Просмотр кода страницы Centos 7. Установка ОС на зашифрованный раздел

= Описание =
Установка Centos 7 на зашифрованный раздел. Подключение зашированного системного раздела перед загрузкой ОС по сети через SSH

= Ссылки =
https://github.com/dracut-crypt-ssh/dracut-crypt-ssh

= Настройка =

== На клиенте Linux (отсюда будем подключать зашифрованный раздел по сети через SSH) ==
Для начала создадим пару ключей (id_rsa / id_rsa.pub), которые будем использовать для подключения на сервер с целью дешифрования разделов

Вносим настройки в ssh клиент, чтобы при изменении ключа ssh удаленного сервера, ssh клиент не ругался

<code>nano ~/.ssh/config</code>
 ...
 UserKnownHostsFile=/dev/null
 StrictHostKeyChecking=no
 ...
<blockquote>ИЛИ

при подключении клиентом по ssh используем опции:

<code>ssh -o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null user$host</code></blockquote>Создаем пару ключей (публичный и приватный)

<code>ssh-keygen -t rsa</code>

Получаем публичный ключ: <code>~/.ssh/id_rsa.pub</code>

<code>cat ~/.ssh/id_rsa.pub</code>

== На сервере Centos 7 (системный раздел которого мы шифруем) ==

* Устанавливаем Centos 7 штатно с шифрованными разделами: ROOT, SWAP (И HOME)
* Загружаемся после установки, вводим пароль дешифрования

Устанавливаем необходимые утилиты

<code>yum install -y epel-release nano git mc wget ca-certificates</code>

<code>wget -O /etc/yum.repos.d/rbu-dracut-crypt-ssh-epel-7.repo <nowiki>https://copr.fedorainfracloud.org/coprs/rbu/dracut-crypt-ssh/repo/epel-7/rbu-dracut-crypt-ssh-epel-7.repo</nowiki></code>

<code>yum install -y dracut-crypt-ssh</code>

<code>dracut --force</code>

<nowiki>#</nowiki> STRUCTURE: ip=<client-ip>:<server-ip>:<gw-ip>:<netmask>:<hostname>:<device>:<autoconf>:<dns0-ip>:<dns1-ip>:<ntp0-ip>

<code>/etc/default/grub:</code>
     ...
     GRUB_CMDLINE_LINUX="<...> rd.neednet=1 ip=dhcp"
     ...
   - ИЛИ -
     ...
     GRUB_CMDLINE_LINUX="<...> rd.neednet=1 ip=172.22.17.241::172.22.17.8:255.255.255.0:::off:172.22.17.8:8.8.8.8"
     ...
Генерируем конфиг grub

<code>grub2-mkconfig --output /etc/grub2.cfg</code>

<code>cd ~</code>

<code>umask 0077</code>

<code>mkdir /root/.ssh</code>

<code>mkdir /root/dracut-crypt-ssh-keys</code>

<code>ssh-keygen -t rsa -m PEM -f /root/dracut-crypt-ssh-keys/ssh_dracut_rsa_key</code>

<code>ssh-keygen -t ecdsa -m PEM -f /root/dracut-crypt-ssh-keys/ssh_dracut_ecdsa_key</code>

<code>ssh-keygen -t ed25519 -m PEM -f /root/dracut-crypt-ssh-keys/ssh_dracut_ed25519_key</code><blockquote>'''<nowiki/>'command="console_auth"'<nowiki/>''' - это запускается на сервере после успешного подключения по ssh и расшифровки раздела

'''ssh-rsa AAAAB3NzaC...''' - это содержимое публичного ключа '''~/.ssh/id_rsa.pub''' клиента</blockquote><code>echo 'command="console_auth" ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDnrN8TE9SKEA9VmteL8VcTSvXPaky8aV0PuP9PhZr9Af1xR2NUBY08IzAtYaXRpgFjuRGRe4p4K4h7C8IqcUOAQ39QMswUMfN9l2yiLXCWUOqvueH7oD2nDqq0LQydQaz1N3F7OTCV6+iy1Tcd4eqDhGTLG7MQ28MqKCYsuUlamYZTbu7oLyCLWscb8MCknhSnUDO+ede4szGbzMdII8jeltYo1N9kYdTEO32rzeShP4+wUe9r0ibxY9q98nNJfDZKLWGBhPqFAWN/zE3mHhIO1XOWnZiEcp768agZKHMx8O5wRZS75k6tdUkhv1r8EOO8v5BIqEnZUZ0pCCUdlNqd root@centos7-system01' > /root/dracut-crypt-ssh-keys/authorized_keys</code>

<code>mv /etc/dracut.conf.d/crypt-ssh.conf /etc/dracut.conf.d/crypt-ssh.conf.ORIG</code>

<code>nano /etc/dracut.conf.d/crypt-ssh.conf</code>
 dropbear_port="22"
 dropbear_rsa_key="/root/dracut-crypt-ssh-keys/ssh_dracut_rsa_key"
 dropbear_ecdsa_key="/root/dracut-crypt-ssh-keys/ssh_dracut_ecdsa_key"
 dropbear_ed25519_key="/root/dracut-crypt-ssh-keys/ssh_dracut_ed25519_key"
 dropbear_acl="/root/dracut-crypt-ssh-keys/authorized_keys"
<code>dracut --force</code>

<code>reboot</code>

= Подключение для дешифрования раздела =

== Linux ==
Подключаемся с клиента, publickey которого внесли в '''authorized_keys'''.

Когда будет запрос пароля на подключение шифрованных разделов пароль root SSH сервера не будет запрашиваться, так как мы добавили publickey клиента на сервер.

Публичный ключ id_rsa.pub, после его внесения в /root/.ssh/authorized_keys на сервере, необязательно использовать только с клиента, на котором мы его создали.

Можно перенести ключ на любую Linux машину и использовать эту машину для подключения к серверу.

По-умолчанию при использовании ssh-клиента, система ищет ключи в ~/.ssh

Указать путь к паре ключей (id_rsa / id_rsa.pub) вручную также можно опцией -i

<code>ssh -i /root/rsa/id_rsa root@192.168.199.222</code>
 ...
 Passphrase:
 ...
Вводим пароль на шифрованный раздел

Готово - система загружается

== Windows ==
Для дешифрования раздела будем использовать PUTTY и ту же пару ключей, которую создали в Linux.

Копируем пару ключей (id_rsa / id_rsa.pub) из системы Linux в систему Windows, в директорию "rsa" в папке с plink.exe.

Скачиваем puttygen.exe и plink.exe.

https://www.chiark.greenend.org.uk/~sgtatham/putty/latest.html

Необходимо сконвертировать приватный ключ id_rsa в формат, который поймет putty.

https://www.simplified.guide/putty/convert-ssh-key-to-ppk

Запускаем puttygen.

Load - выбираем приватный ключ id_rsa.

Будет сообщение об успехе импорта ключа, далее:

Save private key - сохраняем файл как id_rsa.ppk (формат ключа putty) в директорию "rsa" в папке с plink.exe    .

Запускаем plink, указав путь к ключу id_rsa.ppk.

<code>plink.exe -batch -i .\rsa\centos7-test01-199-191\id_rsa.ppk root@192.168.199.186</code>
 ...
 Passphrase:
 ...
Вводим пароль шифрования

Готово - система загружается

== Mikrotik ==
<blockquote>Сгенерированная в AlmaLinux 8 пара ключей в Mikrotik не импортируется.

Можно сгенерировать пару ключей в Centos 7

Можно сгенерировать пару ключей в Windows:

puttygen.exe - RSA/2048 - Generate

Public Key: файл '''id_rsa.pub''' из соответствующего поля.

Private key: Conversions - Export OpenSSH key - сохраняем как '''id_rsa'''.</blockquote>Копируем на микротик пару ключей (id_rsa / id_rsa.pub), которые создали на Linux и импортируем их:

<code>/user ssh-keys private import user=admin private-key-file=id_rsa public-key-file=id_rsa.pub passphrase=""</code>

Подключаемся

<code>/system ssh address=192.168.199.222 user=root</code>
 ...
 Passphrase:
 ...
Вводим пароль шифрования

Готово - система загружается
[[Категория:Centos 7]]
[[Категория:Encryption]]