Dotaz: Instalace Debianu - BIOS/EFI, LUKS, btrfs

[Petr Fiedler]

Tak na konec jsem se rozhodl, že Debian dám na btrfs. Chtěl bych, aby disk bootoval hybridně - BIOS/EFI a aby bylo úplně všechno šifrováno. Mám pár otázek:

1. Když vytvořím oddíly MBR/EFI předem, jak pak přinutím instalátor Debianu, aby je zašifroval?
2. A jak vlastně přinutím instalátor odemčít LUKS?
3. A teď mě napadá, jestli to v instalátoru vůbec půjde?
4. Chci mít oddělen /var, jde toho u btrfs dosáhnout při instalaci? Vím, že se dá přepnout do konzole, ale co dál nevím, když systém ještě vlastně neexistuje?

Odpovědi

[Petr Fiedler]

@k3dAR:

Jsem chtěl to šifrování nějak zkloubit s tím tvým skriptem. I jsem si jej přečetl a vlastně i celé vlákno o té flešce, ale nevím, jak to udělat. Debian (myslím, že mi to někdo říkal) nemá Ubiquity a taky bych nevěděl, jak bych při instalaci dělal subvolume /var?

[k3dAR]

pokud bys nechtel btrfs, tak ten script ma hacek jen v prave v nazvu instalatoru kterej to v prubehu pusti, resp. je mozne ze v Debianu bude jeste neco jinak, ten si nejsem jistej...
pridat vytvoreni a pripraveni LVM LV pro var do scriptu by nebyl problem, nebo bys ho vytvoril rucne az pak, pres USBLive, presunul pad data z "ssd/var" do "ssd/lvm/var" a rebootnul... ale s btrfs by ten script se musel prepsat celej a s tim ze s btrfs nemam zkusenosti do toho nejdu

[k3dAR]

tak hacek hacku, pustil sem Debian9.5-live-xfce a koukam ze nema na plose instalator a vlastne si vzpominam ze tam maji bug, ze neni ten balicek v nastarovanem live ani dostupnej, mel by to byt "debian-installer-launcher" (misto ubiquity) ale neni tam a pak jeste nevim jakou volbou mu zakazu resit bootloader ktere resi skript po dokonceni instalatoru sam pro hybrid uefi/legacy...

[Petr Fiedler]

Zatím se s tím nenamáhej! Třeba mi tu někdo poradí. Fakt bych raději to btrfs. Včera jsem jeho studiem strávil asi 15 hodin. Jsem byl úplně hotovej Jsem sice laik, ale ten fs se mi prostě líbí. Hlavně nehrozí silent data coruption, což je super.

Ale přechod na btrfs znamená (v některých věcech) ztratit skvělého rádce. Nechceš přejít taky?

[Aleš Kapica]

Nezlob se na mě, ale ty si moc poradit nedáš, tak se s tím zkrátka musíš poprat sám.

Pokud jde o tu instalaci, tak kdyby sis pořádně proklikal tu naši wiki, kde jsem psal o Btrfs, tak bys natrefil i na debootstrap, přes který se to dělá. Hint: Napiš do URL v té wiki diskless místo Btrfs.

[Petr Fiedler]

... tak kdyby sis pořádně proklikal tu naši wiki ...

Proklikal, „debootstrap“ jsem zadal na té vaší Wiki i do vyhledávače, ale nic jsem nenašel.

Mimochodem, strávil jsem tam předevčírem několik hodin :)

[Aleš Kapica]

Omlouvám se, že jsem neupozornil na to, že je to citlivé na malá a velká písmena. Správně mělo být Diskless – Jak vytvořit bezdiskový stroj s operačním systémem GNU/Linux. Ale to už je vcelku jedno. Je to už starší postup.

Zkrátka se nejdřív vytvoří adresář – na něj se namountuje subvolume, do toho se pak nasype před debootsrrap základ. Ale pak to potřebuje ještě dodělat a o tom měla být stránka ohledně disklessu. Že je třeba přes mount nabindovat /proc, /dev a /sys. Upravit fstab budoucího systému, doinstalovat jádro, aj. Je to trivka, ovšem člověk musí vědět co dělá a to pro začátečníka snadné není. A čím komplikovanější instalaci si vymyslí, tím více míst kde může udělat chybu. Tohle jsem tím měl na mysli. Takže se omlouvám, jestli to vyznělo moc příkře.

[Petr Fiedler]

Omlouvám se, že jsem neupozornil na to, že je to citlivé na malá a velká písmena. Správně mělo být ...

To je v pořádku. Když jsem si četl článek o btrfs, tak jsem si v adresním řádku všiml, že u btrfs je velké B. Takže jsem pak diskless napsal s velkým D.

Spíš mi šlo o ten „debootstrap“, protože jsi mi napsal, že kdybych si pořádně proklikal tu vaši Wiki, tak bych na něj natrefil. Tak jsem ti jen chtěl sdělit, že jsem si tu vaši Wiki proklikal docela dost a nic o debootstrapu jsem tam nenašel. A to ani pomocí vyhledávače, ani pomocí vyhledávání na stránce (funkce ve Firefoxu).

Jinak teda díky za vysvětlení a nasměrování. Ano, vím že je to pro mě složité, ale taky vím, že je to pro mě dobré. Jak z důvodů praktických, tak z důvodů vzdělávacích.

[Aleš Kapica]

Držím palce. Každý začínal nějak takhle.

[k3dAR]

takze sem v live debianu:

sudo apt update
sudo apt install debian-installer-launcher
sudo debian-installer-launcher

ale problem, rve ze byl pro boot pouzit nepodporovanej initrd, tzn. ze nestaci doinstalovat tento balicek aby se z live rezimu dal pustit instalator
vypada to ze v Debian9 to je rozbite/odstranene umyslne, ze z Live nejde instalator pustit, tak jako to jde v *buntu/Mint...
takze teoreticky, kdyz se pustit Debian9 Grafickej Instalator, projede se cast pruvodce a v momente "Rozdeleni disku" se da back, sel by pustit script kterej by misto radku s ubiquity mel "read -p cekam_az_dojede_instalace", pustil bys pripravilo by to disk, pak se prepnes na instalator, vyberes rozdeleni rucne, priradis ty oddily jak v *buntu, docvakas instalaci a az by dojela, preplo by se na conzoli s tim cekajicim mojim skriptem a dalo se pokracovat... je to jen teorie, nevim ted jak Debian konci a muselo by se ve scriptu asi upravit i to instalovani Grubu a mozna i neco jineho...
Bohuzel k dalsim testum se nedostanu asi driv nez za 2dny...

[Petr Fiedler]

Myslím, že Debian jde instalovat i z příkazového řádku. Nebylo by to v mém případě lepší?

[k3dAR]

no ma textovej instalator, to by s nim bylo asi to same jako s grafickym...
pak muzes instalovat pres debootstrap, s nim by to uz asi slo i automatizovat, protoze ten v podstate na pripravenej/pripojenej oddil dotahne zakladni(opravdu jen hodne zakladni) soubory systemu, prepnes se pres chroot do nej, doinstalujes rucne (nebo si pomuzes pres dselect) balicky dalsich nastroju, grafiky, desktopu, programu...
jen oproti grafickemu nebo i textovemu instalatoru co dela vse za tebe, tady musis delat vse ty sam, nebo ja scriptem ale nemam to overene a nez bych ho napsal budes x dni bez systemu

[debian+]

Debian ma 2 instalory. Standardny a potom rozsireny instalator (ukecanejsi, pokr. moznosti, sifrovanie, atd.).

Najdi si cloveka/firmu co Ti spravi. ... Kedze chces pokrocilejsie veci a usudzujem ze pokrocili nie si, ked nezvladas bod cislo 4. A nevies ako funguje sifrovanie (bod 1).

Zacni s obycajnimi vecami a postupne sa uc. Rozsiruj ... Alebo si zaplat.

a aby bylo úplně všechno šifrováno.

Bud, ale bootovat budes musiet z usb, ktore budes mat inac pri sebe. Nieco musi byt nezasifrovane alebo sifrovacii kluc tam narves napevno, ale to by ti niekto mohol vytiahnut.

[k3dAR]

v pripade LegacyBoot muze byt sifrovane vsechno, pouze v MBR a mezi MBR a 1oddilem je cast GRUBu(crypto, fs, disk moduly) nesifrovana
v pripade UEFI muze byt sifrovane vsechno, krome EFI Grub binarky...

[Peter Golis]

EFI Grub Binárku zas môže mať podpísanú vlastným kľúčom a overiť to cez TPM aby sa overila autenticita pri štarte. On ten Secure Boot nie je na zníženie kvality života.

BTW EFI Grub, nie SHIM?

[k3dAR]

no... NB co pouzivam nema moznost vlastnich klicu, desktop kterej ma zas nema TPM
SHIM nepouzivam, jen vim ze je to zabalene/podepsane jadro+init do EFI binarky, ale tim ze nemuzu mit vlastni podpois v NB to asi stejne straci vyznam, dalsi vec ze to asi nema menu, sice mam singleboot ale obcas jine jadro nebo recovery z GRUB2 menu pustim...

[Peter Golis]

Nie. SHIM je len podpísaná EFI binárkaktorá spustí ďalší kód ako napríklad GRUB alebo VMLINUZ. A ak si si už obsadil podpis v TPM niečim z Redmondskej kuchyne tak to nie je problém TPM.

Návodov ako si zabezpečiť NB vlastnými kľúčami je plný interfernet.

[Petr Fiedler]

... desktop kterej ma zas nema TPM ...

Mezi námi, on TPM nemá ani můj notebook, čemuž se při jeho ceně a stáří dost divím.

[Petr Fiedler]

Secure Boot rozhodně chci, ale na desktopu jej nemám možnost zapnout. Moje MB jej nepodporuje. Pouze EFI. Ale na notebooku to budu chtít zprovoznit, to je jasný :)

[k3dAR]

SecureBoot je o tom ze to natahne jen podepsanou EFI binarku (to muze byt GRUB2, nebo ten SHIM), ale kdyz se porovnava podpis certifikatem co mas v desce od vyrobce, teoreticky by nekdo s fyzickym pristupem mohl podvrhnout podepsanej upravenej EFI soubor (musel by mit moznost ho podepsat, coz nevim zda je to mozne pro nekoho jineho nez tvurce distra co ten klic ma k dispozici)...
proto Peter psal o podepsanim vlatnim klicem, ten bys mel JENOM ty, ale musis mit desku co umozni odstranit vychozi klice a nahrat ten tvuj klic (tu cast co porovnava pravost, ne ten kterym se podpisuje EFI)

[Petr Fiedler]

Report from the Debian EFI team about the support of Secure Boot on Debian

[Aleš Kapica]

Secure Boot rozhodně chci, ale na desktopu jej nemám možnost zapnout. Moje MB jej nepodporuje. Pouze EFI. Ale na notebooku to budu chtít zprovoznit, to je jasný :)

A můžeš mi sdělit na co ti ten SecureBoot bude?

[Petr Fiedler]

No, já tomu tedy plně nerozumím, ale myslím, že Secure Boot chrání před tím, aby se spustil nějaký vir při startu systému, ne? Nebo se pletu?

[Aleš Kapica]

To se tedy pleteš. Co takhle se nejdřív podívat, co se o tom píše jinde? Secure Boot: nepodepsaným systémům vstup zakázán (root.cz 29. 6. 2012) nebo UEFI Secure Boot: Příliš bezpečný start PC (chip.cz 13.01.2014)

Jinak jsem konečně uslintal ten blogpost k UEFI

[k3dAR]

1) viz pri startu v Live rezimu nelze pustit instalator, tzn. bud jak pisu v tom odkazu, nebo si to pripravit predem nez bootnes USB Debian Instalator...
2) viz 1) + odemknout LUKS (pokud to instalator neumi se zeptat) by melo jit po prepnuti do jine konzole:

sudo cryptsetup luksOpen /dev/sdXY sdXY_open

instalator by pak mel videt LV z LVM pro moznost rucniho vyberu jak co pouzit
3) to nevim, proto pisu "melo by"
4) v pripade btrfs na LUKS, by snad mohl instalator videt dostupne predpripravene btrfs subvolumes... a stejne jako v *buntu s LVM na te flash bys vybral co kam...

[Petr Fiedler]

Udělám pár pokusných instalací a uvidí se.

Zatím díky

[Petr Fiedler]

BTW: jaký fs bych měl použít na průmyslové 16 GB SD kartě pro Armbian?

[Petr Fiedler]

@k3dAR:

Asi jsi tohle přehlídl. Co myslíš?

[k3dAR]

co myslis ze doporucim? ext4

[k3dAR]

jinak bez vlastni zkusenosti, primo pro flash uloziste by mel byt napr F2FS nebo JFFS2, ale zrovna na te industrial bych se ext4 nebal (resp. ne vice nez na SSD), protoze ta microsd (predpokladam ADATA IDU3A) je karta s MLC, ECC a SMART

[Petr Fiedler]

Výborně.

[Petr Fiedler]

Uvažuji o tom, že bych tam místo ext4 dal btrfs. Co ty na to?

Čistě teoreticky. Je možné mít externí disk naformátován na btrfs a připojovat jej do systému, který je např. na ext4?

[k3dAR]

ja na to co uz sem psal, s btrfs nemam zkusenosti

[Petr Fiedler]

Tak zkusím a uvidím.

.

[Petr Fiedler]

Rozhodl jsem se upustit od hibridního bootování. Stále tedy zůstává Debian na btrfs, vše včetně EFI šifrováno LUKSem. Chci se zeptat, jestli při takovéto konfiguraci půjde udělat Secure Boot? Na netu jsou návody na to, jak nainstalovat Debian na btrfs a mít LUKSem šifrované i EFI, ale vždy je to bez Secure Bootu.

Pokud by to se Secure Bootem nešlo skloubit, je lepší/bezpečnější při šifrovaném systému použít šifrované EFI, nebo Secure Boot?

[Josef Kufner]

EFI nemůže být šifrováno.

[Petr Fiedler]

Zřejmě jsem to celou dobu chápal špatně. Nešlo o šifrované EFI, ale o /boot.

Díky

[k3dAR]

rozhodne je lepsi mit sifrovanej boot, nesouvisi to se secure boot, to bude overovat zda v EFI oddilu mas podepsanou EFI binarku pro Grub

[Josef Kufner]

Pokud chceš šifrovaný /boot, tak ho vůbec nemusíš oddělovat a můžeš ho nechat součástí /. Jen je pak potřeba správně nastavit Grub, aby se k němu dostal, což instalátor nemusí zvládnout sám od sebe.

[k3dAR]

instalator sifrovanej/neoddelenej boot neumi, muze jit polorucne podle:
https://www.root.cz/clanky/kompletne-sifrovany-disk-se-systemem-i-daty-debian/

[Petr Fiedler]

No ale otázkou zůstává, jestli to půjde i se Secure Boot?

[k3dAR]

nezustava

[Petr Fiedler]

Zůstává

Z tvé odpovědi chápu, že je lepší šifrovaný /boot, než Secure Boot. Jen nechápu, jestli můžu mít jen jedno, nebo oboje?

[Josef Kufner]

Ty dvě věci spolu nijak nesouvisí ani se nevylučují.

[Petr Fiedler]

Už se to dlouho vleče. Podle článku na rootu jsem schopen vytvořit EFI, LUKSem zašifrovat zbytek disku a nainstalovat Debian a jako fs použít btrfs. Je možné prozatím udělat alespoň tohle a Secure Boot dodělat později, nebo musím Secure Boot pořešit při instalaci systému?

[Josef Kufner]

Secure Boot ponech vypnutý a buď spokojený, že ti to funguje. Když ti to někdo ukradne, tak to máš zašifrované a jsi v pohodě.

Časem si pohraj se Secure Bootem, což efektivně znamená nastavit si klíče, podepsat Grub a zapnout Secure Boot. Reinstalaci na to už nepotřebuješ.

Pokud to máš nainstalované bez zašifrovaného /boot, tak to tak klidně nech. Přejít na zašifrovaný /boot znamená upravit trochu konfigurace Grubu a zlikvidovat ten nešifrovaný oddíl s /boot (celý ten adresář přesuneš přímo na kořenový oddíl). Jen ti tam zbyde trocha nevyužitého prostoru, se kterým si můžeš pak hrát.

[Petr Fiedler]

Díky moc!

[Petr Fiedler]

Super článek!

[Petr Fiedler]

instalator sifrovanej/neoddelenej boot neumi, muze jit polorucne podle:
https://www.root.cz/clanky/kompletne-sifrovany-disk-se-systemem-i-daty-debian/

Tak jsem zahájil přechod na Linux, ale moc mi to nejde. Instalátor Debianu je proti mě. Nakonec jsem se rozhodl pro ext4. Chtěl bych první 4 MB volné, pak 512 MB EFI a pak oddělené /home /var a taky swap. Vše na LVM šifrované LUKSem. Ale nejsem schopen toho docílit.

Podle toho návodu na rootu se řídit nemůžu. Když dám asistované rozdělení, tak mi nepasuje ani jedna varianta. Zkusil jsem tedy variantu s odděleným /home /var /tmp a swap s tím, že /tmp v instalátoru pak smažu a rozšířím /home, ale nejde mi to. Udělat to ručně s tím, že jsem si předpřipravil v GParted EFI mi taky nejde. Nevím jak donutit instalátor, aby zašifroval zbytek disku, pak vytvořil LVM a pak bych tam udělal ty oddíly. Navíc při asistovaném rozdělování to na začátku disku nechává jen 1 MB. A taky to divně čísluje. Když v GParted udělám EFI 512 MiB, tak instalátor pak ukazuje 536,9 MB. Ten převod chápu, ale jak pak chceš zadávat přesnou velikost oddílů. Jsem zvyklý dělat to v MiB. Prostě hrůza. Nejlepší by pro mě bylo udělat to z shellu, ale s tím bych potřeboval pomoci. Poradil bys prosím?

Ještě jsem si vzpomněl, že mi nejde instalovat z flešky. Odklikám pár oken a pak mi instalátor řekne, že nebyla rozpoznána mechanika, jestli chci přidat ovladač ručně a dál tě to prostě nepustí. Tak musím instalovat z DVDčka. Nechápu.

[Petr Fiedler]

Ale mělo by to snad jít i v GUI - odstranit ten /tmp. V tom návodu taky zmiňuje odstranění odděleného /boot:

Tato varianta prakticky odpovídá tomu, co potřebujeme, až na to, že počítá s odděleným druhým oddílem pro /boot/ . Ten my nechceme mít na samostatné nešifrované části disku, takže tuto položku jednoduše odebereme. Samozřejmě si pak můžeme vše upravit podle svých požadavků. Nakonec bychom měli mít jen dva oddíly: EFI a druhý šifrovaný se vším ostatním.

Ale fakt nevím jak? Btw, když si předpřipravím EFI v GParted a pak dám asistované rozdělení disku - šifrování+LVM, tak instalátor tam mnou vytvořené EFI nechá a za něj dá 250 MB partyšnu ext2.

[k3dAR]

Ta 250MB je pravdepodobne ten boot, muzes udelat predem 250MB EFI, pak smazat boot od instalatoru a po instalaci EFI roztahnout...
Vic ted neporadim, musel bych to zkusit ve virtualu...
Ad rucnim zkus se podivat a pochopit ten luksumtu script, tam je pro to vse...

[Petr Fiedler]

Ve virtuálu to nezkoušej. Dost jsem s tím pohl. Dokázal jsem (s pomocí známého) projít instalací až do konce včetně LUKS, LVM a všeho tak, jak jsem chtěl. Vše jsem udělal dle návodu na rootu a vše proběhlo OK. Systém ale nebootuje. Když jsem ručně nainstaloval GRUB a přepl se zpět, tak se instalátor zeptal, jestli chci pokračovat bez instalace GRUBu? Známý zadal, že ano a vše dojelo. Ale po rebootu to nebootuje. Neměl se GRUB po instalaci updatovat? V návodu to sice není, ale nemůže to být tím? Půjde s tím teď něco udělat? Asi to zkusím znovu a když tak se ozvu. Takže zatím se s tím nezatěžuj (virtuál).

[Petr Fiedler]

Koukám v GParted na tu flešku (tůj skript) a na disk, na který jsem dnes instaloval a mě tam u toho disku chybí přípojný bod. Fleška má /boot/EFI, ale u hdd tohle chybí. Půjde to opravit?

[k3dAR]

pripojny bod neni nic "v disku", je to jen informace kam je to primontovane na USB Flash z ktere startujes to vidis, na Disku z ktereho ti nejde startovat to videt nemuzes, jakmile zprovoznis boot tak to v nabehlem systemu z disku samozrejme take uvidis pripojny bod hlavne zkontroluj zda to mas v GPT...

sudo parted /dev/sdX print

hledej radek "Tabulka oddílů" ("Partition Table")...

[Petr Fiedler]

Je to GPT.

[Petr Fiedler]

Ještě mě napadlo: Disk jsem si napřed předpřipravil. Nabootoval jsem z té flešky, spustil GParted a disk připravil tak, že jsem na začátku nechal 4 MB volné místo, pak 512 MB EFI oddíl naformátovaný na FAT32 (boot,esp) a pak jsem nechal volné místo, na kterém jsem pokračoval v instalátoru. Může být chyba v něčem z tohoto? Neměla by, ne? Já se díval, že na té flešce je EFI formátováno na FAT16, ale jinde jsem viděl (už nevím kde) FAT32 a rozhodl jsem se pro něj. V tom chyba asi být nemůže, že ne?

[k3dAR]

mas rozdeleni GPT (a NE mbr/msdos)?
nepreskocil si nejaky krok z root clanku? grub-mkconfig?
FAT16 nebo FAT32 je jedno...
nebootuje znamena co? tvari se ze je disk prazdnej? zobrazi to error?
jinak udelat s tim urcite neco pujde, pustis LiveUSB, odemknes LUKS, provedes chroot a opravis problem

[Petr Fiedler]

mas rozdeleni GPT (a NE mbr/msdos)?

Ano

nepreskocil si nejaky krok z root clanku? grub-mkconfig?

Já jsem nic nepřeskočil, ale poslední 3 kroky psal známý, protože jsme už spěchali a špatně se mi to psalo kvůli moc malému fontu a taky nejsem zvyklý na klávesnici notebooku, takže za to ručit nemůžu, ale zrovna on zadával to grub-mkconfig. Kontaktovat jej ale teď nemůžu, takže to teď nemám jak zjistit.

nebootuje znamena co? tvari se ze je disk prazdnej?

Ano, tváří se to, že je disk prázdný.

jinak udelat s tim urcite neco pujde, pustis LiveUSB, odemknes LUKS, provedes chroot a opravis problem

Tak já teda určitě

[Josef Kufner]

jinak udelat s tim urcite neco pujde, pustis LiveUSB, odemknes LUKS, provedes chroot a opravis problem

Tak já teda určitě

Instalačka Debianu má rescue režim. Umí poloautomaticky detekovat a namountovat disky (ptá se co kam patří) včetně šifrovaného LUKS v LVM. Pak ti nabídne shell buď v prostředí instalátoru, nebo v chrootu instalovaného systému. Stačí párkrát bouchnout do entru a zadat heslo k disku. Jakmile dostaneš shell v chrootu, tak si místo výchozího shellu spustíš bash a mc a můžeš opravovat dle libosti (např. spustit grub-install). Btw, trochu jsem si včera pohrál se Secure Bootem a našel jsem velmi hezkou věc: sicherboot. Je to pár skriptů, které umí nakonfigurovat klíče pro Secure Boot, nakonfigurovat Systemd Boot a ubalit kernel s initrd do jedné EFI binárky. Ještě mi tam chybí možnost použít jen efibootmgr, aby nebyl potřeba extra bootloader, ale i tak je to pěkné. Docela hezky se tím dá obejít problém s (ne)šifrovaným /boot, neboť podepsaný ubalený kernel se hodí na EFI oddíl a /boot už se nepoužívá, takže může zůstat zašifrován na /. Výhoda je, že se taková EFI binárka dá bootovat rovnou i bez bootloaderu a její pravost se pořeší pomocí Secure Boot. A protože už tam nikde neleží nechráněný initrd ani nějaká konfigurace, je to docela fajn řešení.

[Petr Fiedler]

Tak s tím Secure Bootem to zní zajímavě. Byl bych rád, kdybys mi s tím pak pomohl prosím.

[Petr Fiedler]

Tak.

Už vím minimálně o jedné chybě. Když jsem to dnes instaloval na notebook s tím známým, tak jsem v jednom konfiguráku přehlédl a nezrušil zakomentování řádku KEYFILE_PATTERN=/etc/keys/disk_crypto.key. Tak to je první průšvih.

Druhý je, že když jsem to teď instaloval na desktop, tak mi systém nenaběhne. Po startu pc zadám heslo, objeví se okno Debianu, vyberu, že chci zavést systém a na monitoru se objeví:

  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  Volume group "xyz" not found
  Cannot process volume group xyz
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  Volume group "xyz" not found
  Cannot process volume group xyz
cryptsetup (sda2_crypt): cryptsetup failed, bad password or option?
cryptsetup (sda2_crypt): cryptsetup failed, bad password or option?
cryptsetup (sda2_crypt): cryptsetup failed, bad password or option?
cryptsetup (sda2_crypt): maximum number of tries exceeded
cryptsetup: going to sleep for 60 seconds...

Takže zítra se zkusím chrootnout a zkontrolovat volby a znovu zadat heslo.

[k3dAR]

Ten keyfile asi souvisi i s tou chybou, resp. druhe odemknuti co ma jit automaticky zkolabuje ze nevi kde nemo tam klic neni

[Petr Fiedler]

Asi ano.
Při dokončování instalace nastala chyba. Při zadání posledního příkazu dle návodu z tootu grub-install to skončilo chybou. GRUB se nenainstaloval. Zkoušel jsem připojit ručně EFI, abych jej mohl nainstalovat tam, ale nešlo mi to. Tak jsem zavřel bash a v instalátoru spustil instalaci GRUBu. Instalace pak v pořádku dojela do konce. V tom by neměla být chyba, že ne? Jinak bych ani při startu pc neodemčel LUKS, ne?

[k3dAR]

pocitam ze strohe grub-install vyzaduje EFI mit jiz pripojeno v /boot/efi/
nevim co/jak instaloval instalator za grub, ale kdyz ti pak slo zadat luks heslo a zobrazilo to grub nabidku tak grub i odemceni grubem bylo ok...

k problemu "cryptsetup failed, bad password or option?", stacilo by DOCASNE NEupravovat(nepridavat keyfile parametr) /etc/crypttab a pak by proste po vybrani v Grubu se po chvilce zeptal system znovu na luks heslo... a postupne bys mohl zkontrolovat tech par mist dle navodu na rootu kde keyfile resis, jestli je takovej jak ma, tam kde ma a s nim souvisejici parametry kde maji byt, cela tato cast je jen o tom aby si nezadaval LUKS heslo 1x do Grubu (protoze sifrovanej boot) a 1x do initramfs (=v prubehu startu, coz je vychozi chovani kdyz instalujes na LUKS)

[Petr Fiedler]

Tak Debian jsem zavrhl. Vůbec mi nesedí. Nainstaloval jsem si jej jen tak (oddělený /boot, šifrovaný /root a bez LVM a SWAPu) a ladil jsem si jej, aby mi vyhovoval a zjistil jsem, že mi vůbec nevyhovuje. Takže se vracím k Mintu, ale k 19ce. Už jej mám nainstalován na sekundárním disku v pc (testuji) a velmi se mi líbí.

Super je, že teď mi nic nebrání v tom použít ten skript. Jen bych potřeboval pomoc s jeho úpravou. To by ale měla být maličkost, tedy pokud 19ka používá Ubiquity, ale předpokládám, že ano. Chtěl bych to tedy takto:

První 4 MB volné
512 MB FAT32 pro EFI
LUKS
LVM
/var 20 GB ext4
/ zbytek volného místa ext4

Půjde to na oba stroje a pak někdy budu řešit Secure Boot.
Pomohl bys prosím? Sám ten skript upravit určitě nedokážu.

PS: Už druhým dnem nemám ani jedny Windows

[Petr Fiedler]

Ještě doplním, že oba stroje mají SSD disk, takže by to chtělo přidat volbu discard (asi v /etc/crypttab dle návodu z rootu) a možná by nemusely být ani volné ty první 4 MB. To nedokážu posoudit.

[k3dAR]

Ubuntu/Mint nepouzivaji metodu mount volby discard (ktera dela "trim" hned pri kazdem zapisu), ale pouzivaji nastroj fstrim kterej automaticky pousti 1x za vikend (nejdrivo to bylo pomoci cron planovace, ted pomoci systemd timeru(stav: systemctl status fstrim.timer))...

[Petr Fiedler]

Ještě mě napadlo, že kvůli synchronizaci by bylo dobré nenastavovat noatime, co myslíš?

[k3dAR]

synchronizaci to nevadi, noatime znamena NoAccessTime, tzn. ze se neuklada cas posledniho CTENI, pri synchronizaci te zajima cas modifikace(=zapisu), velikost, pripadne kontrolni soucet...

[Petr Fiedler]

Když to teď čtu, tak je to jasné. Mě zmátlo, že jsem v minulosti syncoval TrueCrypt kontejnery, které mají samozřejmě pevnou velikost a tam se syncovalo dle času přístupu. Stačilo kontejner otevřít, něco si přečist, pak jej zavřít a syncovací sw jej syncnul. V tomto případě to asi ani jinak nešlo a trochu mě to zmátlo.

[k3dAR]

nevim, ale nemuselo to byt podle atime, i pri pouhem pripojeni se filesystem (tedy i oddil ci image pod nim) meni/zapisuje, minimalne se do nej ulozi cas posledniho pripojeni

[Petr Fiedler]

Dočetl jsem se, že 19ka má swap soubor. Tak je ozázka, jestli jej neponechat?

[k3dAR]

to necham na tobe, ja jedu Xubuntu 18.04 ktere by take mohlo mit vychozi swapsoubor, ale pouzivam normalne lvm swap kdy diky lvm take muzu snadno zrusit swap, nebo mu zmensit/zvetsit velikost(i kdyz znovuvytvorenim/znofuformatovanim_alespon_s_totoznym_UUID)...
a nejsem si jistej, jestli s swap souborem je poresena moznost hibernace...

[k3dAR]

Příloha:

• luksuntu-20191209.sh (10217 bytů)

zbytek LVM pro / nedoporucuju, nebudes pak moci udelat LV kdyz by te nejake donapadlo (treba /home) a hlavne nebudes moci udelat LV snapshot, kdyz nechas cast LVM volne tak to kdykoliv pak muzes pridat i / za chodu, v nabehlem, behem par vterin...

upravil sem script, 4MB na zacatku bych neresil, s GPT je normalni ze nechava 1MB na zacatku...
VAR si muzes nastavit velikost sam na zacatku skriptu VAR_SIZE, prednastavil sem 20GB, to same pro / (ROOTFS_SIZE), sam si vyber zda chces SWAP (SWAP_SIZE nechas nastavene, resp. nastavis si svoji velikost), nebo SWAPFILE (odeberes nastaveni "no")...

[Petr Fiedler]

Moc děkuji za skript i za rady. Budu se jimi řídit.

Jsi takt moc hodný!

[Petr Fiedler]

Ještě mě napadlo, když čtu cos napsal, že oddělené /home by mohlo být dobré. Chci totiž ten snapshot udělat a kdybych neměl /home odděleno a měl v něm např. 250 GB dat, tak by pak ten snímek byl příliš velký, ne? Takhle (předpokládám) s odděleným /home prostě jen domovský adresář ze snapshotu vyčlením a hotovo, ne?
Data pak budu syncovat a sem tam udělám i zálohu na externí disk.

[k3dAR]

pridal sem moznost pro oddelenej HOME, velikost si nastavis nahore...
je to v podstate jak pises, bez oddeleneho /home by sice snimek nebyl velky, ale jeho velikost by se vyuzival i pro zmeny v /home...
u LVM ten snapshot neni delanej pro dlouhodobe skladovani, funguje tak ze se zapise stav pri vytvoreni a nasledne zmeny se zapisuji "do" snapshotu, coz je rozdilovej oddil o pevne max velikosti kterou tomu snapshotu das, ty bud udelas zalohu snapshotu, nebo si otestujes nejake zmeny v systemu, doinstalujes nezname aplikace atd... ty zmeny se ukladaji do snapshotu, pokud bys udelal snapshot 5GB tak muzes provest <5GB zmen v systemu a mas moznost se vratit zpet, jakmile bys ale zapsal treba 10GB videa tak snapshot se bud poskodi (tak to bylo driv) nebo se tusim zrusi...
tedy jakmile ty vis ze mas zalohu a/nebo ze mas overene zmeny systemu ze jsou ok, tak zrusis snapshot, tim se zapomene ten stav pretim, pokud bys zjistil ze se chces vratit do stavu pred snapshotem, tak zrusis zmeny ktere se od te doby stalo

[k3dAR]

Příloha:

• luksuntu-20191209-2.sh (10957 bytů)

edit: zapomenuta priloha

[Petr Fiedler]

Bezva, díky za vysvětlení.

I za modifikaci, ale nemusels. Nechci tě zbytečně obtěžovat. Myslel jsem to tak, že bych když tak udělal novou LV (/home). Ale když už to tam je, tak dobrý.

Zítra jdu na to.
Btw, vlastní nedůsledností jsem odpálil tu flešku, takže jí zítra zkusím obnovit Clonezillou a jsem zvědavý, jestli pak bude fungovat. Tak pak dám vědět.

[Petr Fiedler]

Tak tu šifrovanou flešku, kterou jsem rozbil jsem Clonezillou obnovil a v pohodě jede.

[Petr Fiedler]

Spatne.

Spustil jsem Live z flesky. Spustil jsem GParted a sdb (datovy disk, na kterem byl provizorni system) jsem zformatoval tak, ze jsem nechal prvni 4 MB volne a oddil na kterem byl ten system jsem zformatoval (ext4). Pak jsem na sda vytvoril 3 MB ext4 oddil s flagem bios_grub. Pred nim bylo 1 MB volne misto. Pak jsem vytvoril 512 MB fat32 oddil s flagy esp a boot. Pak jsem pro jistotu restartoval a do /home/mint vlozil ten posledni skript. V nem vse nastavil a v terminalu zadal sudo bash nazev_skriptu.sh. Vse jsem bez problemu zadal a v instalatoru nastavil filesystemy a pripojne body. Instalace probehla v pohode. Dal jsem pokracovat a vse dojelo jak melo. Po restartu jsem zadal heslo a trvalo oproti te flesce o dost dele, nez doslo k odemceni. Pak se objevilo logo Mintu a system zacal startovat. Pak to ale zustalo viset na:

Busybox v.1.27.2 (Ubuntu 1:1.27.2-2ubuntu3) built-in shell (ash)
Enter 'help' for a list of builts-in commands.

(initramfs) _

Zkousel jsem to vicekrat a dopadlo to vzdy takto. V BIOSu jsem zkousel prehodit UEFI na Legacy, ale nepomohlo to. Co ted?

[Aleš Kapica]

Zjistit kde je problém. Systém skončil v ramdisku. Je otázkou proč - příčin může být více. Zjisti jaká zařízení máš k dispozici, pak je zkus namontovat. Atd.

[Petr Fiedler]

Zdarec,

pro tebe pohoda, pro mě sci-fi

Navíc jsem to už smazal a chci to zkusit nainstalovat znovu s odpojeným daťákem (hdd).

[Petr Fiedler]

Rozhodl jsem se, že DOČASNĚ, než si to pořádně nastuduji a nacvičím na pc i nb nainstaluji Debian tak, jak to zatím zvládnu a až budu vše umět, tak to pak na obou strojích přeinstaluji. Takže na oba stroje teď dám nešifrovaný /boot a zbytek bude jen / a swap - šifrováno a bez použití LVM. Takže moje aktuální problémy už neřeš(te).

Pokud budu mít nějaké otázky během toho nácviku, položím nový dotaz.

[k3dAR]

to hibridni bootovani je jen o tom ze budes mit BIOS_GRUB 2MB oddil a nainstalujes Grub v obou rezimech, to nesouvisi s pouzitim fs na systemovem oddilu...

[Petr Fiedler]

No, já ten BIOS_GRUB chtěl proto, kdyby odešel komp, tak bych mohl vytáhnout disk a dát ho do čehokoliv. Ale jak tu někdo psal (asi Max), tak dnes už všechny pc mají UEFI a ani si vlastně nedovedu představit, že bych po případném kolapsu kompu např. za 4 roky ten disk strkal do něčeho, co nemá UEFI. A taky nevím, jak by to bylo se zarovnáním bloků. U SSD mi to přijde fatk zbytečné. U flešky je to něco jiného. Nikdy nevíš, do čeho jí strčíš u někoho na návštěvě. Někteří lidé, které znám mají doma neuvěřitelné kousky. Takže zde se hibrid vyplatí. Ale SSD k nim nosit nebudu, že?

[k3dAR]

pokud udelas BIOS_GRUB 2MB a ne 2.001MB tak zarovnane mit budes jako nicemu to nebude vadit ze to tam navic budes mit i kdyz nepouzijes...

[Josef Kufner]

Když se něco stane, tak chceš mít v první řadě zálohu.

[Josef Kufner]

Ad zarovnání bloků: Právě s SSD se to začlo řešit, neboť nezarovnané oddíly snižují rychlost i životnost. Prostě necháš na začátku disku jeden fyzický blok volný, což bývají 4 MB (narozdíl od 512B sektorů na rotačních discích), ale záleží to na disku.

[Petr Fiedler]

Prostě necháš na začátku disku jeden fyzický blok volný, což bývají 4 MB (narozdíl od 512B sektorů na rotačních discích), ale záleží to na disku.

No a mohlo by to být tak, že v tom prvním bloku na disku, v těch prvních čtyřech MB, pokud bych tedy dělal ten hybrid boot, by byl BIOS_GRUB?

[Josef Kufner]

V prvním půlkilobajtu bude MBR. Pak tam někde budou nějaké ty organizační struktury od GPT a podobně. Ono vůbec je docela dobrý nápad si nechat na začátku disku trochu prostoru na experimentovaní a hlavní oddíl trochu posunout. Když pro to místo pak nebudeš mít lepšího využití, dáš si tam třeba swap (lze zašifrovat samostatně a soubor s klíčem nechat na šifrovaném / nebo šifrovat náhodným klíčem) nebo malou recovery instalaci.

[Petr Fiedler]

Ještě se zeptám. Když tedy nechám prvních 4096 kB volných, tak to nemám formátovat, že ne?

[Josef Kufner]

To jen znamená, že první oddíl nezačíná na začátku disku, ale až za čtvrtým MB. Můj první oddíl na disku začíná za druhým MB.

[Petr Fiedler]

Tak hele, naformátoval jsem svůj externí disk na btrfs s tím, že jsem na začátku nechal volné 4 MB a nestačím se divit, jak se zvedl výkon. Paráda, díky.

[Petr Fiedler]

Ad zarovnání bloků: Právě s SSD se to začlo řešit, neboť nezarovnané oddíly snižují rychlost i životnost. Prostě necháš na začátku disku jeden fyzický blok volný, což bývají 4 MB (narozdíl od 512B sektorů na rotačních discích), ale záleží to na disku.

A jak je to s fleškami? Taky by se na začátku mělo nechat 4 MB volného místa?

[Andrej]

Když vytvořím oddíly MBR/EFI předem, jak pak přinutím instalátor Debianu, aby je zašifroval?

Já tohle nainstaluju ve všech distrech prostě „nějak“ a pak udělám backup/restore do nového rozdělení disků. Bohužel jsem ještě nikdy neviděl instalátor (a že jsem jich už viděl!), který by dokázal nastavit úplně všechno, co potřebuju. Například šifrovaný celý disk, včetně kernelu a initramfs, nebo LVM na LUKS na LVM, což jsem zase potřeboval pro jinou (mírně) neobvyklou konfiguraci atd. Prostě tam podle mě není „královská cesta“, je potřeba se dobře naučit rsync a command-line nástroje pro LUKS, Btrfs atd. — a pak je nakonec jedno, jak až moc je instalátor neschopný.

A jak vlastně přinutím instalátor odemčít LUKS?

Pokud instalátor a/nebo rescue obraz správně rozezná rozdělení disků, zeptá se na heslo pro LUKS. Ale já osobně bych instalátor k ničemu nenutil. Nainstaloval bych to prostě „nějak“ libovolně, zazálohoval bych to, pak bych si nastavil z live obrazu oddíly a FS přesně jak chci a nakonec bych to tam nahrál zpátky.

Především jde o to, že aby měl člověk opravdu šifrovaný celý disk, včetně kernelu a initramdisku a bez zbytečně odděleného /boot oddílu, potřebuje podporu LUKS v GRUBu. GRUB samozřejmě bez problémů otevírá LUKS a bootuje z Btrfs v něm, ale instalátory v podpoře tohoto dnes již běžného nastavení zaostávají.

A teď mě napadá, jestli to v instalátoru vůbec půjde?

Moje zkušenost: Čas strávený bojem proti instalátoru se nevyplácí. Manuálně se to dá zařídit rychleji.

Chci mít oddělen /var, jde toho u btrfs dosáhnout při instalaci

Doufám, že ne. Je to totiž naprosto nesmyslný nápad; takhle se Btrfs nepoužívá. Btrfs je super právě v tom, že se nikdy nic nemusí dělit předem. Vytvoř si pro /var subvolume. To dává smysl. Dělení na oddíly vždycky přináší jedině problémy. Jednoho ošklivého dne bude potřeba dočasně někam něco zálohovat a ten kousek předem zbytečně rozděleného prostoru bude chybět. Napříč různými oddíly taky nefunguje copy-on-write. Proto má být Btrfs jeden filesystém.

Vím, že se dá přepnout do konzole, ale co dál nevím, když systém ještě vlastně neexistuje?

Huh??? Tohle je ovšem dost zásadní neporozumění problematice. Instalátor je kompletní plnohodnotný live systém, který nejen existuje, ale má s sebou taky všechny potřebné utility pro správu souborových systémů, oddílů, nastavení sítě atd. Nejpokročilejší instalátory — například Fedora s KDE — mají dokonce přímo špičkové grafické prostředí, ve kterém se klidně dá během instalace surfovat na webu a hledat různé návody atd. atp. Systém tedy existuje, jenom kořenový filesystém je (zpravidla) v RAM, nikoliv na nějakém disku nebo médiu.

[Josef Kufner]

Jde to udělat naopak. Připravit si disk, a pak teprve spustit instalaci. Instalátor Debianu je schopen popřipojovat disky dle libosti a instalaci spustit potom. Také tam je shell, kterým jde ve správnou chvíli vytvořit další vymoženosti, jako například ty subvolume pro /home, /var a podobně.

[Petr Fiedler]

@k3dAR: tak chyba bude NEJSPÍŠ ve skriptu. Na flešku jsem 19ku v pohodě nainstaloval. Samozřejmě jsem vytvořil pouze /root. Takže jsem neodděloval /home, /var a nevytvářel swap. Ponechal jsem, že jde o flash, odebral jsem swap file a nepřítele jsem nemátl. V této konfiguraci fleška funguje. Na konci instalace sice bylo v terminálu párkrát vidět "failed", ale vše zatím funguje jak má.

Když jsem párkrát zkoušel nainstalovat 19ku na ssd, tak to vždy dopadlo, jak jsem uvedl výše. GRUB odemknul LUKS, ale pak se to seklo. Konfigurace byla následující: LVM=100%, oddělené /home, /var a swap jsem nechal 2 GB. Ponechal jsem, že jde o flash, odebral jsem swap file a nepřítele jsem opět nemátl. V této konfiguraci systém prostě nenaběhne a po odemčení LUKS to vytuhne. A během instalace kromě pár "failed" bylo mockrát vidět warning, nebo tak něco. Přesně si už nevzpomínám. Tak mě napadlo to nainstalovat se stejnou konfigurací jako flešku, tedy pouze /root a ejhle, systém funguje.

Taky jsem si různě hrál s Legacy/UEFI enable/disable, ale tím to asi nebude, že to pak vždy vytuhne, protože se to zavede. Jen musí být v BIOSu nastaveno "Windows 8/10" a ne "Other OS" a k tomu "CSM support". A taky jsem u toho povolil UEFI a funguje to. I ssd mi takto naběhne. Když jsem ale měl vše takto nastaveno a instaloval na ssd tak, že jsem odděloval /home atd, tak to pak nefunguje.

Mrkl bys na skript prosím? A nebo jestli by nějak dodatečně šlo zmenšit /root a oddělit /home, /var a vytvořit swap, tak by to stačilo. Ale do budoucna by byl skript určitě lepší.

[Petr Fiedler]

mint@mint:~$ lsblk
NAME   MAJ:MIN RM   SIZE RO TYPE MOUNTPOINT
loop0    7:0    0   1.7G  1 loop /rofs
sda      8:0    0 931.5G  0 disk 
├─sda1   8:1    0     1M  0 part 
├─sda2   8:2    0   488M  0 part 
└─sda3   8:3    0   931G  0 part 
sdb      8:16   1  14.3G  0 disk /cdrom
├─sdb1   8:17   1   1.8G  0 part 
└─sdb2   8:18   1   2.3M  0 part 
sr0     11:0    1  1024M  0 rom  
mint@mint:~$ clear
mint@mint:~$ nano 235190-luksuntu-20191209-2-5514520716067027787.sh 
mint@mint:~$ sudo bash 235190-luksuntu-20191209-2-5514520716067027787.sh 

 Verze skriptu: 235190-luksuntu-20191209-2-5514520716067027787.sh 20181209-2

 OPRAVDU CHCETE POKRACOVAT S DISKEM sda a KOMPLETNE ho SMAZAT???
	- velikost oddilu pro LUKS: 100%
	- velikost LVM LV oddilu pro rootfs: 20GB
	- velikost oddilu pro /home: 20GB
	- velikost oddilu pro /var: 20GB
	- velikost oddilu pro swap: 2GB
	- pripadny swap soubor z instalace BUDE odebran
	- instalace na HDD, noatime NEbude nastaven
 Informace o disku z parted
	Model: ATA WDC WD1003FZEX-0 (scsi)
	Disk /dev/sda: 1000GB
	Sector size (logical/physical): 512B/4096B
	Partition Table: gpt
	Disk Flags:
	
	Number  Start   End     Size    File system  Name                  Flags
	1      1049kB  2097kB  1049kB               BIOS boot partition   bios_grub
	2      2097kB  514MB   512MB   fat16        EFI System Partition  boot, esp
	3      514MB   1000GB  1000GB               LUKS
	
 POKRACOVAT se bude JEN pokud odpovite 3x za sebou bez mezery ano velkejma pismenama...
ANOANOANO



*** Rozdeleni disku...
	POSLEDNI moznost PRERUSIT PROCES SMAZANI disku sda...
	(POKUD DISK NEBYL ROZDELEN POKRACUJE SE ROVNOU BEZ DOTAZU)
Warning: The existing disk label on /dev/sda will be destroyed and all data on
this disk will be lost. Do you want to continue?
Yes/No? Yes                                                               
Information: You may need to update /etc/fstab.

Information: You may need to update /etc/fstab.                           

Information: You may need to update /etc/fstab.                           

Information: You may need to update /etc/fstab.                           

Information: You may need to update /etc/fstab.                           

Information: You may need to update /etc/fstab.                           

Information: You may need to update /etc/fstab.                           

                                                                          


*** Vytvareni LUKS na zarizeni sda3...

WARNING!
========
This will overwrite data on /dev/sda3 irrevocably.

Are you sure? (Type uppercase yes): YES
Enter passphrase for /dev/sda3: 
Verify passphrase: 



*** Odemknuti LUKS oddilu pod nazvem "luks"...
Enter passphrase for /dev/sda3: 



*** Vytvareni LVM na zarizeni sda3 odemcenem jako "luks"...
  Physical volume "/dev/mapper/luks" successfully created.
  Volume group "lvm" successfully created
  Logical volume "home" created.
  Logical volume "var" created.
  Logical volume "swap" created.
  Logical volume "rootfs" created.



*** Formatovani oddilu EFI a rootfs (pripadne i pokud zvolen SWAP)...
mkfs.fat 4.1 (2017-01-24)
/dev/sda2 has 255 heads and 63 sectors per track,
hidden sectors 0x1000;
logical sector size is 512,
using 0xf8 media descriptor, with 999424 sectors;
drive number 0x80;
filesystem has 2 16-bit FATs and 16 sectors per cluster.
FAT size is 256 sectors, and provides 62429 clusters.
There are 16 reserved sectors.
Root directory contains 512 slots and uses 32 sectors.
Volume ID is bb2252cc, volume label EFI        .

mke2fs 1.44.1 (24-Mar-2018)
fs_types for mke2fs.conf resolution: 'ext4'
Filesystem label=lvm-rootfs
OS type: Linux
Block size=4096 (log=2)
Fragment size=4096 (log=2)
Stride=0 blocks, Stripe width=0 blocks
1310720 inodes, 5242880 blocks
262144 blocks (5.00%) reserved for the super user
First data block=0
Maximum filesystem blocks=2153775104
160 block groups
32768 blocks per group, 32768 fragments per group
8192 inodes per group
Filesystem UUID: 7e7032cc-e734-40a8-902f-846022d95c02
Superblock backups stored on blocks: 
	32768, 98304, 163840, 229376, 294912, 819200, 884736, 1605632, 2654208, 
	4096000

Allocating group tables: done                            
Writing inode tables: done                            
Creating journal (32768 blocks): done
Writing superblocks and filesystem accounting information: done   


	 - formatuji LV home
mke2fs 1.44.1 (24-Mar-2018)
fs_types for mke2fs.conf resolution: 'ext4'
Filesystem label=lvm-home
OS type: Linux
Block size=4096 (log=2)
Fragment size=4096 (log=2)
Stride=0 blocks, Stripe width=0 blocks
1310720 inodes, 5242880 blocks
262144 blocks (5.00%) reserved for the super user
First data block=0
Maximum filesystem blocks=2153775104
160 block groups
32768 blocks per group, 32768 fragments per group
8192 inodes per group
Filesystem UUID: a3b61493-c018-41e1-955f-a1ec91aba8d4
Superblock backups stored on blocks: 
	32768, 98304, 163840, 229376, 294912, 819200, 884736, 1605632, 2654208, 
	4096000

Allocating group tables: done                            
Writing inode tables: done                            
Creating journal (32768 blocks): done
Writing superblocks and filesystem accounting information: done   


	 - formatuji LV var
mke2fs 1.44.1 (24-Mar-2018)
fs_types for mke2fs.conf resolution: 'ext4'
Filesystem label=lvm-var
OS type: Linux
Block size=4096 (log=2)
Fragment size=4096 (log=2)
Stride=0 blocks, Stripe width=0 blocks
1310720 inodes, 5242880 blocks
262144 blocks (5.00%) reserved for the super user
First data block=0
Maximum filesystem blocks=2153775104
160 block groups
32768 blocks per group, 32768 fragments per group
8192 inodes per group
Filesystem UUID: 7734af49-7d64-46e3-a005-d803bd2deff6
Superblock backups stored on blocks: 
	32768, 98304, 163840, 229376, 294912, 819200, 884736, 1605632, 2654208, 
	4096000

Allocating group tables: done                            
Writing inode tables: done                            
Creating journal (32768 blocks): done
Writing superblocks and filesystem accounting information: done   


	 - formatuji LV swap
Setting up swapspace version 1, size = 2 GiB (2147479552 bytes)
LABEL=lvm-swap, UUID=4f5d86a4-49f2-44a6-b439-082c9c216894



*** Pousti se Instalace systemu bez GRUB zavadece...
	Rozdeleni disku zvolit "Neco jineho" a dvojklikem vybrat:
	/dev/mapper/lvm-rootfs, "Pouzit jako": Ext4, NEni treba formatovat(resp. pripravene je ext4), pripojnej bod /
	/dev/mapper/lvm-home, "Pouzit jako": Ext4, NEni treba formatovat(resp. pripravene je ext4), pripojnej bod /home
	/dev/mapper/lvm-var, "Pouzit jako": Ext4, NEni treba formatovat(resp. pripravene je ext4), pripojnej bod /var

*** POZOR, po dokonceni instalace NERESTARTOVAT, ale vybrat "Pokracovat ve zkouseni" script bude pokracovat



*** Priprava chroot...
  4 logical volume(s) in volume group "lvm" now active



*** Nastaveni GRUBu aby umoznil odemknuti LUKS...



*** Nastaveni initramfs pro automaticke (druhe) odemknuti LUKS...
4+0 records in
4+0 records out
2048 bytes (2.0 kB, 2.0 KiB) copied, 0.000237296 s, 8.6 MB/s
ZADEJTE HESLO K LUKS ODDILU
Enter any existing passphrase: 



*** Instalace GRUB Legacy a GRUB EFI zavadecu (v chroot)...
E: Could not open lock file /var/lib/dpkg/lock - open (2: No such file or directory)
E: Unable to lock the administration directory (/var/lib/dpkg/), are you root?
Installing for i386-pc platform.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
Installation finished. No error reported.
grub-install: error: /usr/lib/grub/x86_64-efi/modinfo.sh doesn't exist. Please specify --target or --directory.
Generating grub configuration file ...
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
Warning: Setting GRUB_TIMEOUT to a non-zero value when GRUB_HIDDEN_TIMEOUT is set is no longer supported.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
Found linux image: /boot/vmlinuz-4.15.0-20-generic
Found initrd image: /boot/initrd.img-4.15.0-20-generic
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
  WARNING: Failed to connect to lvmetad. Falling back to device scanning.
mkdir: cannot create directory ‘/var/lib/os-prober/mount’: No such file or directory
mkdir: cannot create directory ‘/var/lib/os-prober/mount’: No such file or directory
mkdir: cannot create directory ‘/var/lib/os-prober/mount’: No such file or directory
mkdir: cannot create directory ‘/var/lib/os-prober/mount’: No such file or directory
Adding boot menu entry for EFI firmware configuration
done



*** Aktualizace initramfs (v chroot)...
ls: cannot access '/var/lib/initramfs-tools': No such file or directory



*** Nastaveni systemu...



*** Odpojeni pripojenych oddilu, nemusi se uspesne dokoncit, coz nevadi...
  0 logical volume(s) in volume group "lvm" now active



*** Dokonceno, muzete restartovat....
mint@mint:~$ 

[k3dAR]

zkousel sem to 2x ve vortualu, pokazde se mi to kouslou chvilku po zacatku instalave, nedostal sem se k testu na real hw, pod,e tohoto logy to vypada na problem s /var, asi sem slepej nevidim proc, az budu u pc jeste to proverim...

[k3dAR]

jo tak mi to doslo i na telefonu... proste ve skriptu pred instalaci grub mam zapomenute primontovani var

[Petr Fiedler]

Jen pro informaci: Když v instalátoru přiděluji přípojné body a nezatrhnu "formátovat", tak se spustí instalace, instalátor oznámí, že kopíruje (nebo ukládá, teď nevím) nainstalované balíčky a na tom to vytuhne. Pořád v terminálu dokala přibývají asi 4 řádky a nic se neděje. Takže zatrhávám "formátovat".

Jinak je super, žes na to přišel.

[k3dAR]

Příloha:

• luksuntu-20191221.sh (10891 bytů)

dobra informace, to bylo to zakousnuti co sem psal
nezkoumal sem proc s oddelenym home&var nestaci format v scriptu, ale upravil sem to pripojovani var, tak snad ted uz grub dojede ok a bude startovat...

[k3dAR]

tak ve virtualu nainstalovalo a bootuje, jen pozor, pri instalaci Grubu se to pta co udelat s konfiguraci, potvrd to co je predpripravene "keep the local version currently installed"
(kdyz bys prepnul na prvni, tak se tim zrusi volba Grubu aby se ptal na LUKS heslo)

[k3dAR]

Příloha:

• luksuntu-20191221-2.sh (11013 bytů)

zkusis sem jeste do google problem s neformatovanim /var pri instalaci, a jde o bug instalatoru(ubiquity) starej 7let...
ma v sobe "kdyz je custom var tak ho pripoj" ale schazi mu "nejdriv vytvor adresar /var", takze ve skriptu sem pridal ze mu ho vytvorim sam a uz to jde i bez formatovani, v podstate by to bylo jedno, jen ze ve skriptu nastavuju oddilum jmeno, ktere se formatovanim v instalatoru ztrani, nicemu to sice nevadi, jen by nemeli prirazene jmeno, ale...

[Petr Fiedler]

Teď už to funguje perfektně, díky!

Instaloval jsem na plotnový disk a tak jsem si disk v GParted předpřipravil:

4 MiB volné místo
4 MiB ext2-bios_grub
512 MiB FAT16 boot,esp
Zbytek volné místo

Instalátor to ale předělal:

1 MiB volné místo (to není v naběhlém systému v GParted vidět)
1 MiB bios_grub
488 MiB EFI
Zbytek dle voleb

Tak jsem upravil skript a zakomentoval 2 řádky ve kterých je uvedeno vytvoření těch prvních dvou oddílů, ale skript se ukončil. Tak jsem je zase odkomentoval a nastavil velikosti na 0% 4M a 4M 516M a začátek LVM na 516M, ale stejně to nesedí. Byl bych nejraději, kdyby byly první 4 MiB volné (pokud nevadí), další 4 MiB bios_grub a pak 512 MiB FAT. Mohl bys ještě prosím pořešit tohle. To by pro tebe měla být maličkost.

Taky je divné, jak se po instalaci zobrazují údaje o oddílech:

GParted:

1 MiB bios_grub (název je jinak, nevzpomínám si)
488 MiB EFI (použito 872 KiB, volných 487 KiB)

Instalárot Mintu to samé zobrazí takto:

1 M volné místo
1 M bios_grub (název je jiný)
511 M EFI (použito 33 MB)

Se v tom vyznej. Chmm.

A ještě bych potřeboval poradit se zvětšením rootfs. Skript jsem už použil pro instalaci Mintu na dvě flešky, ale ani v jednom případě jsem nenastavoval "rootfs_size=100%", protože jsem s tím měl v minulosti špatnou zkušenost a tak jsem místo "100%" dal "29GB", takže na fleškách zbývá volné místo a nedaří se mi to zvětšit. Poraď prosím. Tady je výpis:

# vgdisplay -v
  --- Volume group ---
  VG Name               lvm
  System ID             
  Format                lvm2
  Metadata Areas        1
  Metadata Sequence No  2
  VG Access             read/write
  VG Status             resizable
  MAX LV                0
  Cur LV                1
  Open LV               1
  Max PV                0
  Cur PV                1
  Act PV                1
  VG Size               <29,36 GiB
  PE Size               4,00 MiB
  Total PE              7516
  Alloc PE / Size       7424 / 29,00 GiB
  Free  PE / Size       92 / 368,00 MiB
  VG UUID               xyz   
  --- Logical volume ---
  LV Path                /dev/lvm/rootfs
  LV Name                rootfs
  VG Name                lvm
  LV UUID                xyz
  LV Write Access        read/write
  LV Creation host, time mint, 2018-12-13 23:57:55 +0100
  LV Status              available
  # open                 1
  LV Size                29,00 GiB
  Current LE             7424
  Segments               1
  Allocation             inherit
  Read ahead sectors     auto
  - currently set to     256
  Block device           253:1
   
  --- Physical volumes ---
  PV Name               /dev/mapper/luks     
  PV UUID               xyz
  PV Status             allocatable
  Total PE / Free PE    7516 / 92

A pak už tě s tím nechám na pokoji, slibuji

[Petr Fiedler]

Tak na zvětšování rootfs by ani nemuselo přijít. Před chvílí jsem vyzkoušel nový Mint 19.1 a moc se mi líbí a minimálně na jednu flešku jej dám, protože tam ještě není nic nastaveno. Je provedena jen surová instalalce, kterou zfouknu za pár minut. To není problém. Jde o tu drohou flešku. Tu bych taky přeinstaloval, ale tam mě trápí nastavování Chromu a Opery. Díval jsem se do /home, ale nic jako .chrome, nebo .opera tam není, abych to jen překopíroval a na netu jsem našel návod jen pro Windows. Nevěděl bys jak to provést? U Firefoxu bych věděl, protože v /home je .mozilla, ale zrovna tam je nastavení otázkou 3 minut, takže to mě netrápí.

Mimochodem, jaký bys poradil prohlížeč? Já běžně používám Firefox, na IB používám Operu, na Duolingo Chrome (jen v něm funguje mikrofon) a pak potřebuji ještě další prohlížeč, když se chci na Googlu podívat na nějaké obrázky, protože při opačném kontrastu, který mám nastaven ve Firefoxu Google obrázky nezobrazuje. Dělá to ve více prohlížečích a i ve Windows. Není to tedy systémem, ani prohlížečem, ale Googlu vadí opačný kontrast. I když nedávno mi Google na jedné pokusné instalaci zobrazoval obrázky i při opačném kontrastu. Nějaká náhoda, ale nepřišel jsem na to, jak to? Já jsem vygooglil Brave a docela se mi i zamlouvá. Znáš jej?

[k3dAR]

ad zakomentovani, neslo to protoze ve skriptu mam parted radky zakoncene znakem \ tzn, jde o pokracovani rozkousaneho dlouheho radku, abys to mohl zakomentovat bez naruseni, dela se takto:

parted /dev/sdX blabla && \

na

`#parted /dev/sdX blabla &&` \

tim komentar vlozis jako (neproveditelny) prikaz ale zachova se pokracovani na dalsi radek znakem \

ohledne 488MiB Vs 511M, muzes v nastaveni scriptu a/nebo v parted prikazu zmenit z jednotky M(B) na MiB

kdyz chces misto 4MiB na zacatku tak misto "0% 4M" uprav na "4MiB 8MiB"...
jinak to 4MiB na zacatku podle me prameni z uvahy ze "erase block size" ma ta USB Flash 4MiB, podle me to nema cenu resit (resp. ja to neresim, nechavam na parted ze zacne od 1MiB kdyz dam 0%), a hlavne podle me URCITE nevis zda tva Flash ma 4MiB erase block size nebo vetsi nebo mensi

jako prohlizec pouzivam Vivaldi, je to od autora/zakladatele prohlizece Opera, tedy te prvni "generace" (do verze 12.x), druha generace Opery (od verze 15.x) uz byla/je v rukouch lidi co ignorovali principy ktere Opera uprednostnovala, tedy velke moznosti nastaveni, spousta moznosti uprav a to jak se dal prohlizec ovladat... Opera >=15 ma jen zlomek toho, naproti tomu prave Vivaldi hooodne veci z puvodni Opery ma implementovane, neskutecne mnozstni nastaveni i ovladani, preferuji soukromi uzivatele, vychozi nastaveni tomu odpovida, na svem blogu casto pisou ze netezi zadne data, sync profilu ze udelali vlastni aby byl mnohem bezpecnejsi/sifrovanejsi nez Chrome/FF...
https://vivaldi.com/cs/download/
https://vivalditips.com/cs
https://vivaldi.com/blog/

ohledne zvetseni lv...

# kdyz chces pro lv pridat konkretni velikost z vg free
sudo lvresize -L +1G /dev/jmeno_vg/jmeno_lv -r

# kdyz chces lv rozsirit na celej zbytek free
sudo lvextend -l +100%FREE /dev/jmeno_vg/jmeno_lv -r

jinak myslim ze 100% pro rootfs v scriptu funguje, to co ti nefungovalo bylo podle me jak sem pridaval lv home s tim ze pak po tvem bugreportu sem to prohodil spravne aby rootfs se delal az posledni, tedy 100% aby slo

[Petr Fiedler]

Ó, děkuji

Docela jsi mě inspiroval naučit se programovat v bashi. Už včera (předevčírem) jsem se díval na jeden seriál o tom a když to bude alespoň trochu možné, tak se tomu budu věnovat.

Jak zjistím, jakou má fleška, nebo disk erase block size? A je to v MB, nebo v MiB? Mám v tom docela zmatek. Tak nějak žiju v domění, že je lepší používat MiB. Tedy 1024 místo 1000.

To, cos psal o Vivaldi jsem četl na webu Mintu. Vím, že má mnoho funkcí. Já právě chtěl něco jednoduchého jen na ty obrázky. Mrknu ale na něj. Kdyby mi opticky vyhovoval, tak bych jej mohl mít jako svůj primární prohlížeč a na obrázky bych zatím měl Firefox. Ten je jednoduchý až moc.

Ještě k 100% rootfs. To teď funguje výborně. Já s tím měl problém, když jsem instaloval tu první flešku. Instalace tenkrát nedojela a když jsem pak dal těch 29GB, tak se to povedlo. Ale tenkrát jsem toho měnil možná víc. Už si nevzpomínám, takže to mohlo být i něčím jiným.

Každopádně díky moc. Zkusím teď nainstalovat systém nanečisto s upraveným skriptem a když to klapne, tak už to konečně dám na pc a nb a "bude klid".

A ještě jedna věc. Napadlo mě, že bych mohl udělat lvm_size jen třeba 10% a oddílům nastavit co nejmenší nezbytně nutnou velikost a pak po nainstalování systému a nastavení všeho udělat zálohu Clonezillou. Ta záloha by tak byla IMHO 10x menší, než když bych to nastavil na 100%. Jde o to, že bych pak po odzálohování, nebo obnovení potřeboval LVM roztáhnout na 100% disku. Šlo by to? A jak by to bylo se šifrováním? Když totiž nastavím 10% lvm_size, tak se šifruje jen těch 10%. Kdybych pak LVM roztáhl na celý disk, byl by celý šifrován? Případně jak to vyřešit? Data teď vůbec neřeším. Jde mi o to, že když kiksne systém, tak data budou zálohovaná a budu jen potřebovat snadno obnovit systém, abych nemusel znovu instalovat a vše nastavovat a data do něj pak zkopíruji ze zálohy.

[k3dAR]

Vivaldi urcite zkus, ma treba moznost nastavit vychozi zobrazeni stranek na jine nez 100%, dokonce u samotne rozhrani prohlizece muzes nastavit priblizeni vice nez 100% takze jeho prvky (menu/tlacitka/pismo) to zvetsi, ma rezim ctecky kdy web stranky zobrazi jen text dle nastraveni pisma/velikosti co si vyberes, dole na liste mas primo posuvnik na zoom, moznost vypnout obrazky, vypnout animovanni gifu, mas tam i profily co si muzes prepnout a vychozi vzhled webu treba nastavis na "cernobile", nebo "zvyraznenni prvku pri prejeti mysi" (oramuje to casti na kterejma mas kurzor), muzes menit barvy tematu, nastavit ze se "ucho" listu barvi podle barevneho obsahu stranky, nastavit automaticke prepiani mezi dvema (nebo nekolika) barevnejma tematama dle denni doby (resp. primo rozsahu hodin od do), takze si na den muzes dat svetle tema (rozhrani ne stranek) a na noc tmave a automaticky se prepne... a treba poznamky co si muzes ulozit tim ze zkopirujes na webu do nich text, ulozi se do poznamek, a muzes pak z poznamek zpetne otevrit i stranku z ktere si to kopiroval, nebo treba prehlednou historii(priznavam se ze to nepouzivam, ale je to propracovane tak informuju :) prohlizeni ze vidis primo kalendar a v nem kdy a kam si lezl, statistiky nejnastevovanejsich stranke, v jake denni dobe nejvice brozdas atd...

priklad CB/zvyrazneneho abclinuxu
ukazka zobrazeni 2 stranek vedle sebe a zvetsene rozhrani na 140%

k Clonezille, nevim ted vubec zda umi z LUKS?? ani si nejsem jistej zda LVM? ) zkus, uvidis, pokud by to umelo, tak si myslim ze by zalohovalo stejne jen pouzite misto, jedine ze by LUKS neumela chytre, ale jen hloupe pres DD, to pak samozrejme zalohuje vse i nepouzite, a i kdyz by to slo pres kompresi tak LUKS (v pripade "zmateni nepritele") by byl plnej bordel=nekomprimovatelne...
to ze bys lvm_size dal mene by pak teoreticky mohlo pomoci, ale roztahnout to pak je "trochu" komplikovanejsi/vicekrokove, musis roztahnout LUKS, v nem roztahnout LVM VG, v nem roztahnout LVM LV a na nich roztahnout filesystem... myslim ze novejsi GParted to moozna umi, ja to delavam rucne a bez poznamek si netroufnu

[k3dAR]

velikost "erase block size" nevim, v GNU/Linuxu nachazim tohle, ale moc moudrej z toho nejsem, mozna nejakej kolemjdouci bude tusit jinak vim ze sem tuhle narazil na windows nastroj co to mel detekovat, ale ted to nemuzu najit...

[Petr Fiedler]

Na to už jsem taky koukal, a moudrý z toho taky nejsem

[Petr Fiedler]

Tohle?

[Petr Fiedler]

Tak pokusná instalace s upraveným skriptem (MiB) dopadla dobře.