Dotaz: ZFS a linux

[Lojza]

Ahoj všem. Znáte někdo nějakou linuxovou distribuci, která by nabízela možnost výběru ZFS již během instalace z instalačního média, tak jak to má např. FreeBSD? A hodila by se i možnost kompletního zašifrování disku (taktéž jako FreeBSD)... Předem moc děkuji za vaše odpovědi.

Odpovědi

[X]

Ubuntu, Mint, Arch, Debian etc.

[Lojza]

Jste si jistý s tím Linux Mint? Debian jsem zatím nezkoušel, Ubontu nechci a ARCH používám nyní, ale chci přejít na nějakou NON rolling distribuci. Zrovna včera jsou zkoušel nainstalovat Linux Mint 22.1 "XIA" a i když jsem při instalaci zvolil "rozšířené možnosti rozdělení disku", tak mezi nabízenými souborovými systémy jsem ZFS nenalezl. Něco dělám špatně ???? Děkuji.

[dustin]

https://www.linuxmint.com/rel_wilma.php kapitola "ZFS removed"

[Vtipnéř]

V tomto dotazu se píše, že Mint ZFS nabízí, v následné diskusi je uvedeno, že nikoliv. Tipnul bych si, že pravda bude to druhé. Ale možná jde Mint nainstalovat na disk, kde už je ZFS připraven. Zkus zapátrat v tomhle směru.

Jirka

[rpajik]

Debian určitě nepodporuje nativně v instalátoru instalaci na ZFS. Ne že by ta distribuce nainstalovat nešla ( bootnout livecd s podporou zfs, připravit si disk, debootstrap, upravit pár konfiguráků, zapsat grub a hotovo ), ale tenhle postup má k nativní podpoře hodně daleko

[luky]

Debian to v instalatoru podporuje jen na FreeBSD kernelu, na Linuxu je ZFS instalovane pres dkms, takze si ho clovek musi nejdriv prelozit a pak behem instalace nahrat a nebo system nainstalovat na jinej FS a ZFS pouzivat jen pro data.

[Michal]

Arch rozhodne ne. V "instalatoru" takova volba neni a zprovoznit to rucne (zejmena pokud chces mit na ZFS (treba kvuli redundanci nebo snapshotum) i pro boot) je desssny porod pac potrebujes kernel moduly, ktere na instalacnim mediu nejsou. Debian take ne. Covece, cetl jsi vubec ten dotaz? Siris dezinfo.

[Heretik 《小魔神》]

Ve FreeBSD, geli šifrování šifruje blokové zařízení nezávisle ještě pod souborovým systémem.

To znamená, že celý ZFS ZPOOL je zcela bezpečně zašifrovaný včetně /boot i v případě, že se z něj bootuje. Passfrázi je nutno zadat ještě před zavedením bootloaderu. I samotný bootloader je tedy zabezpečený. Prověřit integritu samotného geli iniciátoru lze nezávisle na instalovaném systému.

Tuto úroveň zabezpečení (původně požadované NSA, z pochopitelných důvodů) nejde v Linuxu napodobit. Geli nemá v Linuxu technickou alternativu.

[Andrej]

Passfrázi je nutno zadat ještě před zavedením bootloaderu.

Achilles a jeho pata. A jasně, každý admin při každém bootu každé z 10000+ mašin půjde rád zadat „procházecí větu“ pro nějaké lubrikační-GELI. To aby si na to na všechny ty vzdálené konzole udělal nějaký společný skript, co? Který tam pak to heslo pošle skrz 128b AES :-P s předvídatelným klíčem. Ach jo.

Geli nemá v Linuxu technickou alternativu.

To opravdu nemá. Nic tak špatného jako GELI současný Linux snad už vůbec nenabízí. LUKS2 FTW.

[Peter Golis]

A nedal by sa GELI podpísať dôveryhodným verejným kľúčom aby ho Secure Boot pustil do pamäte kam sa dá nahrať šifra na disk? Aby nebolo treba voľačo zadávať pri štarte. Linux a Windows to tak majú už strašne dávno.

[pavel]

Zdravím. A jakým způsobem to řešíte vy v linuxu?
Pokud vím, tak zas takový rozdíl zde není. Ten aproach je podobný.
Jak již bylo zmíněno GELI umožňuje kompletní zašifrování celého disku, vč. /boot zatímco LUKS potřebuje mít /boot neencryptovaný. Dále pak tuším, že LUKS neencryptuje prvních 8 bytů disku. Takže z tohoto pohledu je "teoreticky" GELI lepší. Nicméně, i GELI lze implementovat úplně stejně, tedy mít například některou partitionu neencryptovanou (/boot) či jinou. Taktéž lze dekryptovací klíč natáhnout z filu. Akorát jsme tady u problému "slepice/vejce". Nemá smysl mít decr. key na nešifrované partitione.
Těch řešení je spousta. Například natažení klíče z remote serveru a nebo (asi ideálně) HSM/TPM modul. A nebo...lze také použít ZFS encryption pro konkrétní datasety.
FreeBSD handbook disk encryption
geli(8)

[Peter Golis]

Jak již bylo zmíněno GELI umožňuje kompletní zašifrování celého disku, vč. /boot zatímco LUKS potřebuje mít /boot neencryptovaný.

LUKS to nepotrebuje. Potrebuješ nejaký zavádzač na médiu ktorý vie (a je ochotný) spustiť priamo Firmware počítača. Ten je v prípade UEFI na EFI partícii, a v prípade emulácie BIOSu je na začiatku MBR. Ten zavádzač sa postará o zvyšok. Kľudne si aj vypýta prístup do TPM za účelom ...

Dokáže si GELI sám odomknúť zakryptovaný disk, alebo tam musíš zadávať nejaké heslo aby mal čím odomknúť disk? Nielen v Linuxe sa to dá zautomatizovať, bez nutnosti zadávať voľačo pri štarte.

[pavel]

OK, možná jsme se úplně nepochopili.
Pokud používám encryption pomocí GELI, tak bsd bootloader se sám zeptá buď na passphrase, decryp. file, TPM, nebo remote lokaci (ssh, https atd.). Toto se děje vše v UEFI/BIOS fázi, kdy ještě není naloadovaný kernel. Tedy GELI je vlastnost bootloaderu. (/boot/loader.conf) Tedy partitiony: freebsd-boot příp. efi nejsou encryptované (pokud jsem to blbě popsal v předchozím příspěvku, tak se omlouvám).
Na linuxu,resp. LUKS decryptuje partitions až po naloadovaní kernelu a initramfs (dm-crypt/LUKS). Tedy není součástí bootloaderu (GRUBU).

[Tom K]

Takže v principu je to stejné, protože když to budu chtít napadnout, v případě BSD změním zavaděč, kdežto u Linuxu budu sahat do initrd. Jakž takž použitelnou obranou je secure boot s podepsaným zavaděčem (BSD) nebo kernelem a initrd (Linux).

[Peter Golis]

Na linuxu,resp. LUKS decryptuje partitions až po naloadovaní kernelu a initramfs (dm-crypt/LUKS). Tedy není součástí bootloaderu (GRUBU).

Ako som spomínal, tak Grub má v sebe moduly na LUKS a TPM. Takže si sám vie sám odkryptovať disk bez akejkoľvek interakcie s užívateľom. Mám to otestované a funkčné.

To že si kernel resetne tento odomknutý prístup a odomyká to druhý krát je síce pravda, ale bezpredmetná keďže initrd si to vie tiež sám odomknúť s pomocou TPM.

[tom]

Passfrázi je nutno zadat ještě před zavedením bootloaderu.

Achilles a jeho pata. A jasně, každý admin při každém bootu každé z 10000+ mašin půjde rád zadat „procházecí větu“ pro nějaké lubrikační-GELI. To aby si na to na všechny ty vzdálené konzole udělal nějaký společný skript, co? Který tam pak to heslo pošle skrz 128b AES :-P s předvídatelným klíčem. Ach jo.

V pripade, ze admin neni totalni vypatlanec, tak si to udela tak, aby se to muselo zadavat jen pri coldstartu.

[Lojza]

Všem děkuji za jejich odpovědi. Vychází mi z nich, že bohužel žádná distribuce nemá v současnosti nativní podporu ZFS (tedy přímo volitelnou v průběhu instalace). Pravděpodobně tedy po mnoha letech zkusím dát šanci FreeBSD, a uvidím..... Za ta léta (Solaris, Open Solaris, Open Indiana) mám ZFS hodně zažité, a na, v linuxu celkem běžné, BTRFS se přeučovat nechci. Osobně si myslím, že ZFS je prostě lepší.

[Peter Golis]

Ale má, a je to aj naklikateľné počas sprievodcu inštaláciou. Len je to označené ako experimentálna funkcionalita.

PS: Schválne neuvádzam o aké distribúcie sa jedná. Už len kvôli tomu tvojmu nesprávnemu záveru.

[Lojza]

No tak, nebuďte prosím ohledně té distribuce tajnůstkář....... Jaký "nesprávný závěr" máte na mysli? Děkuji.

[dustin]

Mám pár strojů se ZFS rootem (na debianu) + boot přes ZFSBootMenu a funguje to výborně. Instalace nebyla na pár kliknutí v instalátoru, ale žádná velká věda pro trochu znalého linuxu.

[Lojza]

Ale já nikde netvrdím, že by to nešlo.... Sám mám ZFS na Arch Linuxu a také to nebylo na pár kliknutí. Pouze bych chtěl přejít na nějaké Non Rolling distro, a předpokládám (možná naivně), že pokud bude možnost ZFS přítomna jako volba přímo v instalátoru, tak že to ta distribuce bude mít lépe odladěné, než jiná, do které to budu muset "naroubovat"

[dustin]

Tak určitě by byl postup jednodušší, ale odladěnost nevím - modul do jádra spíš neovlivní a pomocné nástroje (zed atd.) jsou asi standardizované.

[Peter Golis]

A načo by som to zverejňoval? Skús sa opýtať umelej inteligencie tvoju otázku, a ona už za teba zadá kľčové slová "linux root on ZFS" do vyhľadávača. Síce s tebou prejde jednu odpoveď za druhou a poskytne ti tak aj nesprávne odpovede, ale na tretí pokus by ti mala poskytnúť napríklad odpoveď z dva roky starej diskusie na Reddite.

Práve rozmýšľam či bola pôvodná otázka len znudený trolling, alebo sa jedná o obraz sociálnej zručnosti snehových vločiek. Ale je mi to jedno keďže zadávateľ otázky mal dopredu jasno už pred položením jeho otázky. A netajil si sa tým.

[Lojza]

Nezlobte se pane Golis, ale já jsem zde ve vší slušnosti položil dotaz k věci, která mě zajímá. Nikoho jsem nenapadal a byl jsem korektní. A teď se tedy omlouvám za můj následující text.... Připadáte mi jako takový rypák, který z ostatních dělá hlupáky nebo rovnou trolly, ale poradit nedokáže. Osobně mám Slováky rád, často na Slovensko jezdím a mám tam mnoho přátel, ale takový , s prominutím, kokot, jako jste vy, by mezi ně opravdu nepatřil.... Takže to vaše tajemství ohledně té distribuce si strčte tam, kam slunce nesvítí. A když si uvědomím, že tento web navštěvují i nováčci, kteří se s Linuxem teprve seznamují, a odpovíte jim vy... No potěž koště... Naštěstí jsou zde i normální lidé, kteří se snaží pomoci, a těch je naštěstí většina. Máte pane Golis nějaký mindrák, a takto si ulevujete????

[Peter Golis]

Ja sa nemám prečo hnevať na človeka ktorý nepreukáže snahu vyriešiť svoj problém, a nezadá otázku do vyhľadávača aby nemusel čakať na to kým naň bude mať niekto čas. Tak isto sa nemám prečo hnevať na človeka, ktorý pozná preňho jedinú prijateľnú odpoveď.

Tak isto sa nemám prečo hnevať na človeka, ktorý nepozná (okrem spomenutej ochoty riešiť svoj problém) ani elementárnu slušnosť. Taký človek je pre mňa menej ako vydýchaný vzduch.

Takže ak nieste schopný ani kliknúť na ten odkaz čo som sem dal, a pozrieť si ktoré distro to zvláda, tak ste tie vaše prívlastky pridelil nesprávnemu cieľu vášho od počiatku plánovaného útoku a vašej zjavnej snahy o rozpútanie zbytočnej hádky. A to sa vám nepodarilo. Namiesto ste sa prejavil ako človek vystupujúci pod rôznymi falošnými menami, a snahou o ...

[GeorgeWH]

Golis je kokot, ignoruj ho.

[RealJ]

je to jirsakuv slovensky bratranec... tata stejny, mama jina... kokotismus dedicny...

[RealJ]

to je tak kdyz zacnu neco psat a pak utecu nekam jinam... jirsakuv nevlastni bratr je to...

[Peter Golis]

Základom slušnosti je uvedomiť si kto má ten problém, a neočakávať že ten problém niekto zaňho v plnej miere vyrieši bez akéhokoľvek vzťahu. Tak isto patrí ku elementárnej slušnosti poďakovať za radu, ktorá hoci len nasmeruje ku riešeniu daného problému, alebo priamo zodpovie prípadnú otázku.

Tú radu som poskytol, a dokonca aj vo formáte že na to stačilo kliknúť a prečítať. Namiesto slušného chovania sa mi dostalo za to opakovaného hrubého osočovania.

Nuž, čo viac dodať? Ja ten mindrák nemám, má ho niekto iný. Menovať nemusím.

[xxxs]

prva veta je v pohode.

druha veta sa u teba v reale trosku odlisuje od teorie. normalne, ked sa niekomu dava informacia, tak sa neuvadza s emocionalnou informaciou, ze dopytujuci sa, je idiot. ludia totiz maju tendenciu reagovat aj na tuto cast(prekvapenie!) a trosku to odvadza od podstaty. ani slovickarenie a chytanie sa naznaku chyby, neprospieva konverzacii, pokial je je jasna idea podania. a uz vobec neprospieva nicomu zahrat sa na detektiva orieska, na zaklade par informacii si vykonstruovat nejaku divoku realitu, tej sa drzat a vypisovat podjeby.

[Peter Golis]

Áno. On namiesto toho aby klikol a prečítal si odpoveď, tak zareagoval ako idiot. Tým potvrdil že sa mu ako mentálne nevyspelému jedincovi ani nechcelo zadať danú otázku do vyhľadávača a išlo mu len o jeho citový výšplech.

Toľko ku podjebom, urážkam, a prospechu konverzácie v divokej realite. S podobnými ľuďmi mám dlhoročné skúsenosti aj v komerčnej sfére.

[Ruda]

ZFS sice nepoužívám, ale nejnespolehlivejší fs BTRFS by mě již nikdy nenapadlo použít! Čekám jak to dopadne s bcachefs který bych rád vyzkoušel.

[Want]

Hodně zdaru při natloukání čumáku.

[Vera Pohlova]

Pri racionalnim backupu se zadne natloukani nekona. Doma urcite ne, cas te netrapi. A na produkci je to o redundanci a rychlosti obnovy. Tyhle zabomysi valky o filesystemech nikoho nezajimaji, ja bych je zakazala.

[mikrom]

Příloha:

• ksnip_20250220-104057.png (93749 bytů)

napriklad Linux Mint 21.3 ma moznost vybrat ZFS uz pri instalacii

[dustin]

Ano, nicméně v následující verzi to zrušili a nyní to již aktuální instalátor nenabízí.

Samozřejmě lze použít starší instalátor a následně Mint upgradnout na nejnovější.

[mikrom]

ano, Linux Mint 22 to uz nema:

ZFS support was removed from the installer. This feature wasn't used by many people and required a significant amount of work and maintenance to be properly tested and supported. (Linux Mint 22 Release notes)

Napriek tomu sa da este stale pouzivat Linux Mint 21.3, ktory je supportovany az do aprila 2027

[Miki]

Ubuntu to ma tiez vo Flutter instalatore.

[Peter Golis]

Má to tam už asi 5 rokov. Za tú dobu sa tá implementácia moc nezmenila.