Просмотр кода страницы AlmaLinux 8. Установка ОС на зашифрованный раздел. Расшифровка по сети

[[Категория:AlmaLinux 8]]
[[Категория:Encryption]]

= Описание =
Установка AlmaLinux 8 на зашифрованный раздел. Подключение зашированного системного раздела перед загрузкой ОС по сети через SSH

= Ссылки =
https://github.com/gsauthof/dracut-sshd

https://forums.centos.org/viewtopic.php?t=72465

= Настройка =

== На клиенте Linux (отсюда будем подключать зашифрованный раздел по сети через SSH) ==
Для начала создадим пару ключей (id_rsa / id_rsa.pub), которые будем использовать для подключения на сервер с целью дешифрования разделов

Вносим настройки в ssh клиент, чтобы при изменении ключа ssh удаленного сервера, ssh клиент не ругался

<code>nano ~/.ssh/config</code>
 ...
 UserKnownHostsFile=/dev/null
 StrictHostKeyChecking=no
 ...
ИЛИ

при подключении клиентом по ssh используем опции:

<code>ssh -o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null user$host</code>

Создаем пару ключей (публичный и приватный)

<code>ssh-keygen -t rsa</code>

Получаем публичный ключ: ~/.ssh/id_rsa.pub

<code>cat ~/.ssh/id_rsa.pub</code>

Передаем публичный ключ на систему, кторую будем расшифровывать удаленно

<code>ssh-copy-id -i ~/.ssh/id_rsa.pub root@192.168.199.176</code>

== На сервере AlmaLinux 8 (системный раздел которого мы шифруем) ==

=== Вариант 1. '''dracut-crypt-ssh''' (Используем репозиторий Centos 7) + '''dropbear'''. Предпочтительный способ. Подключение к dropbear SSH быстрое. ===
*Устанавливаем AlmaLinux 8 штатно с шифрованными разделами: ROOT, SWAP (И HOME)
* Загружаемся после установки, вводим пароль дешифрования

Устанавливаем необходимые утилиты

<code>dnf install -y epel-release nano git mc wget ca-certificates</code>

<code>wget -O /etc/yum.repos.d/rbu-dracut-crypt-ssh-epel-7.repo <nowiki>https://copr.fedorainfracloud.org/coprs/rbu/dracut-crypt-ssh/repo/epel-7/rbu-dracut-crypt-ssh-epel-7.repo</nowiki></code>

<code>dnf install -y dracut-crypt-ssh</code>

<code>dracut --force</code>

<nowiki>#</nowiki> STRUCTURE: ip=<client-ip>:<server-ip>:<gw-ip>:<netmask>:<hostname>:<device>:<autoconf>:<dns0-ip>:<dns1-ip>:<ntp0-ip>

<code>/etc/default/grub:</code>
     ...
     GRUB_CMDLINE_LINUX="<...> rd.neednet=1 ip=dhcp"
     ...
   - ИЛИ -
     ...
     GRUB_CMDLINE_LINUX="<...> rd.neednet=1 ip=172.22.17.241::172.22.17.8:255.255.255.0:::off:172.22.17.8:8.8.8.8"
     ...
Генерируем конфиг grub

<code>grub2-mkconfig --output /etc/grub2.cfg</code>

<code>cd ~</code>

<code>umask 0077</code>

<code>mkdir /root/.ssh</code>

<code>mkdir /root/dracut-crypt-ssh-keys</code>

<code>ssh-keygen -t rsa -m PEM -f /root/dracut-crypt-ssh-keys/ssh_dracut_rsa_key</code>

<code>ssh-keygen -t ecdsa -m PEM -f /root/dracut-crypt-ssh-keys/ssh_dracut_ecdsa_key</code>

<code>ssh-keygen -t ed25519 -m PEM -f /root/dracut-crypt-ssh-keys/ssh_dracut_ed25519_key</code><blockquote>'''<nowiki/>'command="console_auth"'<nowiki/>''' - это запускается на сервере после успешного подключения по ssh и расшифровки раздела

'''ssh-rsa AAAAB3NzaC...''' - это содержимое публичного ключа '''~/.ssh/id_rsa.pub''' клиента</blockquote><code>echo 'command="console_auth" ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDnrN8TE9SKEA9VmteL8VcTSvXPaky8aV0PuP9PhZr9Af1xR2NUBY08IzAtYaXRpgFjuRGRe4p4K4h7C8IqcUOAQ39QMswUMfN9l2yiLXCWUOqvueH7oD2nDqq0LQydQaz1N3F7OTCV6+iy1Tcd4eqDhGTLG7MQ28MqKCYsuUlamYZTbu7oLyCLWscb8MCknhSnUDO+ede4szGbzMdII8jeltYo1N9kYdTEO32rzeShP4+wUe9r0ibxY9q98nNJfDZKLWGBhPqFAWN/zE3mHhIO1XOWnZiEcp768agZKHMx8O5wRZS75k6tdUkhv1r8EOO8v5BIqEnZUZ0pCCUdlNqd root@centos7-system01' > /root/dracut-crypt-ssh-keys/authorized_keys</code>

<code>mv /etc/dracut.conf.d/crypt-ssh.conf /etc/dracut.conf.d/crypt-ssh.conf.ORIG</code>

<code>nano /etc/dracut.conf.d/crypt-ssh.conf</code>
 dropbear_port="22"
 dropbear_rsa_key="/root/dracut-crypt-ssh-keys/ssh_dracut_rsa_key"
 dropbear_ecdsa_key="/root/dracut-crypt-ssh-keys/ssh_dracut_ecdsa_key"
 dropbear_ed25519_key="/root/dracut-crypt-ssh-keys/ssh_dracut_ed25519_key"
 dropbear_acl="/root/dracut-crypt-ssh-keys/authorized_keys"
<code>dracut --force</code>

<code>reboot</code>

=== Вариант 2. '''dracut-sshd''' + '''OpenSSH'''. Подключение к OpenSSH очень медленное с клиента Mikrotik. ===
Устанавливаем AlmaLinux 8 штатно с шифрованными разделами: ROOT, SWAP (И HOME)

<code>dnf install -y mc nano</code>

<code>nano /etc/selinux/config</code>
 ...
 SELINUX=disabled
 ...
<code>dnf copr enable -y gsauthof/dracut-sshd</code>

<code>dnf install -y dracut-sshd</code>

Selinux disable

<code>cp /usr/lib/dracut/modules.d/98selinux/selinux-loadpolicy.sh /usr/lib/dracut/modules.d/98selinux/selinux-loadpolicy.sh.ORIG</code>

<code>nano /usr/lib/dracut/modules.d/98selinux/selinux-loadpolicy.sh</code>
 ...
 SELINUX="disabled"
 ...
GRUB settings<code>nano /etc/default/grub</code>
     ...
     GRUB_CMDLINE_LINUX="<...> rd.neednet=1 ip=dhcp"
     ...
  - ИЛИ -
     ...
     GRUB_CMDLINE_LINUX="<...> rd.neednet=1 ip=192.168.199.176::192.168.199.1:255.255.255.0:::off:192.168.199.1:77.88.8.8"
     ...
GRUB config creating

<code>grub2-mkconfig --output /etc/grub2.cfg</code>

Put ''''command="systemd-tty-ask-password-agent"'''<nowiki/>' before '''" ssh-rsh..."'''

It's necessary to run password ask after ssh login to dracut-initramfs

<code>nano ~/.ssh/authorized_keys</code>
 '''command="systemd-tty-ask-password-agent"''' ssh-rsh...
<code>dracut -f -v</code>

<code>reboot</code><blockquote>'''После перезагрузки на Виртуальных Машинах может быть задержка до открытия 22 порта dracut-initramfs до 2-х минут!'''</blockquote>

== Подключение для дешифрования раздела ==

=== Linux ===
Подключаемся с клиента, publickey которого внесли в authorized_keys.

Когда будет запрос пароля на подключение шифрованных разделов пароль root SSH сервера не будет запрашиваться, так как мы добавили publickey клиента на сервер.

Публичный ключ id_rsa.pub, после его внесения в /root/.ssh/authorized_keys на сервере, необязательно использовать только с клиента, на котором мы его создали.

Можно перенести ключ на любую Linux машину и использовать эту машину для подключения к серверу.

По-умолчанию при использовании ssh-клиента, система ищет ключи в ~/.ssh

Указать путь к паре ключей (id_rsa / id_rsa.pub) вручную также можно опцией -i

<code>ssh -i /root/rsa/id_rsa root@192.168.199.222</code>
 ...
 Passphrase:
 ...
Вводим пароль на шифрованный раздел

Готово - система загружается

=== Windows ===
Для дешифрования раздела будем использовать PUTTY и ту же пару ключей, которую создали в Linux.

Копируем пару ключей (id_rsa / id_rsa.pub) из системы Linux в систему Windows, в директорию "rsa" в папке с plink.exe.

Скачиваем puttygen.exe и plink.exe.

<nowiki>https://www.chiark.greenend.org.uk/~sgtatham/putty/latest.html</nowiki>

Необходимо сконвертировать приватный ключ id_rsa в формат, который поймет putty.

https://www.simplified.guide/putty/convert-ssh-key-to-ppk

Запускаем puttygen.

Load - выбираем приватный ключ id_rsa.

Будет сообщение об успехе импорта ключа, далее:

Save private key - сохраняем файл как id_rsa.ppk (формат ключа putty) в директорию "rsa" в папке с plink.exe    .

Запускаем plink, указав путь к ключу id_rsa.ppk.

<code>plink.exe -batch -i .\rsa\centos7-test01-199-191\id_rsa.ppk root@192.168.199.186</code>
 ...
 Passphrase:
 ...
Вводим пароль шифрования

Готово - система загружается

=== Mikrotik ===
<blockquote>Сгенерированная в AlmaLinux 8 пара ключей в Mikrotik не импортируется.

Можно сгенерировать пару ключей в Centos 7

Можно сгенерировать пару ключей в Windows:

puttygen.exe - RSA/2048 - Generate

Public Key: файл '''id_rsa.pub''' из соответствующего поля.

Private key: Conversions - Export OpenSSH key - сохраняем как '''id_rsa'''.</blockquote>
Копируем на микротик пару ключей (id_rsa / id_rsa.pub), которые создали на Linux и импортируем их:<blockquote>'''id_rsa / id_rsa.pub''', сгенерированные на AlmaLinux 8, в микротик не импортируются. Сгенерированные на Centos 7, импортируются корректно.</blockquote><code>/user ssh-keys private import user=admin private-key-file=id_rsa public-key-file=id_rsa.pub passphrase=""</code>

Подключаемся

<code>/system ssh address=192.168.199.222 user=root</code>
 ...
 Passphrase:
 ...
Вводим пароль шифрования

Готово - система загружается