Installa e configura CentOS 7 per sbloccare LVM in remoto su crittografia del disco LUKS usando SSH

• Prerequisiti
• Passaggio 1: installazione dell'ambiente
• Passaggio 2: avviare il programma di installazione in modalità testo CentOS 7
• Passaggio 3: installare LVM su LUKS Full Disk Encryption
• Passaggio 4: avviare il programma di installazione della modalità GUI di CentOS 7
• Passaggio 5: aggiornare il sistema
• Passaggio 6: installare Dracut-Crypt-SSH

LUKS (Linux Unified Key Setup) è uno dei vari formati di crittografia del disco disponibili per Linux indipendente dalla piattaforma. Questo tutorial ti fornirà le partizioni di root e di swap all'interno di un volume LVM (Linux Volume Manager) contenuto all'interno di una partizione LUKS crittografata. Questa esercitazione consente inoltre di sbloccare la partizione LUKS in remoto utilizzando un demone del server SSH semplificato utilizzando qualsiasi programma client SSH compatibile.

Prerequisiti

• Un'istanza del server Libreria ISO minima x64 di CentOS 7.
• Un utente sudo .
• Chiave / e pubblica / e SSH .
• Dracut-Crypt-SSH .

Passaggio 1: installazione dell'ambiente

Nella pagina Distribuisci server , procedi come segue:

• Scegli la posizione del tuo server nella Server Locationsezione.
• Scegli CentOS7sotto la ISO Libraryscheda della Server Typesezione.
• Scegli le specifiche hardware richieste nella Server Sizesezione.
• Fai clic sul Deploy Nowpulsante

Utilizzare l' View Consoleopzione per accedere all'istanza VPS tramite la console noVNC.

Passaggio 2: avviare il programma di installazione in modalità testo CentOS 7

Seleziona l' Install CentOS Linux 7opzione

Premere il Tabtasto

Inserisci textdopo in vmlinuz initrd=initrd.img inst.stage2=hd:LABEL=CentOS\x207\x20\86_64 quietmodo che assomigli a questo vmlinuz initrd=initrd.img inst.stage2=hd:LABEL=CentOS\x207\x20\86_64 quiet texte premi il Entertasto.

Il VPS si avvierà ora nel programma di installazione CentOS in modalità testo. Vedrai uno schermo nella console di noVNC come mostrato nell'immagine qui sotto.

Passaggio 3: installare LVM su LUKS Full Disk Encryption

Utilizzare la Alt + Right Arrow Keycombinazione per accedere alla console TTY2 per digitare i comandi sulla riga di comando.

Digitare i seguenti comandi di seguito per creare una partizione per contenere il boot loader GRUB2, una /bootpartizione non crittografata e una partizione primaria che conterrà la partizione LUKS.

parted -a opt -s /dev/vda mklabel gpt
parted -s /dev/vda unit mb
parted -s /dev/vda mkpart primary 1 3
parted -s /dev/vda name 1 grub
parted -s /dev/vda set 1 bios_grub on
parted -s /dev/vda mkpart primary 3 259
parted -s /dev/vda name 2 boot
parted -s /dev/vda mkpart primary 259 100%
parted -s /dev/vda name 3 root

Digitare il comando seguente per visualizzare il layout della partizione.

parted -s /dev/vda print

Quindi, riempire la rootfspartizione denominata con dati pseudo-casuali. Questo richiederà poco più di mezz'ora per il completamento.

dd if=/dev/urandom of=/dev/vda3 bs=1M status=progress

Su CentOS 7, i cryptsetupcomandi utilizzano la cifra predefinita di aes-xts-plain64, la dimensione della chiave predefinita di 256 bit e l'hash predefinito di SHA1. Invece, la partizione LUKS verrà creata con il codice Serpent più sicuro, con una dimensione della chiave di 512 bit e con l'hash di Whirlpool.

cryptsetup luksFormat /dev/vda3 -c serpent-xts-plain64 -h whirlpool -s 512

Immettere le risposte, quando richiesto con le seguenti query, quindi premere il Entertasto:

• Sei sicuro? (Digitare maiuscolo sì):YES
• Inserisci la passphrase: strong-password
• Verifica passphrase: strong-password

Facoltativo: backup dell'intestazione della partizione LUKS

Avviso Ciò consentirà l'accesso e la copia di root senza la richiesta di password. Uccidi questo server SSH dopo aver recuperato il /tmp/luks-header-backup.imgfile.

Per motivi di sicurezza, salvare una copia dell'intestazione della partizione LUKS. Ciò garantisce che se l'intestazione della partizione LUKS è in qualche modo danneggiata, può essere ripristinata. Se l'intestazione è danneggiata senza un backup funzionante, i tuoi dati andranno persi per sempre.

cryptsetup luksHeaderBackup /dev/vda3 --header-backup-file /tmp/luks-header-backup.img

Per copiare il /tmp/luks-header-backup.imgfile dal server, è necessario avviare temporaneamente un server SSH, utilizzando l'eseguibile per la copia protetta scpsu un host client, per recuperarlo.

Digitare il comando seguente di seguito per generare le chiavi dell'host SSH.

sshd-keygen

Digita il comando seguente per creare il /etc/ssh/sshd_configfile.

cp /etc/ssh/sshd_config.anaconda /etc/ssh/sshd_config

Digita il comando seguente per modificare il /etc/ssh/sshd_configfile.

vi /etc/ssh/sshd_config

Per modificare il file, premere il Inserttasto e utilizzare i tasti freccia per spostarsi nelle sezioni del file che devono essere modificate.

Nella riga uno, modifica il numero Port 22dal valore predefinito 22in un numero casuale a tua scelta tra 1025e 65535. (Esempio: porta 25782)

Scorri verso il basso fino al numero di riga 13, premi il Endtasto e premi il Entertasto.

Nella riga successiva, aggiungi HostKey /etc/ssh/ssh_host_ed25519_keye premi il Entertasto.

Nella riga successiva, aggiungi HostKey /etc/ssh/ssh_host_rsa_keye premi il Entertasto.

Premere il Esctasto, digitare :wqe premere il Entertasto per salvare il file.

L'interfaccia di rete predefinita eth0richiede un indirizzo IP. Digitare il comando seguente di seguito per assegnare l'indirizzo IP elencato per l'istanza all'interfaccia di eth0rete.

dhclient

Digitare il comando seguente per visualizzare l'indirizzo IP assegnato. L'indirizzo IP verrà elencato immediatamente dopo inete prima netmask. (Esempio: inet 192.0.2.1netmask)

ifconfig eth0

Digitare il comando seguente per avviare il server SSH.

/usr/sbin/sshd

Se si utilizza il scpcomando da una riga comandi su un computer client, utilizzare il seguente comando come modello per recuperare il /tmp/luks-header-backup.imgfile. Sostituire 25782con il numero di porta effettivo assegnato in /etc/ssh/sshd_config. Sostituisci 192.0.2.1con l'indirizzo IP assegnato effettivo.

scp -P 25782 [email protected]:/tmp/luks-header-backup.img .

Dopo il recupero del luks-header-backup.imgfile, uccidi immediatamente il server SSH digitando il comando seguente nella finestra della console noVNC.

killall sshd

Aprire la partizione LUKS per impostare il volume fisico LVM che risiederà all'interno.

cryptsetup luksOpen /dev/vda3 centos

Immettere la passphrase creata in precedenza per aprire la partizione LUKS quando richiesto, quindi premere il Entertasto.

Inserisci la passphrase per /dev/vda3:strong-password

Digita il seguente comando di seguito:

ls /dev/mapper

Esso conterrà i seguenti file denominati centos, control, live-basee live-rw. Il centosè la partizione LUKS.

Digitare il comando seguente di seguito per creare il volume fisico LVM.

pvcreate /dev/mapper/centos

In caso di successo, riceverai il seguente messaggio:

Physical volume "/dev/mapper/centos" successfully created

Digitare il comando seguente di seguito per creare il gruppo di volumi LVM.

vgcreate ssd /dev/mapper/centos

In caso di successo, riceverai il seguente messaggio:

Volume group "ssd" successfully created

Digitare il comando seguente di seguito per creare un volume logico LVM per una partizione di swap. Usa la valutazione del suono per creare una partizione di swap, della dimensione necessaria (-L = dimensione del volume), in base all'istanza VPS.

lvcreate -L 1G -n swap ssd

In caso di successo, riceverai il seguente messaggio:

Logical volume "swap" created

Digitare il comando seguente di seguito per creare un volume logico LVM per la partizione radice. Questo utilizzerà lo spazio libero rimanente riservando il cinque percento (5%) per contenere le istantanee LVM dei volumi logici, se lo si desidera.

lvcreate -l 95%FREE -n root ssd

In caso di successo, riceverai il seguente messaggio:

Logical volume "root" created

Visualizza il volume fisico LVM.

pvdisplay

Vedrai un testo nella console di noVNC simile a quello mostrato nell'immagine qui sotto.

Visualizza il gruppo di volumi LVM.

vgdisplay

Vedrai un testo nella console di noVNC simile a quello mostrato nell'immagine qui sotto.

Visualizza i volumi logici LVM.

lvdisplay

Vedrai un testo nella console di noVNC simile a quello mostrato nell'immagine qui sotto.

Digitare il comando seguente di seguito per disattivare il gruppo di volumi LVM. Questo deve essere completato per consentire la cryptsetupchiusura della partizione LUKS nel passaggio successivo.

vgchange -a n

In caso di successo, riceverai il seguente messaggio:

0 logical volume(s) in volume group "ssd" now active

Chiudi il volume LUKS.

cryptsetup luksClose centos

Digita il seguente comando di seguito:

ls /dev/mapper

Esso conterrà i seguenti file denominati control, live-basee live-rw. Il centosfile, contenente la partizione LUKS, mancherà per assicurarsi che sia stato chiuso correttamente.

Digitare reboote premere il Entertasto per riavviare.

Passaggio 4: avviare il programma di installazione della modalità GUI di CentOS 7

Seleziona l' Install CentOS Linux 7opzione e premi il Entertasto.

Il VPS si avvierà ora nel programma di installazione CentOS in modalità GUI. Vedrai uno schermo nella console di noVNC come mostrato nell'immagine qui sotto. Selezionare Install CentOS 7(1) e premere il Entertasto.

Sullo WELCOME TO CENTOS 7schermo, fai clic sul Continuepulsante blu (1).

Attenzione Se non si utilizza la lingua predefinita dell'inglese e le impostazioni internazionali degli Stati Uniti, inserire la lingua nella barra di ricerca (1). Clicca sulla lingua (2) e la locale appropriata (3) ad essa associata. Se soddisfatto, fai clic sul Continuepulsante blu (4).

Sullo INSTALLATION SUMMARYschermo, fare clic su INSTALLATION DESTINATION (Automatic partitioning selected)(1) sotto SYSTEM.

Nella INSTALLATION DESTINATIONschermata, seleziona l' I will configure partitioningopzione (1) sotto Other Storage Options (Partitioning)e fai clic sul Donepulsante blu (2) nella parte superiore sinistra dello schermo.

Sullo MANUAL PARTITIONINGschermo, fai clic sulla Unknownfisarmonica espandibile (1). Si rivelerà tre partizioni di nome BIOS Boot (vda1), Unknown (vda2)e Encrypted (LUKS) (vda3).

Con la BIOS Bootpartizione evidenziata in blu (1), seleziona l'opzione della casella di controllo Reformat(2) accanto alla File System:fisarmonica e fai clic sul Update Settingspulsante (3).

Fare clic sulla Unknownpartizione (1) in modo che sia evidenziata in blu. Seleziona l'opzione della casella di controllo Reformat(2) accanto alla File System:fisarmonica. Selezionare ext2nella File System:fisarmonica (3), inserire /bootnel campo di testo (4) sotto Mount Point:, inserire bootnel campo di testo (5) sotto Label:e fare clic sul Update Settingspulsante (6).

Fare clic sulla Encrypted (LUKS)partizione (1) in modo che sia evidenziata in blu. Inserisci la passphrase è stato creato per la partizione LUKS nel Step 3: Setup LVM On LUKS Full Disk Encryptionnel Passphrase:campo di testo (2) e fare clic sul Unlockpulsante (3).

Apparirà una nuova Unknownfisarmonica espandibile (1). Rivelerà due partizioni denominate Unknown (ssd-root)e Unknown (ssd-swap).

Con la Unknown (ssd-root)partizione (1) evidenziata in blu, selezionare l'opzione della casella di controllo Reformat(2) accanto alla File System:fisarmonica. Selezionare xfsnella File System:fisarmonica (3), inserire /nel campo di testo (4) sotto Mount Point:, inserire rootnel campo di testo (5) sotto Label:e fare clic sul Update Settingspulsante (6).

Fare clic sulla Unknown (ssd-swap)partizione (1) in modo che sia evidenziata in blu. Seleziona l'opzione della casella di controllo Reformat(2) accanto alla File System:fisarmonica. Selezionare swapnella File System:fisarmonica (3), inserire swapnel campo di testo (4) sotto Label:e fare clic sul Update Settingspulsante (5).

Fai clic sul Donepulsante blu (1) nella parte superiore sinistra dello schermo.

Apparirà una finestra chiamata SUMMARY OF CHANGES. Fare clic sul Accept Changespulsante (1). Questo ti riporterà allo WELCOME TO CENTOS 7schermo.

Fare clic su NETWORK & HOST NAME (Not connected)(1) sotto SYSTEM.

Sullo NETWORK & HOST NAMEschermo, sposta il cursore (1), vicino alla destra del Ethernet(eth0)campo, dalla OFFposizione alla ONposizione. Se si desidera utilizzare un nome host personalizzato anziché quello predefinito (192.0.2.1.vultr.com) nella Host name:casella di testo (2), modificarlo. Fai clic sul Donepulsante blu (3) nella parte superiore sinistra dello schermo. Questo ti riporterà allo WELCOME TO CENTOS 7schermo.

Quando sei soddisfatto delle opzioni sullo WELCOME TO CENTOS 7schermo, fai clic sul Begin Installationpulsante blu (1).

Sullo CONFIGURATIONschermo, fare clic su ROOT PASSWORD (Root password is not set)(1) sotto USER SETTINGS.

Sullo ROOT PASSWORDschermo, inserisci una password complessa nei campi di testo Root Password:(1) e Confirm:(2). Fai clic sul Donepulsante blu (3) nella parte superiore sinistra dello schermo. Questo ti riporterà allo CONFIGURATIONschermo.

Sullo CONFIGURATIONschermo, fare clic su USER CREATION (No user will be created)(1) sotto USER SETTINGS.

Sullo CREATE USERschermo, inserisci il tuo nome completo nel Full namecampo di testo (1), un nome utente nel User namecampo di testo (2), una password sicura in entrambi i campi di testo Password(3) e Confirm password(4). Fare clic sul Advanced...pulsante (5).

Apparirà una finestra chiamata ADVANCED USER CONFIGURATION. Nel Add user to the following groups:campo di testo (1) sotto Group Membership, inserisci wheele fai clic sul Save Changespulsante (2).

Fai clic sul Donepulsante blu (1) nella parte superiore sinistra dello schermo.

Il processo di post-installazione inizierà ora. Ci vorranno alcuni minuti per completare. Al termine, fai clic sul Rebootpulsante blu (1) per riavviare l'istanza VPS.

Tornare alla schermata di gestione del server VULTR . Fai clic sul Settingscollegamento in alto. Fai clic sul Custom ISOmenu a sinistra. Nella Custom ISOpagina, fare clic sul Remove ISOpulsante per smontare ISO e riavviare nell'istanza VPS di CentOS 7. Fare clic sul OKpulsante quando richiesto e l'istanza VPS verrà riavviata.

Tornare alla View Consolefinestra per accedere all'istanza VPS tramite la console noVNC. Aggiorna la finestra se noVNC si è disconnesso.

Ti verrà richiesto di inserire la passphrase (Esempio Please enter passphrase for disk primary (luks-xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx)!::) che hai creato per la partizione LUKS in Step 3: Setup LVM On LUKS Full Disk Encryption. Immettere la passphrase e premere il Entertasto.

Ti verrà quindi presentato il prompt di accesso alla console. Ora puoi chiudere la finestra della console noVNC.

Passaggio 5: aggiornare il sistema

Accedi tramite SSH con un utente normale e aggiorna il sistema come segue.

sudo yum install epel-release -y
sudo yum clean all && sudo yum update -y

Passaggio 6: installare Dracut-Crypt-SSH

Mentre sei ancora registrato come utente normale, digita i seguenti comandi per installare dracut-crypt-ssh.

sudo yum install wget -y
sudo wget -O /etc/yum.repos.d/rbu-dracut-crypt-ssh-epel-7.repo https://copr.fedorainfracloud.org/coprs/rbu/dracut-crypt-ssh/repo/epel-7/rbu-dracut-crypt-ssh-epel-7.repo
sudo yum install dracut-crypt-ssh -y

Digitare il comando seguente di seguito per installare l' nanoeditor per facilitare la modifica dei file.

sudo yum install nano -y

Dovrai modificare il file grub predefinito che si trova in /etc/default/grub.

sudo nano /etc/default/grub

Inserisci rd.neednet=1 ip=dhcptra GRUB_CMDLINE_LINUX="crashkernel=autoe rd.luks.uuid=luks-xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx.

Salvare il file inserendo le seguenti combinazioni di tastiera. Premere i tasti Ctrl+ x, premere il ytasto e premere il Entertasto.

Rigenera il tuo file di configurazione di GRUB digitando il comando seguente.

sudo grub2-mkconfig -o /etc/grub2.cfg 

Eseguire il backup dell'originale /etc/dracut.conf.d/crypt-ssh.confdigitando il comando seguente di seguito.

sudo mv /etc/dracut.conf.d/crypt-ssh.conf /etc/dracut.conf.d/crypt-ssh.conf.orig

Crea un nuovo /etc/dracut.conf.d/crypt-ssh.conffile digitando il seguente comando di seguito.

sudo nano /etc/dracut.conf.d/crypt-ssh.conf

Copia e incolla il seguente testo nanonell'editor.

dropbear_acl="/etc/dropbear/keys/authorized_keys"
dropbear_ecdsa_key="/etc/dropbear/keys/ssh_ecdsa_key"
dropbear_rsa_key="/etc/dropbear/keys/ssh_rsa_key"

Creare la directory keyssotto /etc/dropbear/, con le autorizzazioni delle directory necessarie, che si terrà i authorized_keys, ssh_ecdsa_keye ssh_rsa_keyfile.

sudo mkdir /etc/dropbear/keys/; sudo chmod /etc/dropbear/keys/

Generare i file ssh_ecdsa_keye ssh_rsa_keycon il ssh_keygenprogramma digitando i seguenti comandi di seguito. Premere il Entertasto due volte, per ogni comando, quando viene richiesto di passphrase.

sudo ssh-keygen -t ecdsa -f /etc/dropbear/keys/ssh_ecdsa_key
sudo ssh-keygen -t rsa -f /etc/dropbear/keys/ssh_rsa_key

Cambiare i permessi dei file su ssh_ecdsa_key, ssh_ecdsa_key.pub, ssh_rsa_keye ssh_rsa_key.pubdigitando il comando seguente.

sudo chmod 400 /etc/dropbear/keys/*_key; sudo chmod 444 /etc/dropbear/keys/*.pub

Genera chiavi pubbliche usando il How Do I Generate SSH Keys?tutorial, che si trova all'inizio del tutorial sotto Prerequisites, per il tuo sistema operativo client potenziale.

Copia e incolla tutto il testo della chiave pubblica nel /etc/dropbear/keys/authorized_keysfile utilizzando il nanoprogramma digitando il comando seguente.

sudo nano /etc/dropbear/keys/authorized_keys

Devi prima compilare initramfs e ogni successivo aggiornamento della configurazione di dracut-crypt-ssh. Digitare il comando seguente di seguito per la build iniziale di initramfs.

sudo dracut -f

Una volta completato, l'installazione di CentOS 7 è impostata per ascoltare la connessione del client SSH e consentire di sbloccare la partizione LUKS utilizzando la passphrase. Ora puoi riavviare l'istanza di CentOS 7 digitando il comando seguente.

sudo reboot

Sui sistemi client, consultare le sezioni 3.3. Unlocking the volumes interactivelye 3.4. Unlocking using thesbloccare commandla pagina GitHub Dracut-Crypt-SSH per forzare un prompt passphrase o utilizzare il unlockcomando per aprire la partizione LUKS dal client SSH.