Instale e configure o CentOS 7 para desbloquear remotamente o LVM na criptografia de disco LUKS usando SSH

• Pré-requisitos
• Etapa 1: Configuração do ambiente
• Etapa 2: Iniciar o instalador do modo de texto do CentOS 7
• Etapa 3: Configurar o LVM na criptografia de disco completo do LUKS
• Etapa 4: Iniciar o instalador do modo GUI do CentOS 7
• Etapa 5: Atualizar o sistema
• Etapa 6: Instale o Dracut-Crypt-SSH

O LUKS (Linux Unified Key Setup) é um dos vários formatos de criptografia de disco disponíveis para Linux, independente da plataforma. Este tutorial fornecerá partições raiz e swap dentro de um volume LVM (Linux Volume Manager) contido em uma partição LUKS criptografada. Este tutorial também permite desbloquear a partição LUKS remotamente usando um daemon de servidor SSH simplificado usando qualquer programa cliente SSH compatível.

Pré-requisitos

• Uma instância do servidor de Biblioteca ISO mínima do CentOS 7 x64.
• Um usuário sudo .
• Chaves públicas SSH .
• Dracut-Crypt-SSH .

Etapa 1: Configuração do ambiente

Na página Implantar Servidores , faça o seguinte:

• Escolha a localização do servidor na Server Locationseção.
• Escolha CentOS7na ISO Libraryguia da Server Typeseção.
• Escolha as especificações de hardware necessárias na Server Sizeseção.
• Clique no Deploy Nowbotão

Use a View Consoleopção para acessar a instância do VPS por meio do console noVNC.

Etapa 2: Iniciar o instalador do modo de texto do CentOS 7

Selecione a Install CentOS Linux 7opção

Pressione a Tabtecla

Digite textdepois vmlinuz initrd=initrd.img inst.stage2=hd:LABEL=CentOS\x207\x20\86_64 quietpara que fique assim vmlinuz initrd=initrd.img inst.stage2=hd:LABEL=CentOS\x207\x20\86_64 quiet texte pressione a Entertecla

O VPS agora será inicializado no instalador do CentOS no modo de texto. Você verá uma tela no console noVNC, como mostrado na imagem abaixo.

Etapa 3: Configurar o LVM na criptografia de disco completo do LUKS

Use a Alt + Right Arrow Keycombinação para navegar para o console TTY2 e digitar comandos na linha de comandos.

Digite os seguintes comandos abaixo para criar uma partição para conter o carregador de inicialização GRUB2, uma /bootpartição não criptografada e uma partição primária que manterá a partição LUKS.

parted -a opt -s /dev/vda mklabel gpt
parted -s /dev/vda unit mb
parted -s /dev/vda mkpart primary 1 3
parted -s /dev/vda name 1 grub
parted -s /dev/vda set 1 bios_grub on
parted -s /dev/vda mkpart primary 3 259
parted -s /dev/vda name 2 boot
parted -s /dev/vda mkpart primary 259 100%
parted -s /dev/vda name 3 root

Digite o seguinte comando para exibir o layout da partição.

parted -s /dev/vda print

Em seguida, preencha a rootfspartição nomeada com dados pseudo-aleatórios. Isso levará um pouco mais de meia hora para ser concluído.

dd if=/dev/urandom of=/dev/vda3 bs=1M status=progress

No CentOS 7, os cryptsetupcomandos usam a cifra padrão de aes-xts-plain64, o tamanho da chave padrão de 256 bits e o hash padrão de SHA1. Em vez disso, a partição LUKS será criada com a cifra Serpent mais segura, com um tamanho de chave de 512 bits e com o hash Whirlpool.

cryptsetup luksFormat /dev/vda3 -c serpent-xts-plain64 -h whirlpool -s 512

Insira as respostas, quando solicitado, com as seguintes consultas e pressione a Entertecla:

• Você tem certeza? (Digite maiúsculas sim):YES
• Digite a senha: strong-password
• Verifique a senha: strong-password

Opcional: Faça backup do cabeçalho da partição LUKS

Aviso Isso permitirá o login raiz e a cópia sem uma solicitação de senha. Mate este servidor SSH depois de recuperar o /tmp/luks-header-backup.imgarquivo.

Por segurança, salve uma cópia do cabeçalho da partição LUKS. Isso garante que, se o cabeçalho da sua partição LUKS estiver danificado, ele poderá ser restaurado. Se o cabeçalho estiver danificado sem um backup ativo, seus dados serão perdidos para sempre.

cryptsetup luksHeaderBackup /dev/vda3 --header-backup-file /tmp/luks-header-backup.img

Para copiar o /tmp/luks-header-backup.imgarquivo do servidor, um servidor SSH deve ser temporariamente iniciado, usando a cópia segura executável scpem um host do cliente, para recuperá-lo.

Digite o seguinte comando abaixo para gerar as chaves do host SSH.

sshd-keygen

Digite o seguinte comando abaixo para criar o /etc/ssh/sshd_configarquivo.

cp /etc/ssh/sshd_config.anaconda /etc/ssh/sshd_config

Digite o seguinte comando abaixo para editar o /etc/ssh/sshd_configarquivo.

vi /etc/ssh/sshd_config

Para editar o arquivo, pressione a Inserttecla e use as teclas de seta para navegar pelas seções do arquivo que precisam ser editadas.

Na linha um, altere o número Port 22do padrão de 22para um número aleatório de sua escolha entre 1025e 65535. (Exemplo: porta 25782)

Role para baixo até a linha número treze, pressione a Endtecla e pressione a Entertecla.

Na próxima linha, adicione HostKey /etc/ssh/ssh_host_ed25519_keye pressione a Entertecla

Na próxima linha, adicione HostKey /etc/ssh/ssh_host_rsa_keye pressione a Entertecla

Pressione a Esctecla, digite :wqe pressione a Entertecla para salvar o arquivo.

A interface de rede padrão eth0precisa de um endereço IP. Digite o seguinte comando abaixo para atribuir o endereço IP listado para sua instância à eth0interface de rede.

dhclient

Digite o seguinte comando para exibir o endereço IP atribuído. O endereço IP será listado imediatamente inetantes e antes netmask. (Exemplo: 192.0.2.1máscara de rede inet )

ifconfig eth0

Digite o seguinte comando para iniciar o servidor SSH.

/usr/sbin/sshd

Se estiver usando o scpcomando em uma linha de comando em uma máquina cliente, use o seguinte comando abaixo como modelo para recuperar o /tmp/luks-header-backup.imgarquivo. Substitua 25782pelo número da porta real atribuído no /etc/ssh/sshd_config. Substitua 192.0.2.1pelo endereço IP real atribuído.

scp -P 25782 [email protected]:/tmp/luks-header-backup.img .

Após a recuperação do luks-header-backup.imgarquivo, mate imediatamente o servidor SSH digitando o comando abaixo na janela do console noVNC.

killall sshd

Abra a partição LUKS para configurar o volume físico do LVM que residirá dentro.

cryptsetup luksOpen /dev/vda3 centos

Digite a senha criada anteriormente para abrir a partição LUKS quando solicitado e pressione a Entertecla.

Digite a senha para /dev/vda3:strong-password

Digite o seguinte comando abaixo:

ls /dev/mapper

Ele irá conter os seguintes arquivos nomeados centos, control, live-basee live-rw. A centosé a partição LUKS.

Digite o seguinte comando abaixo para criar o volume físico do LVM.

pvcreate /dev/mapper/centos

Quando for bem-sucedido, você receberá a seguinte mensagem:

Physical volume "/dev/mapper/centos" successfully created

Digite o seguinte comando abaixo para criar o grupo de volumes LVM.

vgcreate ssd /dev/mapper/centos

Quando for bem-sucedido, você receberá a seguinte mensagem:

Volume group "ssd" successfully created

Digite o seguinte comando abaixo para criar um volume lógico LVM para uma partição de troca. Use o bom senso para criar uma partição de troca, do tamanho necessário (-L = tamanho do volume), com base na sua instância do VPS.

lvcreate -L 1G -n swap ssd

Quando for bem-sucedido, você receberá a seguinte mensagem:

Logical volume "swap" created

Digite o seguinte comando abaixo para criar um volume lógico LVM para a partição raiz. Isso usará o espaço livre restante, reservando 5% (5%) para conter capturas instantâneas LVM de seus volumes lógicos, se você escolher.

lvcreate -l 95%FREE -n root ssd

Quando for bem-sucedido, você receberá a seguinte mensagem:

Logical volume "root" created

Exiba o volume físico do LVM.

pvdisplay

Você verá um texto no console noVNC semelhante ao mostrado na imagem abaixo.

Exiba o grupo de volumes LVM.

vgdisplay

Você verá um texto no console noVNC semelhante ao mostrado na imagem abaixo.

Exiba os volumes lógicos do LVM.

lvdisplay

Você verá um texto no console noVNC semelhante ao mostrado na imagem abaixo.

Digite o seguinte comando abaixo para desativar o grupo de volumes LVM. Isso deve ser concluído para permitir cryptsetupfechar a partição LUKS na próxima etapa.

vgchange -a n

Quando for bem-sucedido, você receberá a seguinte mensagem:

0 logical volume(s) in volume group "ssd" now active

Feche o volume LUKS.

cryptsetup luksClose centos

Digite o seguinte comando abaixo:

ls /dev/mapper

Ele conterá os seguintes arquivos nomeados control, live-basee live-rw. O centosarquivo, contendo a partição LUKS, estará ausente para garantir que foi fechado corretamente.

Digite reboote pressione a Entertecla para reiniciar.

Etapa 4: Iniciar o instalador do modo GUI do CentOS 7

Selecione a Install CentOS Linux 7opção e pressione a Entertecla

O VPS agora será inicializado no instalador do CentOS no modo GUI. Você verá uma tela no console noVNC, como mostrado na imagem abaixo. Selecione Install CentOS 7(1) e pressione a Entertecla

Na WELCOME TO CENTOS 7tela, clique no Continuebotão azul (1).

Atenção Se você não estiver usando o idioma padrão do inglês e a localidade dos Estados Unidos, insira seu idioma na barra de pesquisa (1). Clique no idioma (2) e no local apropriado (3) associado a ele. Quando estiver satisfeito, clique no Continuebotão azul (4).

Na INSTALLATION SUMMARYtela, clique em INSTALLATION DESTINATION (Automatic partitioning selected)(1) em SYSTEM.

Na INSTALLATION DESTINATIONtela, selecione a I will configure partitioningopção (1) abaixo Other Storage Options (Partitioning)e clique no Donebotão azul (2) na parte superior esquerda da tela.

Na MANUAL PARTITIONINGtela, clique no Unknownacordeão expansível (1). Ele irá revelar três partições nomeadas BIOS Boot (vda1), Unknown (vda2)e Encrypted (LUKS) (vda3).

Com a BIOS Bootpartição destacada em azul (1), marque a opção de Reformat(2) ao lado do File System:acordeão e clique no Update Settingsbotão (3).

Clique na Unknownpartição (1) para que fique destacada em azul. Marque a opção da caixa de seleção Reformat(2) ao lado do File System:acordeão. Selecione ext2no File System:acordeão (3), digite /booto campo de texto (4) abaixo Mount Point:, digite booto campo de texto (5) abaixo Label:e clique no Update Settingsbotão (6).

Clique na Encrypted (LUKS)partição (1) para que fique destacada em azul. Digite a senha que você criou para partição LUKS no Step 3: Setup LVM On LUKS Full Disk Encryptionno Passphrase:campo de texto (2) e clique no Unlockbotão (3).

Um novo Unknownacordeão expansível (1) será exibido. Ele irá revelar duas partições nomeadas Unknown (ssd-root)e Unknown (ssd-swap).

Com a Unknown (ssd-root)partição (1) destacada em azul, marque a opção de Reformat(2) ao lado do File System:acordeão. Selecione xfsno File System:acordeão (3), digite /o campo de texto (4) abaixo Mount Point:, digite rooto campo de texto (5) abaixo Label:e clique no Update Settingsbotão (6).

Clique na Unknown (ssd-swap)partição (1) para que fique destacada em azul. Marque a opção da caixa de seleção Reformat(2) ao lado do File System:acordeão. Selecione swapno File System:acordeão (3), digite swapo campo de texto (4) abaixo Label:e clique no Update Settingsbotão (5).

Clique no Donebotão azul (1) na parte superior esquerda da tela.

Uma caixa chamada SUMMARY OF CHANGESserá exibida . Clique no Accept Changesbotão (1). Isso o levará de volta à WELCOME TO CENTOS 7tela.

Clique em NETWORK & HOST NAME (Not connected)(1) abaixo SYSTEM.

Na NETWORK & HOST NAMEtela, mova o controle deslizante (1), próximo ao lado direito do Ethernet(eth0)campo, da OFFposição para a ONposição. Se você deseja usar um nome de host personalizado em vez do padrão (192.0.2.1.vultr.com) na Host name:caixa de texto (2), altere-o. Clique no Donebotão azul (3) na parte superior esquerda da tela. Isso o levará de volta à WELCOME TO CENTOS 7tela.

Quando estiver satisfeito com as opções na WELCOME TO CENTOS 7tela, clique no Begin Installationbotão azul (1).

Na CONFIGURATIONtela, clique em ROOT PASSWORD (Root password is not set)(1) em USER SETTINGS.

Na ROOT PASSWORDtela, digite uma senha forte nos campos de texto Root Password:(1) e Confirm:(2). Clique no Donebotão azul (3) na parte superior esquerda da tela. Isso o levará de volta à CONFIGURATIONtela.

Na CONFIGURATIONtela, clique em USER CREATION (No user will be created)(1) em USER SETTINGS.

Na CREATE USERtela, digite seu nome completo no Full namecampo de texto (1), um nome de usuário no User namecampo de texto (2), uma senha forte nos campos de texto Password(3) e Confirm password(4). Clique no Advanced...botão (5).

Uma caixa chamada ADVANCED USER CONFIGURATIONserá exibida . No Add user to the following groups:campo de texto (1) abaixo Group Membership, insira wheele clique no Save Changesbotão (2).

Clique no Donebotão azul (1) na parte superior esquerda da tela.

O processo de pós-instalação começará agora. Levará alguns minutos para concluir. Quando terminar, clique no Rebootbotão azul (1) para reiniciar sua instância do VPS.

Volte para a tela de gerenciamento do servidor VULTR . Clique no Settingslink na parte superior. Clique no Custom ISOmenu no lado esquerdo. Na Custom ISOpágina, clique no Remove ISObotão para desmontar o ISO e reiniciar na sua instância do CentOS 7 VPS. Clique no OKbotão quando solicitado e a instância do VPS será reiniciada.

Volte para a View Consolejanela para acessar a instância do VPS por meio do console noVNC. Atualize a janela se o noVNC for desconectado.

Você será solicitado a digitar a senha (Exemplo Please enter passphrase for disk primary (luks-xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx)!::) criada para a partição LUKS Step 3: Setup LVM On LUKS Full Disk Encryption. Digite a senha e pressione a Entertecla

Você receberá o prompt de login do console. Agora você pode fechar a janela do console noVNC.

Etapa 5: Atualizar o sistema

Efetue login via SSH com um usuário comum e atualize o sistema da seguinte maneira.

sudo yum install epel-release -y
sudo yum clean all && sudo yum update -y

Etapa 6: Instale o Dracut-Crypt-SSH

Enquanto ainda estiver conectado como usuário comum, digite os seguintes comandos abaixo para instalar dracut-crypt-ssh.

sudo yum install wget -y
sudo wget -O /etc/yum.repos.d/rbu-dracut-crypt-ssh-epel-7.repo https://copr.fedorainfracloud.org/coprs/rbu/dracut-crypt-ssh/repo/epel-7/rbu-dracut-crypt-ssh-epel-7.repo
sudo yum install dracut-crypt-ssh -y

Digite o seguinte comando abaixo para instalar o nanoeditor para facilitar a edição de arquivos.

sudo yum install nano -y

Você precisará editar o arquivo grub padrão localizado em /etc/default/grub.

sudo nano /etc/default/grub

Inserir rd.neednet=1 ip=dhcpentre GRUB_CMDLINE_LINUX="crashkernel=autoe rd.luks.uuid=luks-xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx.

Salve o arquivo digitando as seguintes combinações de teclado. Pressione as teclas Ctrl+ x, pressione a ytecla e pressione a Entertecla

Regenere seu arquivo de configuração do GRUB, digite o comando abaixo.

sudo grub2-mkconfig -o /etc/grub2.cfg 

Faça backup do original /etc/dracut.conf.d/crypt-ssh.confdigitando o seguinte comando abaixo.

sudo mv /etc/dracut.conf.d/crypt-ssh.conf /etc/dracut.conf.d/crypt-ssh.conf.orig

Crie um novo /etc/dracut.conf.d/crypt-ssh.confarquivo digitando o seguinte comando abaixo.

sudo nano /etc/dracut.conf.d/crypt-ssh.conf

Copie e cole o seguinte texto abaixo no nanoeditor.

dropbear_acl="/etc/dropbear/keys/authorized_keys"
dropbear_ecdsa_key="/etc/dropbear/keys/ssh_ecdsa_key"
dropbear_rsa_key="/etc/dropbear/keys/ssh_rsa_key"

Crie o diretório keyssob /etc/dropbear/, com as permissões de diretório necessárias, que deterá as authorized_keys, ssh_ecdsa_keye ssh_rsa_keyarquivos.

sudo mkdir /etc/dropbear/keys/; sudo chmod /etc/dropbear/keys/

Gere os arquivos ssh_ecdsa_keye ssh_rsa_keycom o ssh_keygenprograma digitando os seguintes comandos abaixo. Pressione a Entertecla duas vezes, para cada comando, quando solicitadas frases secretas.

sudo ssh-keygen -t ecdsa -f /etc/dropbear/keys/ssh_ecdsa_key
sudo ssh-keygen -t rsa -f /etc/dropbear/keys/ssh_rsa_key

Alterar as permissões de arquivo em ssh_ecdsa_key, ssh_ecdsa_key.pub, ssh_rsa_keye ssh_rsa_key.pubdigitando o comando a seguir.

sudo chmod 400 /etc/dropbear/keys/*_key; sudo chmod 444 /etc/dropbear/keys/*.pub

Gere chaves públicas usando o How Do I Generate SSH Keys?tutorial, encontrado no início do tutorial em Prerequisites, para o seu sistema operacional cliente em potencial.

Copie e cole todo o texto da chave pública no /etc/dropbear/keys/authorized_keysarquivo usando o nanoprograma digitando o comando abaixo.

sudo nano /etc/dropbear/keys/authorized_keys

Você deve primeiro construir o initramfs e qualquer atualização subsequente da configuração dracut-crypt-ssh. Digite o seguinte comando abaixo para a construção inicial do initramfs.

sudo dracut -f

Depois de concluída, sua instalação do CentOS 7 é configurada para escutar seu cliente SSH se conectar e permitir que você desbloqueie a partição LUKS usando sua senha. Agora você pode reiniciar sua instância do CentOS 7 digitando o comando abaixo.

sudo reboot

Nos sistemas do cliente, consulte as seções 3.3. Unlocking the volumes interactivelye 3.4. Unlocking using thedesbloqueie commanda página do GitHub do Dracut-Crypt-SSH para forçar um prompt de senha ou usar o unlockcomando para abrir a partição LUKS do cliente SSH.