LINUX.ORG.RU

Сообщения ribas160

 

Расшифровка luks без пароля при запуске системы

Форум — Admin

Всем привет!

Я установил Debian 12 и зашифровал на нем root раздел и swap. И я хотел сделать так, чтобы при запуске системы на моем компьютере диски расшифровывались автоматически (как BitLocker в Windows).

Я сгенерировал ключи, привязал их к дискам, добавил их в файл /etc/crypttab.

Но при таком подходе система не загружалась, а вылетала в консоль initramfs где приходилось вручную разблокировать разделы. В итоге, когда я убрал расшифровку по ключу у root раздела, то система начала запускаться и запрашивать пароль только к root, а swap разблокировать по ключу. И, как я понимаю, до этого были проблемы из-за того, что root раздел расшифровывался по ключу, который лежал на зашифрованном root разделе.

Подскажите, пожалуйста, есть ли способ реализовать расшифровку всех разделов автоматически при загрузке системы?

Я предполагаю, что это можно огранизовать при помощи флешки, но тем не менее.

Может их можно как-то привязать к айди материнки, чтобы только на ней расшифровывались?

Да и вообще, что думаете об этом?

 ,

ribas160
()

Debian 12 проблемы с настройкой Wi-Fi модуля Realtek RTL8821CE

Форум — Admin

Всем привет!

Поставил на ноутбук Debian 12, во время установки подключился к Wi-Fi и даже после установки Wi-Fi работает.

ifconfig показывает что все ок

enp1s0: flags=4099<UP,BROADCAST,MULTICAST>  mtu 1500
        ether 04:bf:1b:78:bc:c8  txqueuelen 1000  (Ethernet)
        RX packets 0  bytes 0 (0.0 B)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 0  bytes 0 (0.0 B)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0
        inet6 ::1  prefixlen 128  scopeid 0x10<host>
        loop  txqueuelen 1000  (Local Loopback)
        RX packets 0  bytes 0 (0.0 B)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 0  bytes 0 (0.0 B)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

wlp2s0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.1.42  netmask 255.255.255.0  broadcast 192.168.1.255
        inet6 fe80::ce5e:f8ff:fef7:bdff  prefixlen 64  scopeid 0x20<link>
        inet6 2a00:a041:2619:4900:ce5e:f8ff:fef7:bdff  prefixlen 64  scopeid 0x0<global>
        ether cc:5e:f8:f7:bd:ff  txqueuelen 1000  (Ethernet)
        RX packets 1810  bytes 1379536 (1.3 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 369  bytes 86814 (84.7 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

Однако, когда я поставил network-manager, то обнаружилось что он не видит Wi-Fi модуль. В nmtui wireless подключения вообще нет, в консоли пишет вот такое

lo: connected (externally) to lo
        "lo"
        loopback (unknown), 00:00:00:00:00:00, sw, mtu 65536
        inet4 127.0.0.1/8
        inet6 ::1/128

enp1s0: unavailable
        "Realtek RTL8111/8168/8411"
        ethernet (r8169), 04:BF:1B:78:BC:C8, hw, mtu 1500

wlp2s0: unmanaged
        "Realtek RTL8821CE"
        wifi (rtw_8821ce), CC:5E:F8:F7:BD:FF, hw, mtu 1500

Думал что проблема в драйвере, поставил его по этому гайду, на всякий случай отключил Secure Boot, но не помогло.

Можете подсказать, в чем может быть проблема?

 , , , ,

ribas160
()

Debian 12 и Windows 11 dual boot с secure boot

Форум — Linux-install

Установка Debian на один диск с Windows 11 и поддержкой Secure Boot

Всем привет! Купил ноутбук для того чтобы установить на него Windows и Linux. С установкой Windows 11 все прошло гладко, однако когда ставил Linux (изначально пробовал с Arch) столкнулся с такой вещью как Secure Boot (до этого были более старые модели ноутов). После установки обнаружилась такая особенность, что GRUB и сам Arch запускается только если Secure Boot выключен, однако Windows в таком режиме запускать отказывается (требует ключ для BitLocker). Я решил что проблему можно исправить, добавив файлы загрузчика Arch в базу Secure Boot, однако сделать это у меня не получилось, да еще и Windows перестал запускаться в любом виде, исправило только его переустановка. Так же я прочитал что играться с Secure Boot нужно очень аккуратно т.к. можно вообще закирпичить свой компьютер.

Сейчас собираюсь попробовать поставить Debian 12, т.к. не плохо знаком с этим дистро, так еще в документации прочитал что в него встроена поддержка Secure Boot. Но вопрос вот такой: не перезапишет ли он ключи в базе Secure Boot необходимые для корректной работы Windows, и вообще, какие основные шаги необходимы для того чтобы правильно все настроить или система все сделает автоматически, или придется довольствоваться вкл/выкл Secure Boot для запуска разных ОС?

 , , , ,

ribas160
()

MITM атака с отечественным TLS сертификатом

Форум — Security

Всем привет!

Вопрос от человека, мало что смыслящего в кибербезопасности.

Я прочитал про то, что после установки нового отечественного TLS сертификата, который используется на сайтах Сбербанка, ГосУслуг и т.д. пользователь подвергает себя риску атаки MITM на весь его трафик.

Собственно, вопрос: каким образом атака может быть проведена на трафик, который не связан с гос. сайтами, например, заходит он на сайт фейсбука, и соединение устанавливается с помощью совершенно другого TLS сертификата, каким образом правительство может получить доступ к такому трафику пользователя? Да и вообще, в чем тогда смысл всей этой канители, если тот же гугл, по этой логике, может встроить в хром свой сертификат и читать абсолютно весь трафик?

 ,

ribas160
()

Не удается подключиться к серверу openvpn

Форум — Admin

Всем привет!

ОС Debian 11 stable.

Не удается подключиться к серверу с openvpn. Раньше все работало но то ли после apt upgrade, то ли по каким-то другим причинам сервер при подключении начал возвращать ошибку:

2022-09-27 15:27:25 147.236.176.238:60331 TLS: Initial packet from [AF_INET]147.236.176.238:60331, sid=e756e487 d97a2ebd
2022-09-27 15:28:25 147.236.176.238:60331 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
2022-09-27 15:28:25 147.236.176.238:60331 TLS Error: TLS handshake failed
2022-09-27 15:28:25 147.236.176.238:60331 SIGUSR1[soft,tls-error] received, client-instance restarting

Конфиг сервера:

port 1194
proto udp
dev tun
ca /etc/openvpn/server/ca.crt
cert /etc/openvpn/server/vpnserver.crt
key /etc/openvpn/server/vpnserver.key
dh /etc/openvpn/server/dh.pem
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1"


push "dhcp-option DNS 10.8.0.1"
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"
duplicate-cn
cipher AES-256-CBC
tls-version-min 1.2
tls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-256-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256
auth SHA512
auth-nocache
keepalive 20 60
persist-key
persist-tun
compress lz4
daemon
user nobody
group nogroup
log-append /var/log/openvpn.log
verb 3
client-to-client
client-config-dir ccd

Конфиг клиента

client
dev tun
proto udp
remote *.*.*.* 1194
cipher AES-256-CBC
auth SHA512
auth-nocache
tls-version-min 1.2
tls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-256-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256
resolv-retry infinite
compress lz4
nobind
persist-key
persist-tun
mute-replay-warnings
verb 3

<ca>
-----BEGIN CERTIFICATE-----
////
-----END CERTIFICATE-----
</ca>

<key>
-----BEGIN PRIVATE KEY-----
////
-----END PRIVATE KEY-----
</key>

<cert>
-----BEGIN CERTIFICATE-----
////
-----END CERTIFICATE-----
</cert>

Настройки iptables -t filter:

Chain INPUT (policy DROP 70679 packets, 3807K bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1       16  1344 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
2        0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 0
3     2898  111K ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 8
4    22525 1348K ACCEPT     tcp  --  ens3   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22 state NEW
5     5486  287K ACCEPT     tcp  --  ens3   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80 state NEW
6    14917  877K ACCEPT     tcp  --  ens3   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:443 state NEW
7       79  4964 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0            udp dpt:53 state NEW
8     6867  288K ACCEPT     udp  --  ens3   *       0.0.0.0/0            0.0.0.0/0            udp dpt:1194 state NEW
9     957K 1133M ACCEPT     all  --  ens3   *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED

Chain FORWARD (policy DROP 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     all  --  tun0   ens3    0.0.0.0/0            0.0.0.0/0           
2        0     0 ACCEPT     all  --  ens3   tun0    0.0.0.0/0            0.0.0.0/0           

Chain OUTPUT (policy DROP 2954 packets, 223K bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1       16  1344 ACCEPT     all  --  *      lo      0.0.0.0/0            0.0.0.0/0           
2     2895  111K ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 0
3        0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 8
4        0     0 ACCEPT     tcp  --  *      ens3    0.0.0.0/0            0.0.0.0/0            tcp dpt:22 state NEW
5       10   600 ACCEPT     tcp  --  *      ens3    0.0.0.0/0            0.0.0.0/0            tcp dpt:80 state NEW
6    24126 1448K ACCEPT     tcp  --  *      ens3    0.0.0.0/0            0.0.0.0/0            tcp dpt:443 state NEW
7    73515 4386K ACCEPT     udp  --  *      ens3    0.0.0.0/0            0.0.0.0/0            udp dpt:53 state NEW
8        0     0 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0            udp spt:53
9     943K  171M ACCEPT     all  --  *      ens3    0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED

iptables -t nat

Chain PREROUTING (policy ACCEPT 121K packets, 6161K bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 52678 packets, 2910K bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 75648 packets, 4577K bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 72832 packets, 4363K bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 MASQUERADE  all  --  *      ens3    10.8.0.0/24          0.0.0.0/0       

В интернете пишут что проблема связана с файерволом, но даже если я выставляю ACCEPT на всех таблицах, то ошибка не пропадает. Использую этот vpn чтобы заходить на mos.ru и другие сервисы, которые доступны только из России. Не может быть такого что они спалили что мой апишник это vpn и блочат каким-то образом?

 ,

ribas160
()

Ошибка при подключении к Dante серверу

Форум — Admin

Всем привет!

Пытаюсь настроить dante-server на тестовом компе. Вроде, он даже работает, но есть проблема с авторизацией. При попытке сделать curl запрос

curl -x socks5://proxy_user_01:$1$mR6o3Kfs$Vo6AjEe4BuWIJgAuZFtWZ1@192.168.1.75 ifconfig.me

выдает ошибку

curl: (7) User was rejected by the SOCKS5 server (1 1).

в логах systemctl пишет это

May 20 22:12:08 debian danted[15125]: pam_pwdfile(sockd:auth): wrong password for user proxy_user_01

вот конфиги, которые я настраивал:

/etc/danted.conf

# $Id: sockd.conf,v 1.52.10.2.2.2 2017/01/31 07:16:25 karls Exp $
#
# A sample danted.conf
#
#
# The config file is divided into three parts;
#    1) server settings
#    2) rules
#    3) routes
#
# The recommended order is:
#   Server settings:
#               logoutput
#               internal
#               external
#               socksmethod
#               clientmethod
#               users
#               compatibility
#               extension
#               timeout
#               srchost
#
#  Rules:
#        client block/pass
#                from to
#                libwrap
#                log
#
#     block/pass
#                from to
#                socksmethod
#                command
#                libwrap
#                log
#                protocol
#                proxyprotocol
#
#  Routes:

# the server will log both via syslog, to stdout and to /var/log/sockd.log
#logoutput: syslog stdout /var/log/sockd.log
#logoutput: stderr
logoutput: /var/log/sockd.log

# The server will bind to the address 10.1.1.1, port 1080 and will only
# accept connections going to that address.
#internal: 10.1.1.1 port = 1080
# Alternatively, the interface name can be used instead of the address.
internal: enp7s0 port = 1080

# all outgoing connections from the server will use the IP address
# 195.168.1.1
#external: 192.168.1.1
external: enp7s0

# list over acceptable authentication methods, order of preference.
# An authentication method not set here will never be selected.
#
# If the socksmethod field is not set in a rule, the global
# socksmethod is filled in for that rule.
#

# methods for socks-rules.
#socksmethod: username none #rfc931

# methods for client-rules.
#clientmethod: none

#or if you want to allow rfc931 (ident) too
#socksmethod: username rfc931 none

#or for PAM authentication
socksmethod: pam.username

#
# User identities, an important section.
#

# when doing something that can require privilege, it will use the
# userid:
user.privileged: proxy

# when running as usual, it will use the unprivileged userid of:
user.unprivileged: nobody

# If you are not using libwrap, no need for the below line, so leave
# it commented.
# If you compiled with libwrap support, what userid should it use
# when executing your libwrap commands?  "libwrap".
#user.libwrap: libwrap
user.libwrap: nobody


#
# Some options to help clients with compatibility:
#

# when a client connection comes in the socks server will try to use
# the same port as the client is using, when the socks server
# goes out on the clients behalf (external: IP address).
# If this option is set, Dante will try to do it for reserved ports as well.
# This will usually require user.privileged to be set to "root".
#compatibility: sameport

# If you are using the Inferno Nettverk bind extension and have trouble
# running servers via the server, you might try setting this.
#compatibility: reuseaddr

#
# The Dante server supports some extensions to the socks protocol.
# These require that the socks client implements the same extension and
# can be enabled using the "extension" keyword.
#
# enable the bind extension.
#extension: bind


#
# Misc options.
#

# how many seconds can pass from when a client connects till it has
# sent us its request?  Adjust according to your network performance
# and methods supported.
#timeout.negotiate: 30   # on a lan, this should be enough.

# how many seconds can the client and its peer idle without sending
# any data before we dump it?  Unless you disable tcp keep-alive for
# some reason, it's probably best to set this to 0, which is
# "forever".
#timeout.io: 0 # or perhaps 86400, for a day.

# do you want to accept connections from addresses without
# dns info?  what about addresses having a mismatch in dns info?
#srchost: nodnsunknown nodnsmismatch

#
# The actual rules.  There are two kinds and they work at different levels.
#
# The rules prefixed with "client" are checked first and say who is allowed
# and who is not allowed to speak/connect to the server.  I.e the
# ip range containing possibly valid clients.
# It is especially important that these only use IP addresses, not hostnames,
# for security reasons.
#
# The rules that do not have a "client" prefix are checked later, when the
# client has sent its request and are used to evaluate the actual
# request.
#
# The "to:" in the "client" context gives the address the connection
# is accepted on, i.e the address the socks server is listening on, or
# just "0.0.0.0/0" for any address the server is listening on.
#
# The "to:" in the non-"client" context gives the destination of the clients
# socks request.
#
# "from:" is the source address in both contexts.
#


#
# The "client" rules.  All our clients come from the net 10.0.0.0/8.
#

# Allow our clients, also provides an example of the port range command.
#client pass {
#        from: 10.0.0.0/8 port 1-65535 to: 0.0.0.0/0
#        clientmethod: rfc931 # match all idented users that also are in passwordfile
#}

# This is identical to above, but allows clients without a rfc931 (ident)
# too.  In practice this means the socks server will try to get a rfc931
# reply first (the above rule), if that fails, it tries this rule.
#client pass {
#        from: 10.0.0.0/8 port 1-65535 to: 0.0.0.0/0
#}

client pass {
	from: 0.0.0.0/0 to: 0.0.0.0/0
	log: connect disconnect error
    	pam.servicename: sockd
}


# drop everyone else as soon as we can and log the connect, they are not
# on our net and have no business connecting to us.  This is the default
# but if you give the rule yourself, you can specify details.
#client block {
#        from: 0.0.0.0/0 to: 0.0.0.0/0
#        log: connect error
#}


# the rules controlling what clients are allowed what requests
#

# you probably don't want people connecting to loopback addresses,
# who knows what could happen then.
#socks block {
#        from: 0.0.0.0/0 to: lo0
#        log: connect error
#}

# the people at the 172.16.0.0/12 are bad, no one should talk to them.
# log the connect request and also provide an example on how to
# interact with libwrap.
#socks block {
#        from: 0.0.0.0/0 to: 172.16.0.0/12
#        libwrap: spawn finger @%a
#        log: connect error
#}

# unless you need it, you could block any bind requests.
#socks block {
#        from: 0.0.0.0/0 to: 0.0.0.0/0
#        command: bind
#        log: connect error
#}

# or you might want to allow it, for instance "active" ftp uses it.
# Note that a "bindreply" command must also be allowed, it
# should usually by from "0.0.0.0/0", i.e if a client of yours
# has permission to bind, it will also have permission to accept
# the reply from anywhere.
#socks pass {
#        from: 10.0.0.0/8 to: 0.0.0.0/0
#        command: bind
#        log: connect error
#}

# some connections expect some sort of "reply", this might be
# the reply to a bind request or it may be the reply to a
# udppacket, since udp is packet based.
# Note that nothing is done to verify that it's a "genuine" reply,
# that is in general not possible anyway.  The below will allow
# all "replies" in to your clients at the 10.0.0.0/8 net.
#socks pass {
#        from: 0.0.0.0/0 to: 10.0.0.0/8
#        command: bindreply udpreply
#        log: connect error
#}


# pass any http connects to the example.com domain if they
# authenticate with username.
# This matches "example.com" itself and everything ending in ".example.com".
#socks pass {
#        from: 10.0.0.0/8 to: .example.com port = http
#        log: connect error
#        clientmethod: username
#}


# block any other http connects to the example.com domain.
#socks block {
#        from: 0.0.0.0/0 to: .example.com port = http
#        log: connect error
#}

# everyone from our internal network, 10.0.0.0/8 is allowed to use
# tcp and udp for everything else.
#socks pass {
#        from: 10.0.0.0/8 to: 0.0.0.0/0
#        protocol: tcp udp
#}

socks pass {
	from: 0.0.0.0/0 to: 0.0.0.0/0
	log: connect disconnect error
}


# last line, block everyone else.  This is the default but if you provide
# one  yourself you can specify your own logging/actions
#socks block {
#        from: 0.0.0.0/0 to: 0.0.0.0/0
#        log: connect error
#}

# route all http connects via an upstream socks server, aka "server-chaining".
#route {
# from: 10.0.0.0/8 to: 0.0.0.0/0 port = http via: socks.example.net port = socks
#}

/etc/pam.d/sockd

auth required pam_pwdfile.so pwdfile /etc/danted.passwd
account required pam_permit.so

/etc/danted.passwd

proxy_user_01:$1$mR6o3Kfs$Vo6AjEe4BuWIJgAuZFtWZ1

Может быть кто-нибудь сможет подсказать, в чем может быть проблема?

 , ,

ribas160
()

Raspberry pi 4 не загружается с подключенным HDD

Форум — Admin

Привет всем!

Есть Raspberry Pi 4, установлена Raspberry Pi OS Lite.

Проблема: малинка не загружается в случае, если к ней подключен жесткий диск. Если его отключить, то все ок.

Если подключить его после загрузки Raspberry Pi, то он определяется, монтируется и функционирует нормально. Но, сама идея в том, чтобы в случае внеплановой перезагрузки диск подмонтировался автоматически.

P.S. при подключении диска выскакивает предупреждение: «Under-voltage detected! (0x00050005)»

 , ,

ribas160
()

Домены в openvpn

Форум — Admin

Всем привет!

Настраиваю nextcloud на raspberry pi. Хочу его использовать только внутри сети своего openvpn сервера. Подключил малинку к своему серверу, на котором установлен openvpn. Задал ей статичный ip. Теперь хочу прописать ей домен, например, nextcloud.home. Чтобы любой клиент, подключенный к этому vpn серверу, мог открывать админку nextcloud в своем браузере по пути http://nextcloud.home. Пробовал просто прописать в /etc/hosts/, но не помогло. Подскажите, плз, как это можно настроить?

 , ,

ribas160
()

OpenVPN TLS key negotiation failed

Форум — Admin

Здравствуйте!

Проблема с OpenVPN, не удается подключиться, выдает ошибку TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)

Команда nc -z -v -u {ip} 1194 выдает Connection to {ip} 1194 port [udp/openvpn] succeeded!

В /etc/default/ufw поставил DEFAULT_FORWARD_POLICY="ACCEPT"

В /etc/ufw/before.rules добавил

# START OPENVPN RULES
# NAT table rules
*nat
:POSTROUTING ACCEPT [0:0]
# Allow traffic from OpenVPN client to ens3
-A POSTROUTING -s 10.8.0.0/8 -o ens3 -j MASQUERADE
COMMIT
# END OPENVPN RULES

ip_forward включил командой sysctl -w net.ipv4.ip_forward=1

Сам OpenVPN сервер работает, с самого сервера пингуется, но с клиентской машины не подключается.

 ,

ribas160
()

RSS подписка на новые темы