Instalējiet un iestatiet CentOS 7, lai attāli atbloķētu LVM LUKS diska šifrēšanā, izmantojot SSH

Priekšnoteikumi

1. darbība: vides iestatīšana

2. darbība: palaidiet CentOS 7 teksta režīma instalēšanas programmu

3. darbība: iestatiet LVM uz LUKS pilna diska šifrēšanu

4. darbība: palaidiet CentOS 7 GUI režīma instalēšanas programmu

5. darbība: atjauniniet sistēmu

6. darbība. Instalējiet Dracut-Crypt-SSH

LUKS (Linux vienotās atslēgas iestatīšana) ir viens no dažādajiem diska šifrēšanas formātiem, kas pieejami operētājsistēmai Linux un kas ir platformas agnostiķis. Šī apmācība sniegs jums saknes un mijmaiņas nodalījumus LVM (Linux Volume Manager) sējumā, kas atrodas šifrētā LUKS nodalījumā. Šī apmācība ļauj arī attālināti atbloķēt LUKS nodalījumu, izmantojot vienkāršotu SSH servera dēmonu, izmantojot jebkuru saderīgu SSH klienta programmu.

Priekšnoteikumi

• CentOS 7 x64 minimālās ISO bibliotēkas servera gadījums.
• Sudo lietotāju.
• SSH publiskā(s) atslēga(s) .
• Dracut-Crypt-SSH .

1. darbība: vides iestatīšana

Lapā Serveru izvietošana veiciet tālāk norādītās darbības.

• Server LocationSadaļā izvēlieties servera atrašanās vietu .
• Izvēlieties CentOS7zem ISO Librarysadaļas cilnes Server Type.
• Server SizeSadaļā izvēlieties nepieciešamās aparatūras specifikācijas .
• Noklikšķiniet uz Deploy Nowpogas.

Izmantojiet View Consoleopciju, lai piekļūtu VPS instancei, izmantojot noVNC konsoli.

2. darbība: palaidiet CentOS 7 teksta režīma instalēšanas programmu

Izvēlieties Install CentOS Linux 7opciju.

Nospiediet Tabtaustiņu.

Ievadiet textpēc vmlinuz initrd=initrd.img inst.stage2=hd:LABEL=CentOS\x207\x20\86_64 quiettā, lai tas izskatītos šādi, vmlinuz initrd=initrd.img inst.stage2=hd:LABEL=CentOS\x207\x20\86_64 quiet textun nospiediet Entertaustiņu.

Tagad VPS tiks palaists teksta režīma CentOS instalētājā. Jūs redzēsit ekrānu noVNC konsolē, kā parādīts tālāk esošajā attēlā.

3. darbība: iestatiet LVM uz LUKS pilna diska šifrēšanu

Izmantojiet šo Alt + Right Arrow Keykombināciju, lai pārietu uz TTY2 konsoli, lai komandrindā ierakstītu komandas.

Ievadiet tālāk norādītās komandas, lai izveidotu nodalījumu GRUB2 sāknēšanas ielādējam, nešifrētam /bootnodalījumam un primārajam nodalījumam, kurā būs LUKS nodalījums.

parted -a opt -s /dev/vda mklabel gpt
parted -s /dev/vda unit mb
parted -s /dev/vda mkpart primary 1 3
parted -s /dev/vda name 1 grub
parted -s /dev/vda set 1 bios_grub on
parted -s /dev/vda mkpart primary 3 259
parted -s /dev/vda name 2 boot
parted -s /dev/vda mkpart primary 259 100%
parted -s /dev/vda name 3 root

Ievadiet šo komandu, lai parādītu nodalījuma izkārtojumu.

parted -s /dev/vda print

Pēc tam aizpildiet nosaukto rootfsnodalījumu ar pseidogadījuma datiem. Tas aizņems nedaudz vairāk par pusstundu.

dd if=/dev/urandom of=/dev/vda3 bs=1M status=progress

Operētājsistēmā CentOS 7 cryptsetupkomandas izmanto noklusējuma šifru aes-xts-plain64, noklusējuma atslēgas lielumu 256 biti un noklusējuma jaucējkodu SHA1. Tā vietā LUKS nodalījums tiks izveidots ar drošāku Serpent šifru, ar atslēgas izmēru 512 biti un ar Whirlpool jaucējfunkciju.

cryptsetup luksFormat /dev/vda3 -c serpent-xts-plain64 -h whirlpool -s 512

Ievadiet atbildes, kad tiek prasīts ar šādiem vaicājumiem, un pēc tam nospiediet Entertaustiņu:

• Vai tu esi pārliecināts? (Ierakstiet lielos burtus jā):YES
• Ievadiet ieejas frāzi: strong-password
• Apstipriniet ieejas frāzi: strong-password

---

Pēc izvēles: dublējiet LUKS nodalījuma galveni

Brīdinājums Tas ļaus pieslēgties root un kopēt bez paroles uzvednes. Iznīciniet šo SSH serveri pēc /tmp/luks-header-backup.imgfaila izgūšanas .

Drošai glabāšanai saglabājiet LUKS nodalījuma galvenes kopiju. Tas nodrošina, ka, ja jūsu LUKS nodalījuma galvene ir kaut kā bojāta, to var atjaunot. Ja galvene ir bojāta bez darba dublējuma, jūsu dati tiek zaudēti uz visiem laikiem.

cryptsetup luksHeaderBackup /dev/vda3 --header-backup-file /tmp/luks-header-backup.img

Lai kopētu /tmp/luks-header-backup.imgfailu no servera, uz laiku ir jāstartē SSH serveris, izmantojot scpklienta resursdatorā izpildāmo drošo kopiju , lai to izgūtu.

Tālāk ierakstiet šo komandu, lai ģenerētu SSH resursdatora atslēgas.

sshd-keygen

Ievadiet tālāk norādīto komandu, lai izveidotu /etc/ssh/sshd_configfailu.

cp /etc/ssh/sshd_config.anaconda /etc/ssh/sshd_config

Lai rediģētu /etc/ssh/sshd_configfailu, ierakstiet tālāk norādīto komandu .

vi /etc/ssh/sshd_config

Lai rediģētu failu, nospiediet Inserttaustiņu un izmantojiet bulttaustiņus, lai pārvietotos uz faila sadaļām, kuras ir jārediģē .

Pirmajā rindiņā mainiet skaitli Port 22no noklusējuma 22uz nejaušu skaitli pēc jūsu izvēles starp 1025un 65535. (Piemērs: ports 25782)

Ritiniet uz leju līdz trīspadsmitajai rindai, nospiediet Endtaustiņu un nospiediet Entertaustiņu.

Nākamajā rindā pievienojiet HostKey /etc/ssh/ssh_host_ed25519_keyun nospiediet Entertaustiņu.

Nākamajā rindā pievienojiet HostKey /etc/ssh/ssh_host_rsa_keyun nospiediet Entertaustiņu.

Nospiediet Esctaustiņu, ierakstiet :wqun nospiediet Entertaustiņu, lai saglabātu failu.

Noklusējuma tīkla saskarnei eth0ir nepieciešama IP adrese. Ievadiet tālāk norādīto komandu, lai eth0tīkla interfeisam piešķirtu jūsu instancei norādīto IP adresi .

dhclient

Ievadiet šo komandu, lai parādītu piešķirto IP adresi. IP adrese tiks norādīta uzreiz pēc inetun pirms netmask. (Piemērs: inet tīkla 192.0.2.1maska)

ifconfig eth0

Ievadiet šo komandu, lai palaistu SSH serveri.

/usr/sbin/sshd

Ja izmantojat scpkomandu no komandrindas klienta datorā, izmantojiet tālāk norādīto komandu kā veidni /tmp/luks-header-backup.imgfaila izgūšanai . Aizstāt 25782ar faktisko porta numuru, kas piešķirts laukā /etc/ssh/sshd_config. Aizstāt 192.0.2.1ar faktisko piešķirto IP adresi.

scp -P 25782 [email protected]:/tmp/luks-header-backup.img .

Pēc luks-header-backup.imgfaila izgūšanas nekavējoties nogaliniet SSH serveri, ierakstot tālāk norādīto komandu noVNC konsoles logā.

killall sshd

---

Atveriet LUKS nodalījumu, lai iestatītu LVM fizisko sējumu, kas atradīsies iekšpusē.

cryptsetup luksOpen /dev/vda3 centos

Ievadiet iepriekš izveidoto ieejas frāzi, lai atvērtu LUKS nodalījumu, kad tas tiek prasīts, un pēc tam nospiediet Entertaustiņu.

Ievadiet ieejas frāzi /dev/vda3:strong-password

Tālāk ierakstiet šādu komandu:

ls /dev/mapper

Tajā būs šādi faili ar nosaukumu centos, control, live-baseun live-rw. Tas centosir LUKS nodalījums.

Tālāk ierakstiet šo komandu, lai izveidotu LVM fizisko sējumu.

pvcreate /dev/mapper/centos

Kad tas izdosies, jūs saņemsit šādu ziņojumu:

Physical volume "/dev/mapper/centos" successfully created

Tālāk ierakstiet šo komandu, lai izveidotu LVM sējuma grupu.

vgcreate ssd /dev/mapper/centos

Kad tas izdosies, jūs saņemsit šādu ziņojumu:

Volume group "ssd" successfully created

Ievadiet tālāk norādīto komandu, lai izveidotu LVM loģisko sējumu mijmaiņas nodalījumam. Izmantojiet saprātīgu lēmumu, lai izveidotu vajadzīgā izmēra mijmaiņas nodalījumu (-L = sējuma lielums), pamatojoties uz jūsu VPS gadījumu.

lvcreate -L 1G -n swap ssd

Kad tas izdosies, jūs saņemsit šādu ziņojumu:

Logical volume "swap" created

Tālāk ierakstiet šo komandu, lai izveidotu LVM loģisko sējumu saknes nodalījumam. Ja izvēlaties, tiks izmantota atlikušā brīvā vieta, vienlaikus rezervējot piecus procentus (5%), lai ietvertu jūsu loģisko sējumu LVM momentuzņēmumus.

lvcreate -l 95%FREE -n root ssd

Kad tas izdosies, jūs saņemsit šādu ziņojumu:

Logical volume "root" created

Parādiet LVM fizisko apjomu.

pvdisplay

Jūs redzēsit tekstu noVNC konsolē, kas ir līdzīgs tam, kas parādīts tālāk esošajā attēlā.

Parādiet LVM skaļuma grupu.

vgdisplay

Jūs redzēsit tekstu noVNC konsolē, kas ir līdzīgs tam, kas parādīts tālāk esošajā attēlā.

Parādiet LVM loģiskos apjomus.

lvdisplay

Jūs redzēsit tekstu noVNC konsolē, kas ir līdzīgs tam, kas parādīts tālāk esošajā attēlā.

Tālāk ierakstiet šo komandu, lai deaktivizētu LVM sējuma grupu. Tas ir jāpabeidz, lai cryptsetupnākamajā darbībā varētu aizvērt LUKS nodalījumu.

vgchange -a n

Kad tas izdosies, jūs saņemsit šādu ziņojumu:

0 logical volume(s) in volume group "ssd" now active

Aizveriet LUKS sējumu.

cryptsetup luksClose centos

Tālāk ierakstiet šādu komandu:

ls /dev/mapper

Tajā būs šādi faili ar nosaukumu control, live-baseun live-rw. centosFails, kas satur Luks nodalījumu, tiks trūkst, lai nodrošinātu, ka tā ir pareizi aizvērtas.

Ierakstiet rebootun nospiediet Entertaustiņu, lai atsāknētu.

4. darbība: palaidiet CentOS 7 GUI režīma instalēšanas programmu

Izvēlieties Install CentOS Linux 7opciju un nospiediet Entertaustiņu.

VPS tagad sāks darboties GUI režīma CentOS instalēšanas programmā. Jūs redzēsit ekrānu noVNC konsolē, kā parādīts tālāk esošajā attēlā. Izvēlieties Install CentOS 7(1) un nospiediet Entertaustiņu.

Uz WELCOME TO CENTOS 7ekrāna, noklikšķiniet uz zilās Continuepogas (1).

Uzmanību Ja neizmantojat noklusējuma angļu valodu un Amerikas Savienoto Valstu lokalizāciju, ievadiet savu valodu meklēšanas joslā (1). Noklikšķiniet uz valodas (2) un atbilstošās ar to saistītās lokalizācijas (3). Kad esat apmierināts, noklikšķiniet uz zilās Continuepogas (4).

Uz INSTALLATION SUMMARYekrāna, noklikšķiniet uz INSTALLATION DESTINATION (Automatic partitioning selected)(1) Saskaņā ar SYSTEM.

Uz INSTALLATION DESTINATIONekrāna, izvēlieties I will configure partitioning(1) opciju zem Other Storage Options (Partitioning)un noklikšķiniet uz zilās Donepogas (2), augšpusē pa kreisi no ekrāna.

Uz MANUAL PARTITIONINGekrāna, noklikšķiniet uz Unknownpaplašināma akordeona (1). Tas atklās trīs nodalījumus ar nosaukumu BIOS Boot (vda1), Unknown (vda2)un Encrypted (LUKS) (vda3).

Kad BIOS Bootnodalījums ir iezīmēts zilā krāsā (1), atzīmējiet izvēles rūtiņu Reformat(2) blakus File System:akordeonam un noklikšķiniet uz Update Settingspogas (3).

Noklikšķiniet uz Unknownnodalījuma (1), lai tas tiktu iezīmēts zilā krāsā. Atzīmējiet izvēles rūtiņu Reformat(2) blakus File System:akordeonam. Izvēlieties ext2ar File System:akordeonu (3), ievadīt /bootteksta laukā (4) zem Mount Point:ievadiet bootteksta laukā (5), ar Label:un noklikšķiniet uz Update Settingspogas (6).

Noklikšķiniet uz Encrypted (LUKS)nodalījuma (1), lai tas tiktu iezīmēts zilā krāsā. Ievadiet paroli, kuru izveidojāt Luks starpsienas Step 3: Setup LVM On LUKS Full Disk Encryptionšajā Passphrase:teksta laukā (2), un noklikšķiniet uz Unlockpogas (3).

Parādīsies jauns Unknownpaplašināms akordeons (1). Tas atklās divus nodalījumus ar nosaukumu Unknown (ssd-root)un Unknown (ssd-swap).

Kad Unknown (ssd-root)nodalījums (1) ir iezīmēts zilā krāsā, atzīmējiet izvēles rūtiņu Reformat(2) blakus File System:akordeonam. Izvēlieties xfsar File System:akordeonu (3), ievadīt /teksta laukā (4) zem Mount Point:ievadiet rootteksta laukā (5), ar Label:un noklikšķiniet uz Update Settingspogas (6).

Noklikšķiniet uz Unknown (ssd-swap)nodalījuma (1), lai tas tiktu iezīmēts zilā krāsā. Atzīmējiet izvēles rūtiņu Reformat(2) blakus File System:akordeonam. Izvēlieties swapar File System:akordeonu (3), ievadīt swapteksta laukā (4), ar Label:un noklikšķiniet uz Update Settingspogas (5).

Click the blue Done button (1) at the top left of the screen.

A box named SUMMARY OF CHANGES will pop up. Click the Accept Changes button (1). This will bring you back to the WELCOME TO CENTOS 7 screen.

Click on NETWORK & HOST NAME (Not connected) (1) under SYSTEM.

On the NETWORK & HOST NAME screen, move the slider (1), next to the right of Ethernet(eth0) field, from the OFF position to the ON position. If you want to use a custom hostname instead of the default (192.0.2.1.vultr.com) in the Host name: text box (2), change it. Click the blue Done button (3) at the top left of the screen. This will bring you back to the WELCOME TO CENTOS 7 screen.

When you are satisfied with the options on the WELCOME TO CENTOS 7 screen, click the blue Begin Installation button (1).

On the CONFIGURATION screen, click on ROOT PASSWORD (Root password is not set) (1) under USER SETTINGS.

On the ROOT PASSWORD screen, enter a strong password in both the Root Password: (1) and Confirm: (2) text fields. Click the blue Done button (3) at the top left of the screen. This will bring you back to the CONFIGURATION screen.

On the CONFIGURATION screen, click on USER CREATION (No user will be created) (1) under USER SETTINGS.

On the CREATE USER screen, enter your full name in the Full name text field (1), an username in the User name text field (2), a strong password in both the Password (3) and Confirm password (4) text fields. Click on the Advanced... button (5).

A box named ADVANCED USER CONFIGURATION will pop up. In the Add user to the following groups: text field (1) under Group Membership, enter wheel and click the Save Changes button (2).

Click the blue Done button (1) at the top left of the screen.

The post-installation process will now commence. It will take a few minutes to complete. When it is finished, click on the blue Reboot button (1) to reboot your VPS instance.

Navigate back to the VULTR Server Management Screen. Click on the Settings link at the top. Click on Custom ISO on the menu on the left side. On the Custom ISO page, click on the Remove ISO button to unmount the ISO and reboot into your CentOS 7 VPS instance. Click the OK button when prompted and the VPS instance will reboot.

Navigate back to the View Console window to access the VPS instance via the noVNC console. Refresh the window if noVNC has disconnected.

You will be prompted to enter the passphrase (Example: Please enter passphrase for disk primary (luks-xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx)!:) you created for LUKS partition in Step 3: Setup LVM On LUKS Full Disk Encryption. Enter the passphrase and press the Enter key.

You will then be presented with the console login prompt. You can now close the noVNC console window.

Step 5: Update The System

Log in via SSH with a regular user and update the system as follows.

sudo yum install epel-release -y
sudo yum clean all && sudo yum update -y

Step 6: Install Dracut-Crypt-SSH

While still logged in as a regular user, type the following commands below to install dracut-crypt-ssh.

sudo yum install wget -y
sudo wget -O /etc/yum.repos.d/rbu-dracut-crypt-ssh-epel-7.repo https://copr.fedorainfracloud.org/coprs/rbu/dracut-crypt-ssh/repo/epel-7/rbu-dracut-crypt-ssh-epel-7.repo
sudo yum install dracut-crypt-ssh -y

Type the following command below to install the nano editor to ease editing of files.

sudo yum install nano -y

You will need to edit the default grub file located in /etc/default/grub.

sudo nano /etc/default/grub

Insert rd.neednet=1 ip=dhcp between GRUB_CMDLINE_LINUX="crashkernel=auto and rd.luks.uuid=luks-xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx.

Save the file by entering the following keyboard combinations. Press the Ctrl + x keys, press the y key and press the Enter key.

Regenerate you GRUB configuration file by type the command below.

sudo grub2-mkconfig -o /etc/grub2.cfg 

Backup the original /etc/dracut.conf.d/crypt-ssh.conf by typing the following command below.

sudo mv /etc/dracut.conf.d/crypt-ssh.conf /etc/dracut.conf.d/crypt-ssh.conf.orig

Create a new /etc/dracut.conf.d/crypt-ssh.conf file by typing the following command below.

sudo nano /etc/dracut.conf.d/crypt-ssh.conf

Copy and paste the following text below into the nano editor.

dropbear_acl="/etc/dropbear/keys/authorized_keys"
dropbear_ecdsa_key="/etc/dropbear/keys/ssh_ecdsa_key"
dropbear_rsa_key="/etc/dropbear/keys/ssh_rsa_key"

Create the directory keys under /etc/dropbear/, with the necessary directory permissions, that will hold the authorized_keys, ssh_ecdsa_key and ssh_rsa_key files.

sudo mkdir /etc/dropbear/keys/; sudo chmod /etc/dropbear/keys/

Generate the ssh_ecdsa_key and ssh_rsa_key files with the ssh_keygen program by typing the following commands below. Press the Enter key twice, for each command, when prompted for passphrases.

sudo ssh-keygen -t ecdsa -f /etc/dropbear/keys/ssh_ecdsa_key
sudo ssh-keygen -t rsa -f /etc/dropbear/keys/ssh_rsa_key

Change the file permissions on ssh_ecdsa_key, ssh_ecdsa_key.pub, ssh_rsa_key and ssh_rsa_key.pub by typing the command below.

sudo chmod 400 /etc/dropbear/keys/*_key; sudo chmod 444 /etc/dropbear/keys/*.pub

Generate public keys using the How Do I Generate SSH Keys? tutorial, found at the beginning of the tutorial under Prerequisites, for your prospective client operating system.

Copy and paste all the text in the public key into the /etc/dropbear/keys/authorized_keys file using the nano program by typing the command below.

sudo nano /etc/dropbear/keys/authorized_keys

You must first build the initramfs and any subsequent update of the dracut-crypt-ssh configuration. Type the following command below for the initial build of the initramfs.

sudo dracut -f

Once that's complete, your CentOS 7 install is set up to listen for your SSH client to connect and allow you to unlock the LUKS partition using your passphrase. You may now reboot your CentOS 7 instance by typing the command below.

sudo reboot

Par savu klientu sistēmām, attiecas uz sadaļām 3.3. Unlocking the volumes interactivelyun 3.4. Unlocking using theatbloķētu commandpar Dracut-Kripta-SSH GitHub lapā vai nu spēku ieejas frāze uzvedne vai izmantot unlockkomandu, lai atvērtu savu Luks nodalījumu no SSH klientu.