Instal dan Atur CentOS 7 untuk Membuka Kunci LVM dari Jauh pada Enkripsi Disk LUKS Menggunakan SSH

• Prasyarat
• Langkah 1: Pengaturan Lingkungan
• Langkah 2: Mulai Penginstal Mode Teks CentOS 7
• Langkah 3: Setup LVM Pada LUKS Enkripsi Disk Penuh
• Langkah 4: Mulai Penginstal Mode GUI CentOS 7
• Langkah 5: Perbarui Sistem
• Langkah 6: Instal Dracut-Crypt-SSH

LUKS (Linux Unified Key Setup) adalah salah satu dari berbagai format enkripsi disk yang tersedia untuk Linux yaitu platform agnostik. Tutorial ini akan memberi Anda root dan swap partisi di dalam volume LVM (Linux Volume Manager) yang terkandung di dalam partisi LUKS terenkripsi. Tutorial ini juga memungkinkan Anda untuk membuka kunci partisi LUKS dari jarak jauh menggunakan daemon SSH server yang disederhanakan menggunakan program klien SSH yang kompatibel.

Prasyarat

• Contoh server CentOS 7 x64 Minimal ISO Library.
• Sebuah sudo pengguna.
• Kunci publik SSH .
• Dracut-Crypt-SSH .

Langkah 1: Pengaturan Lingkungan

Pada halaman Menyebarkan Server , lakukan hal berikut:

• Pilih lokasi server Anda di Server Locationbagian.
• Pilih di CentOS7bawah ISO Librarytab Server Typebagian.
• Pilih spesifikasi perangkat keras yang Anda butuhkan di Server Sizebagian ini.
• Klik Deploy Nowtombolnya.

Gunakan View Consoleopsi untuk mengakses instance VPS melalui konsol noVNC.

Langkah 2: Mulai Penginstal Mode Teks CentOS 7

Pilih Install CentOS Linux 7opsi.

Tekan Tabtombol.

Masukkan textsetelah vmlinuz initrd=initrd.img inst.stage2=hd:LABEL=CentOS\x207\x20\86_64 quietsehingga terlihat seperti ini vmlinuz initrd=initrd.img inst.stage2=hd:LABEL=CentOS\x207\x20\86_64 quiet textdan tekan Entertombol.

VPS sekarang akan boot ke mode teks Penginstal CentOS. Anda akan melihat layar di konsol noVNC seperti yang digambarkan pada gambar di bawah ini.

Langkah 3: Setup LVM Pada LUKS Enkripsi Disk Penuh

Gunakan Alt + Right Arrow Keykombinasi untuk menavigasi ke konsol TTY2 untuk mengetik perintah pada baris perintah.

Ketik perintah berikut di bawah ini untuk membuat partisi untuk berisi boot loader GRUB2, /bootpartisi tidak terenkripsi dan partisi primer yang akan menahan partisi LUKS.

parted -a opt -s /dev/vda mklabel gpt
parted -s /dev/vda unit mb
parted -s /dev/vda mkpart primary 1 3
parted -s /dev/vda name 1 grub
parted -s /dev/vda set 1 bios_grub on
parted -s /dev/vda mkpart primary 3 259
parted -s /dev/vda name 2 boot
parted -s /dev/vda mkpart primary 259 100%
parted -s /dev/vda name 3 root

Ketik perintah berikut untuk menampilkan tata letak partisi.

parted -s /dev/vda print

Selanjutnya, isi rootfspartisi bernama dengan data pseudo-acak. Ini akan memakan waktu lebih dari setengah jam untuk selesai.

dd if=/dev/urandom of=/dev/vda3 bs=1M status=progress

Pada CentOS 7, cryptsetupperintah menggunakan cipher default aes-xts-plain64, ukuran kunci default 256 bit dan hash default SHA1. Sebagai gantinya, partisi LUKS akan dibuat dengan cipher Serpent yang lebih aman, dengan ukuran kunci 512 bit dan dengan hash Whirlpool.

cryptsetup luksFormat /dev/vda3 -c serpent-xts-plain64 -h whirlpool -s 512

Masukkan jawaban, saat diminta dengan pertanyaan berikut, lalu tekan Entertombol:

• Apakah kamu yakin (Ketik huruf besar ya):YES
• Masukkan frasa sandi: strong-password
• Verifikasi frasa sandi: strong-password

---

Opsional: Cadangkan Header Partisi LUKS

Peringatan Ini akan memungkinkan login root dan menyalin tanpa prompt kata sandi. Bunuh server SSH ini setelah Anda mengambil /tmp/luks-header-backup.imgfile.

Untuk diamankan, simpan salinan header partisi LUKS. Ini memastikan bahwa jika header partisi LUKS Anda entah bagaimana rusak, itu dapat dikembalikan. Jika tajuk rusak tanpa cadangan yang berfungsi, data Anda akan hilang selamanya.

cryptsetup luksHeaderBackup /dev/vda3 --header-backup-file /tmp/luks-header-backup.img

Untuk menyalin /tmp/luks-header-backup.imgfile dari server, server SSH harus dimulai sementara, menggunakan salinan aman yang dapat dieksekusi scppada host klien, untuk mengambilnya.

Ketik perintah berikut di bawah ini untuk menghasilkan kunci host SSH.

sshd-keygen

Ketik perintah berikut di bawah ini untuk membuat /etc/ssh/sshd_configfile.

cp /etc/ssh/sshd_config.anaconda /etc/ssh/sshd_config

Ketik perintah berikut di bawah ini untuk mengedit /etc/ssh/sshd_configfile.

vi /etc/ssh/sshd_config

Untuk mengedit file, tekan Inserttombol dan gunakan tombol panah untuk menavigasi ke bagian file yang perlu diedit.

Pada baris pertama, ubah nomor Port 22dari default 22menjadi angka acak pilihan Anda antara 1025dan 65535. (Contoh: port 25782)

Gulir ke bawah ke nomor baris tiga belas, tekan Endtombol dan tekan Entertombol.

Pada baris berikutnya, tambahkan HostKey /etc/ssh/ssh_host_ed25519_keydan tekan Entertombol.

Pada baris berikutnya, tambahkan HostKey /etc/ssh/ssh_host_rsa_keydan tekan Entertombol.

Tekan Esctombol, ketik :wqdan tekan Entertombol untuk menyimpan file.

Antarmuka jaringan default eth0membutuhkan alamat IP. Ketik perintah berikut di bawah ini untuk menetapkan alamat IP yang tercantum untuk instance Anda ke eth0antarmuka jaringan.

dhclient

Ketik perintah berikut untuk menampilkan alamat IP yang ditetapkan. Alamat IP akan terdaftar segera setelah inetdan sebelum netmask. (Contoh: inet 192.0.2.1netmask)

ifconfig eth0

Ketik perintah berikut untuk memulai server SSH.

/usr/sbin/sshd

Jika menggunakan scpperintah dari baris perintah pada mesin klien, gunakan perintah berikut di bawah ini sebagai templat untuk mengambil /tmp/luks-header-backup.imgfile. Ganti 25782dengan nomor port aktual yang ditetapkan dalam /etc/ssh/sshd_config. Ganti 192.0.2.1dengan alamat IP yang ditugaskan sebenarnya.

scp -P 25782 [email protected]:/tmp/luks-header-backup.img .

Setelah pengambilan luks-header-backup.imgfile, segera bunuh server SSH dengan mengetikkan perintah di bawah ini di jendela konsol noVNC.

killall sshd

---

Buka partisi LUKS untuk mengatur volume fisik LVM yang akan berada di dalam.

cryptsetup luksOpen /dev/vda3 centos

Masukkan frasa sandi yang dibuat sebelumnya untuk membuka partisi LUKS saat diminta, lalu tekan Entertombol.

Masukkan frasa sandi untuk /dev/vda3:strong-password

Ketikkan perintah berikut di bawah ini:

ls /dev/mapper

Ini akan berisi file-file berikut bernama centos, control, live-basedan live-rw. Ini centosadalah partisi LUKS.

Ketik perintah berikut di bawah ini untuk membuat volume fisik LVM.

pvcreate /dev/mapper/centos

Ketika berhasil, Anda akan menerima pesan berikut:

Physical volume "/dev/mapper/centos" successfully created

Ketik perintah berikut di bawah ini untuk membuat grup volume LVM.

vgcreate ssd /dev/mapper/centos

Ketika berhasil, Anda akan menerima pesan berikut:

Volume group "ssd" successfully created

Ketik perintah berikut di bawah ini untuk membuat volume logis LVM untuk partisi swap. Gunakan penilaian suara untuk membuat partisi swap, dengan ukuran yang diperlukan (-L = ukuran volume), berdasarkan instance VPS Anda.

lvcreate -L 1G -n swap ssd

Ketika berhasil, Anda akan menerima pesan berikut:

Logical volume "swap" created

Ketik perintah berikut di bawah ini untuk membuat volume logis LVM untuk partisi root. Ini akan menggunakan ruang kosong yang tersisa sambil memesan lima persen (5%) untuk memuat snapshot LVM dari volume logis Anda jika Anda mau.

lvcreate -l 95%FREE -n root ssd

Ketika berhasil, Anda akan menerima pesan berikut:

Logical volume "root" created

Tampilkan volume fisik LVM.

pvdisplay

Anda akan melihat teks di konsol noVNC mirip dengan apa yang digambarkan pada gambar di bawah ini.

Tampilkan grup volume LVM.

vgdisplay

Anda akan melihat teks di konsol noVNC mirip dengan apa yang digambarkan pada gambar di bawah ini.

Tampilkan volume logis LVM.

lvdisplay

Anda akan melihat teks di konsol noVNC mirip dengan apa yang digambarkan pada gambar di bawah ini.

Ketik perintah berikut di bawah ini untuk menonaktifkan grup volume LVM. Ini harus diselesaikan untuk memungkinkan cryptsetupuntuk menutup partisi LUKS di langkah berikutnya.

vgchange -a n

Ketika berhasil, Anda akan menerima pesan berikut:

0 logical volume(s) in volume group "ssd" now active

Tutup volume LUKS.

cryptsetup luksClose centos

Ketikkan perintah berikut di bawah ini:

ls /dev/mapper

Ini akan berisi file-file berikut bernama control, live-basedan live-rw. The centosfile yang berisi partisi LUKS, akan hilang untuk memastikan bahwa itu ditutup dengan benar.

Ketik rebootdan tekan Entertombol untuk reboot.

Langkah 4: Mulai Penginstal Mode GUI CentOS 7

Pilih Install CentOS Linux 7opsi dan tekan Entertombol.

VPS sekarang akan boot ke mode GUI CentOS installer. Anda akan melihat layar di konsol noVNC seperti yang digambarkan pada gambar di bawah ini. Pilih Install CentOS 7(1) dan tekan Entertombol.

Di WELCOME TO CENTOS 7layar, klik Continuetombol biru (1).

Perhatian Jika Anda tidak menggunakan bahasa default Inggris dan lokal Amerika Serikat, masukkan bahasa Anda di bilah pencarian (1). Klik pada bahasa (2) dan lokal yang sesuai (3) yang terkait dengannya. Setelah puas, klik Continuetombol biru (4).

Di INSTALLATION SUMMARYlayar, klik pada INSTALLATION DESTINATION (Automatic partitioning selected)(1) di bawah SYSTEM.

Di INSTALLATION DESTINATIONlayar, pilih opsi I will configure partitioning(1) di bawah Other Storage Options (Partitioning)dan klik Donetombol biru (2) di kiri atas layar.

Di MANUAL PARTITIONINGlayar, klik pada Unknownakordeon yang dapat diperluas (1). Ini akan mengungkapkan tiga partisi bernama BIOS Boot (vda1), Unknown (vda2)dan Encrypted (LUKS) (vda3).

Dengan BIOS Bootpartisi yang disorot dengan warna biru (1), pilih opsi kotak centang Reformat(2) di sebelah File System:akordeon dan klik Update Settingstombol (3).

Klik pada Unknownpartisi (1) sehingga disorot dengan warna biru. Pilih opsi kotak centang Reformat(2) di sebelah File System:akordeon. Pilih ext2dalam File System:akordeon (3), masukkan /bootdalam bidang teks (4) di bawah Mount Point:, masukkan bootdalam bidang teks (5) di bawah Label:dan klik Update Settingstombol (6).

Klik pada Encrypted (LUKS)partisi (1) sehingga disorot dengan warna biru. Masukkan frasa sandi yang Anda buat untuk partisi LUKS di Step 3: Setup LVM On LUKS Full Disk Encryptiondalam Passphrase:bidang teks (2) dan klik Unlocktombol (3).

Sebuah baru Unknownakordeon diupgrade (1) akan muncul. Ini akan mengungkapkan dua partisi bernama Unknown (ssd-root)dan Unknown (ssd-swap).

Dengan Unknown (ssd-root)partisi (1) disorot dengan warna biru, pilih opsi kotak centang Reformat(2) di sebelah File System:akordeon. Pilih xfsdalam File System:akordeon (3), masukkan /dalam bidang teks (4) di bawah Mount Point:, masukkan rootdalam bidang teks (5) di bawah Label:dan klik Update Settingstombol (6).

Klik pada Unknown (ssd-swap)partisi (1) sehingga disorot dengan warna biru. Pilih opsi kotak centang Reformat(2) di sebelah File System:akordeon. Pilih swapdalam File System:akordeon (3), masukkan swapdalam bidang teks (4) di bawah Label:dan klik Update Settingstombol (5).

Klik Donetombol biru (1) di kiri atas layar.

Sebuah kotak bernama SUMMARY OF CHANGESakan muncul. Klik Accept Changestombol (1). Ini akan membawa Anda kembali ke WELCOME TO CENTOS 7layar.

Klik pada NETWORK & HOST NAME (Not connected)(1) di bawah SYSTEM.

Di NETWORK & HOST NAMElayar, gerakkan penggeser (1), di sebelah kanan kolom Ethernet(eth0), dari OFFposisi ke ONposisi. Jika Anda ingin menggunakan nama host khusus alih-alih default (192.0.2.1.vultr.com) di Host name:kotak teks (2), ubahlah. Klik Donetombol biru (3) di kiri atas layar. Ini akan membawa Anda kembali ke WELCOME TO CENTOS 7layar.

Ketika Anda puas dengan opsi di WELCOME TO CENTOS 7layar, klik Begin Installationtombol biru (1).

Di CONFIGURATIONlayar, klik pada ROOT PASSWORD (Root password is not set)(1) di bawah USER SETTINGS.

Di ROOT PASSWORDlayar, masukkan kata sandi yang kuat di bidang teks Root Password:(1) dan Confirm:(2). Klik Donetombol biru (3) di kiri atas layar. Ini akan membawa Anda kembali ke CONFIGURATIONlayar.

Di CONFIGURATIONlayar, klik pada USER CREATION (No user will be created)(1) di bawah USER SETTINGS.

Di CREATE USERlayar, masukkan nama lengkap Anda di Full namebidang teks (1), nama pengguna di User namebidang teks (2), kata sandi yang kuat di bidang teks Password(3) dan Confirm password(4). Klik pada Advanced...tombol (5).

Sebuah kotak bernama ADVANCED USER CONFIGURATIONakan muncul. Di Add user to the following groups:bidang teks (1) di bawah Group Membership, masukkan wheeldan klik Save Changestombol (2).

Klik Donetombol biru (1) di kiri atas layar.

Proses pasca instalasi sekarang akan dimulai. Akan selesai beberapa menit. Setelah selesai, klik Reboottombol biru (1) untuk mem-boot ulang instance VPS Anda.

Arahkan kembali ke Layar Manajemen Server VULTR . Klik Settingstautan di atas. Klik pada Custom ISOmenu di sebelah kiri. Pada Custom ISOhalaman tersebut, klik Remove ISOtombol untuk melepas ISO dan reboot ke instance VPS CentOS 7 Anda. Klik OKtombol ketika diminta dan instance VPS akan reboot.

Arahkan kembali ke View Consolejendela untuk mengakses instance VPS melalui konsol noVNC. Refresh jendela jika noVNC telah terputus.

Anda akan diminta untuk memasukkan frasa sandi (Contoh Please enter passphrase for disk primary (luks-xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx)!::) yang Anda buat untuk partisi LUKS di Step 3: Setup LVM On LUKS Full Disk Encryption. Masukkan frasa sandi dan tekan Entertombol.

Anda kemudian akan disajikan dengan prompt login konsol. Anda sekarang dapat menutup jendela konsol noVNC.

Langkah 5: Perbarui Sistem

Masuk melalui SSH dengan pengguna biasa dan perbarui sistem sebagai berikut.

sudo yum install epel-release -y
sudo yum clean all && sudo yum update -y

Langkah 6: Instal Dracut-Crypt-SSH

Saat masih masuk sebagai pengguna biasa, ketikkan perintah berikut di bawah ini untuk menginstal dracut-crypt-ssh.

sudo yum install wget -y
sudo wget -O /etc/yum.repos.d/rbu-dracut-crypt-ssh-epel-7.repo https://copr.fedorainfracloud.org/coprs/rbu/dracut-crypt-ssh/repo/epel-7/rbu-dracut-crypt-ssh-epel-7.repo
sudo yum install dracut-crypt-ssh -y

Ketik perintah berikut di bawah ini untuk menginstal nanoeditor untuk memudahkan pengeditan file.

sudo yum install nano -y

Anda perlu mengedit file grub default yang terletak di /etc/default/grub.

sudo nano /etc/default/grub

Masukkan rd.neednet=1 ip=dhcpantara GRUB_CMDLINE_LINUX="crashkernel=autodan rd.luks.uuid=luks-xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx.

Simpan file dengan memasukkan kombinasi keyboard berikut. Tekan tombol Ctrl+ x, tekan ytombol dan tekan Entertombol.

Regenerasi file konfigurasi GRUB Anda dengan mengetik perintah di bawah ini.

sudo grub2-mkconfig -o /etc/grub2.cfg 

Cadangkan dokumen asli /etc/dracut.conf.d/crypt-ssh.confdengan mengetik perintah berikut di bawah ini.

sudo mv /etc/dracut.conf.d/crypt-ssh.conf /etc/dracut.conf.d/crypt-ssh.conf.orig

Buat /etc/dracut.conf.d/crypt-ssh.conffile baru dengan mengetikkan perintah berikut di bawah ini.

sudo nano /etc/dracut.conf.d/crypt-ssh.conf

Salin dan tempel teks berikut di bawah ini ke nanoeditor.

dropbear_acl="/etc/dropbear/keys/authorized_keys"
dropbear_ecdsa_key="/etc/dropbear/keys/ssh_ecdsa_key"
dropbear_rsa_key="/etc/dropbear/keys/ssh_rsa_key"

Buat direktori di keysbawah /etc/dropbear/, dengan izin direktori yang diperlukan, yang akan menampung authorized_keys, ssh_ecdsa_keydan ssh_rsa_keyfile.

sudo mkdir /etc/dropbear/keys/; sudo chmod /etc/dropbear/keys/

Buat ssh_ecdsa_keydan ssh_rsa_keyfile dengan ssh_keygenprogram dengan mengetikkan perintah berikut di bawah ini. Tekan Entertombol dua kali, untuk setiap perintah, saat diminta frasa sandi.

sudo ssh-keygen -t ecdsa -f /etc/dropbear/keys/ssh_ecdsa_key
sudo ssh-keygen -t rsa -f /etc/dropbear/keys/ssh_rsa_key

Ubah hak akses file di ssh_ecdsa_key, ssh_ecdsa_key.pub, ssh_rsa_keydan ssh_rsa_key.pubdengan mengetikkan perintah di bawah ini.

sudo chmod 400 /etc/dropbear/keys/*_key; sudo chmod 444 /etc/dropbear/keys/*.pub

Buat kunci publik menggunakan How Do I Generate SSH Keys?tutorial, yang ditemukan di awal tutorial di bawah Prerequisites, untuk sistem operasi calon klien Anda.

Salin dan tempel semua teks dalam kunci publik ke dalam /etc/dropbear/keys/authorized_keysfile menggunakan nanoprogram dengan mengetik perintah di bawah ini.

sudo nano /etc/dropbear/keys/authorized_keys

Anda pertama-tama harus membangun initramfs dan pembaruan konfigurasi dracut-crypt-ssh berikutnya. Ketik perintah berikut di bawah ini untuk membangun initramfs awal.

sudo dracut -f

Setelah selesai, instalasi CentOS 7 Anda diatur untuk mendengarkan klien SSH Anda terhubung dan memungkinkan Anda untuk membuka kunci partisi LUKS menggunakan frasa sandi Anda. Anda sekarang dapat me-reboot instance CentOS 7 Anda dengan mengetik perintah di bawah ini.

sudo reboot

Pada sistem klien Anda, lihat bagian 3.3. Unlocking the volumes interactivelydan 3.4. Unlocking using themembuka kunci commandhalaman Dracut-Crypt-SSH GitHub untuk memaksa prompt frasa sandi atau menggunakan unlockperintah untuk membuka partisi LUKS Anda dari klien SSH Anda.