forum.lissyara.su

Исаев писал(а):ДВС.
FreeBsd 10.1
Собрал ядро с

Код: Выделить всё

options	GEOM_ELI
device	crypto

Система стоит на обычных, только своп зашифрован и дополнительный раздел.

Проблема: при старте системы проситЪ ввести пассфразу. Я так понимаю, что GELI автоматом аттачит gpt/schtirlitc
А мне не надо, чтобы шифрованый раздел автоматом монтировался (в fstab его не прописывал). - Для старта системы он не нужен.
Как сделать чтобы автоаттача нужного раздела не было? Пересобрать ядро без "options GEOM_ELI" не подходит (там ещё своп зашифрован). Не могу найти, где ковырять...

По умолчанию GELI не должна монтировать провайдер. в rc.conf прописывали что либо?

 # cat /boot/loader.conf
geom_eli_load="NO"
root@crypto:~ # 
root@crypto:~ # cat /etc/fstab
# Device        Mountpoint      FStype  Options Dump    Pass#
/dev/da0p2.eli  none            swap    sw      0       0
/dev/da0p3      /               ufs     rw      1       1
root@crypto:~ #

Aug 20 18:31:40 crypto kernel: cd0: Attempt to query device size failed: NOT READY, Medium not present
Aug 20 18:31:40 crypto kernel: Timecounter "TSC" frequency 1866710000 Hz quality 1000
В этом месте был ввод пассфразы если ядро собрано с gali
Aug 20 18:31:40 crypto kernel: Trying to mount root from ufs:/dev/da0p3 [rw]...
Aug 20 18:31:40 crypto kernel: cryptosoft0: <software crypto> on motherboard
А вот автоматом инит и аттач свопа:
Aug 20 18:31:40 crypto kernel: GEOM_ELI: Device da0p2.eli created.
Aug 20 18:31:40 crypto kernel: GEOM_ELI: Encryption: AES-XTS 128
Aug 20 18:31:40 crypto kernel: GEOM_ELI:     Crypto: software
Aug 20 18:31:40 crypto kernel: uhid0: <VMware> on usbus0
Aug 20 18:31:40 crypto kernel: uhid1: <VMware> on usbus0

Для удобства использования подсистемы geli в комплект базовой системы FreeBSD входит стартовый скрипт, работой которого можно управлять из rc.conf(5):

geli_devices="da2"
geli_da2_flags="-p -k /root/da2.key"
При этом дисковый раздел /dev/da2 будет сконфигурирован как провайдер geli, связан с ключевым файлом /root/da2.key, а кодовая фраза не будет использоваться (отметим, что это возможно только в том случае, если при инициализации geli init был указан ключ -P). Шифрованный провайдер geli будет отсоединен перед выключением системы.

Процедура при использовании geli(8) для шифрования раздела подкачки сходна с использованием gbde(8). В строку файла /etc/fstab, описывающую раздел подкачки, нужно добавить суффикс .eli:

# Device Mountpoint FStype Options Dump Pass#
/dev/ad0s1b.eli none swap sw 0 0
По умолчанию, geli(8) использует алгоритм криптования AES с длиной ключа 256 бит.

При необходимости эти параметры могут быть изменены в опции geli_swap_flags файла конфигурации /etc/rc.conf. Приведенная ниже строка указывает, что скрипт rc.d encswap должен использовать для криптования алгоритм Blowfish с ключом длиной 128 бит, размером сектора 4 килобайта и включенной опцией <<отсоединиться при последнем закрытии>>:

geli_swap_flags="-e blowfish -l 128 -s 4096 -d"
За списком возможных опций обращайтесь к описанию команды onetime в странице справочника geli(8).

Если бы Вы внимательно прочли первый пост(или хотя бы название темы), то обнаружили бы, что задача как раз в обратном: чтобы автоматически не монтировался и (главное!) не аттачился.

Специально для Вас поясняю (если это неочевидно из первого поста и дальнейшего обсуждения):
ключевой файл не используется, используется только пассфраза - поскольку нет физического доступа к серверу. Следует понимать так, что сервер находится во владении третьих лиц, которым я не доверяю. Соответственно, аттачь и монтирование шифрованного раздела должно происходить только после того как я войду по SSH и исполню соответствующие команды ручками (ну, или скрипт запущу).
Приведённые Вами выдержки из манов я читал, в часности, это очевидно из листинга моего fstab.

Есть подозрение что маны от предыдущей версии geli, поскольку наличиствует поведение, не описанное в оных...

undefined писал(а): ps: под "провайдер монтировался" Вы понимаете "geli attach"?

undefined писал(а): А как у Вас подключается geli?
В ядре, в loader.conf?

undefined писал(а): дефолтовый стартовый сценарий" -
нашёл упоминания geli в rc.subdir, но насколько я понял, там уже идёт работа с fstab.