Dotaz: Centos 7 a instalace šifrovaného systému na SSD

[lertimir]

Tak si říkám: "I ty brute." Už i Centos mi nutí nějaké postupy a nedělá, co bych od něj chtěl. Jednoduchý ukol. Chci mít na SSD nainstalovaný šifrovaný systém. Měl jsem takovou jednoduchou ideu 3 oddíly:

1. swap - šifrovaný
2. /boot - nešifrovaný, btrfs
3. / - šifrovaný root taktéž btrfs

btrfs s ideou, že jednak kontrolní součty a snapshoty a jednak jedinný FS, který zatím rozumí SSD.

A nejde to. Milý centos mi při instalaci neumožní navrstvit LUKS a btrfs nad sebe.

---

---

Odpovědi

[lertimir]

Tak oprava umožní, ale je dost hodně nepřehledné. Protože přimární dělení které nabízí je podle moutpionů které následně seskupuji bud od LVM volumů nebo btrfs volumu. Není to tak, jak jsem byl moho let zvyklý nejdříve nadefinovat oddíly a pak případně jaké vrstvy (raid, luks, lvm) nad nimi a finálně FS.

[k3dAR]

proc nesifrovanej boot?

[lertimir]

Na desktopech mám na SSD i s šifrovaným bootem, ale to jsem stavěl na Archu. Instalátor Centosu ve chvili, kdy jsem boot zahrnul do oddílu, odmítl oddíl šifrovat. Patrně nemá zahrnuto začlenění encrypt modulu do grubu.

[k3dAR]

aha :) no ja to resil v Xubuntu kdy instalator boot cryptovanej taky neda, ale tak sem si cele disk/luks/lvm/swap+boot+rootfs (tedy ext4, ne btrfs) pripravil rucne a pak pustil instalator kteremu uz sem predhodil hotove rozdeleni :)

[Honza]

A co takhle LVM nad LUKS? Budeš mít všechno šifrované:

/dev/mapper/vg-boot (Btrfs?)

/dev/mapper/vg-swap

/dev/mapper/vg-centos (Btrfs) a pod ním sbvolumes (@root, @home, @var,....)

[lertimir]

Takhle to funguje ve chvili, když máš svobodu vrstvit bloková zařízení libovolně nad sebe. Jak jsem zmínil instalátor centosu nabídne LVM nebo BTRFS. Obojí umožní samozřejmě jako multivolume vrstvu, ale neumožní je postavit BTRFS nad LVM. A v jistém směru má pravdu, z většiny situací je to volba bezesmyslu. I tvůj návrh se dá stáhnout na dva oddíly swap a root a /boot mít jako subvolume pokud je to potřeba a pak je celkem možné to dělení provést přímo na oddílech bez LVM, protože první dáš swap a tak velký, aby jsi ho už nemusel zvětšovat (jedinou protřebu pro zvětšení swapu jsem měl jedinkrát když jsem zvedl pamět v notebooku z 4G na 16G a chtěl jsem zachovat možnost hibernace). Muj problém byl, že jako primární instalátor nenabídl dělení na oddíly a na nich pak následně nějaké vrstvené blokové zařízení a pak FS, ale má to zcela obráceně. Nabízí mountpointy, na nich jsou definované FS a ty jsou združené do volumů LVM nebo BTRFS. Kde to fakticky na tom disku bude, není dostupná volba.

[Honza]

Předně máš pravdu, že můj příklad by šel realizovat bez LVM.

Jinak už chápu omezení CentOS. Mám dojem, že jsem něco podobného zkoušel na Fedoře a bylo to tam stejně jak popisuješ u CentOS. Mluvím tedy o grafickém instalátoru...

[Honza]

a k tomu LUKSu cryptokeyfile (chmod 000) buď na rootu nebo pro laptop třeba na flasku...