έψαξα και εγώ, αυτό που κατάλαβα και από τα scripts και από δοκιμές είναι είναι ότι το debian αδιαφορεί για το τι του δίνεις στο grub σε ότι έχει να κάνει με το initramfs. Με το που ξεκινάει το initramfs του debian, κάνει "cryptsetup isLuks" σε όλα τα partition που βρίσκει το udev, και σε όσα βρίσκει true, σου ζητάει password, ασχέτως άμα είναι partition που θες να κάνεις mount ή όχι, ή άμα είναι root partition ή όχι. Αδιαφορεί για τα πάντα και δεν μπορώ να βρω documented configuration.

To τι όνομα θα δώσει στα encrypted partition αφού τα ξεκλειδώσει έχει λίγη σημασία.

Από την στιγμή που στον megahead13 δεν ζητάει καν password σημαίνει πως έχει κάποιο πρόβλημα το initramfs του.

Και σκέτο

kernel       /vmlinuz-2.6.33-0.slh.15-sidux-686
initrd		/initrd.img-2.6.33-0.slh.15-sidux-686

να δώσεις στο grub,
κανονικά θα έπρεπε να σου ζητάει password για όλα τα encrypted partition και να σου αναφέρει και τι όνομα έχει δώσει στο καθένα (ώστε να βάλεις το σωστό στο "root=").

Αυτά σε δοκιμές με lenny, στο sidux μάλλον τα πράγματα θα είναι χειρότερα.

Πολύ κακό το initramfs του Debian έτσι όπως έχει στηθεί.