Ubuntu-Forum & Kubuntu-Forum | www.Ubuntu-Forum.de

Hallo zusammen,

- Situation: Der Root-Server soll bis auf /boot (md1) und /swap (md0) verschlüsselt sein. Folgendes wurde mit Ubuntu12.04.3 (minimal), 12.10(minimal), 13.04(minimal) und 13.10(minimal) ausprobiert, mit aktivem RAID1.

- Ziel: Beim starten/rebooten des Root-Servers, startet Dropbear und mittels Busybox entschlüsselt man die RAID-Partition auf der das Betriebssystem liegt, das Root-System startet durch und man kann sich per SSH normal mit seinem User anmelden und fröhlich seine Dienste starten.

- Problem: Die unten aufgeführten Schritte wurden ausgeführt, jedoch wird die verschlüsselte Root-Partition (md2) anscheinend nicht entschlüsselt und der Server startet neu - ich lande also wieder im Dropbear (s.u.). Nach diesen und auch anderen Versuchen habe ich keinen Fortschritt erzielen können, um meinen verschlüsselten Root-Server zu booten. Anscheinend wird die verschlüsselte Root-Partition nicht korrekt entschlüsselt oder der Boot-Vorgang liefert Fehler (die ich nicht sehe, da der Server sonst wo steht), weswegen der Root-Server anscheinend neustartet.



Folgende Schritte wurden durchgeführt und zur Übersicht in zwei Phasen eingeteilt.

--- Phase 1. – Vorbereitung und Konfiguration ---

1. Server auf z.B. 12.04.03 (minimal) eine Basis-Konfiguration durchgeführt. Darüber hinaus folgende Schritte:

-> ändere: PermitRootLogin von YES auf NO setzen
-> ändere: PasswordAuthentication von YES auf NO setzen


2. Installiere notwendige Programme:


3. Ergänze Initramfs Konfiguration an der Stelle “DEVICE= ”:

-> DEVICE=eth0
-> IP=<serverIP>::<gateway>:<subnetz>:<rechnerName>:eth0:off
-> DROPBEAT=y


4. Pass Crypttab an:

-> cryptroot /dev/md2 none luks


5. Passe Fstab an:

-> ersetze “/dev/md2” durch “/dev/mapper/cryptroot”


6. Skripte, die die Bugs zwischen Plymouth und dem Entschlüsseln beheben sollen einspielen und ausführbar machen:
Entweder Link1 (bis auf "dropbear.fixup3" ist das aktuell auf meinem Root-Server) oder Link2 (habe ich auch ausprobiert, gib auch nicht). (Alternativ auch einen Manuellen Fix: Link3
Generelles Vorgehen:

-> Skript von Link1 oder Link2 einfügen...



7. Erstelle einen SSH-Schlüssel und schreibe den Public-Key in die authorized_keys von Dropbear:



8. Den erstellten SSH-Key mit WinSCP kopieren:
-> … windows gedaddel …


9. Führe ein Update der Initramfs durch:




--- Phase 2. – Verschlüsseln ---

10. Rettungssystem booten.

11. Mounte unverschlüsseltes System, erstelle ein Backup und verschiebe es auf eine Backup-Platte:



12. Entferne bisherigen Mount, damit man /dev/md2 formatieren können:



13. Formatiere /dev/md2 mit crytpsetup, bestätige mit YES und gebe ein PW ein:



14. Entschlüssle die Partition und formatiere diese:



15. Nach kurzem warten kann man das Cryptroot mounten und das Backup zurückspielen:



16. Unmounten der verschlüsselten Root-Partition und Neustart des Systems, damit man sich auf Dropbear einloggen kann:



17. Sobald das System per Ping erreichbar ist als root mit dem Dropbear-SSH-PW einloggen -> Wir sind auf Busybox!

18. Nun Festplatte entschlüsseln! Mit den Skripten recht einfach:



=> PROBLEM: Nun sieht man immer wieder dasselbe Resultat, das in dem Screenshot oben zu sehen ist. Festplatten werden angeblich entsperrt, Dropbear-Session wird abgeschossen, das System ist kurzzeitig nicht erreichbar (mein System bootet? Ja/Nein/Vielleicht?), dann ist der „Zielhost nicht erreichbar“. Der Server bootet dabei anscheinend neu und man landet wieder auf dem Dropbear, sobald ein Ping erfolgreich ist.



Ich hoffe, dass einer mir helfen kann, indem er mich evtl darauf hinweist was ich falsch mache.

PS: Sollte das Problem gelöst werden stelle ich das Ganze als Guide („Verschlüsselter Ubuntu-Server from Scratch via SSH freischalten“) in einen neuen Thread setzen!


Viele Grüße,
C.