debian9 verschlüsselt installiert, startet aber nicht

[mgolbs]

Hallo,

ich habe ein debian 9 verschlüsselt, versucht, zu installieren.
/dev/sda1 /boot unverschlüsselt
/dev/sdax /home verschlüsselt
/dev/sdax /root verschlüsselt
/dev/sdax /tmp verschlüsselt
/dev/sdax swap verschlüsselt

/dev/sdb1 /daten1 unverschlüsselt
/dev/sdb2 /daten2 unverschlüsselt
/dev/sdb3 swap verschlüsselt
/dev/sdb4 /daten4 unverschlüsselt

Die Installation lief normal ab. Dauerte durch löschen bei Verschlüsselungsvorgang recht lange. Bootloader in MBR /dev/sda. Abschluss Installation wie gewohnt.

Der Neustart brachte kein login, nur grauen Bildschirm. NUM Taste lässt sich umschalten [keine Kernel Panic], System aber nicht anzupingen. Was könnte der Fehler sein? Muss ich beim Start irgend wie jedes mal die Schlüssel angeben? Wie funktioniert das?

Über Tipps wäre ich dankbar.

Gruß Markus

[cosinus]

Was könnte der Fehler sein? Muss ich beim Start irgend wie jedes mal die Schlüssel angeben? Wie funktioniert das?

Ohne Fehlermeldungen kann niemand sagen was der Fehler ist. Wie man die Passwort um den Schlüssel zu entsperren eingibt über die Tastatur muss man echt erklären? Du wirst doch beim Booten dazu aufgefordert das einzutippen
Wenn der graue Bildschirm da ist, kommst du noch auf ne echte Konsole wie zB tty1?

[rhHeini]

ich habe ein debian 9 verschlüsselt, versucht, zu installieren.
/dev/sda1 /boot unverschlüsselt
/dev/sdax /home verschlüsselt
/dev/sdax /root verschlüsselt
/dev/sdax /tmp verschlüsselt
/dev/sdax swap verschlüsselt

/boot unverschlüsselt ist ok, geht nicht anders. Insgesamt sehr kleinteilige Aufteilung. Wird interessant ob das überhaupt mit Stretch ans Laufen kommt.
Du hast bei jeder der verschlüsselten Partitionen "Volume für Verschlüsselung" aus gewählt und dann mit einem Schlüssel konfiguriert?

/dev/sdb1 /daten1 unverschlüsselt
/dev/sdb2 /daten2 unverschlüsselt
/dev/sdb3 swap verschlüsselt
/dev/sdb4 /daten4 unverschlüsselt

Watum da auch noch mal ein swap?

Die Installation lief normal ab. Dauerte durch löschen bei Verschlüsselungsvorgang recht lange. Bootloader in MBR /dev/sda. Abschluss Installation wie gewohnt.

Wenn Du noch mal drüberinstallieren solltest, kannst Du das Löschen weglassen, dann läuft es normal durch.

Der Neustart brachte kein login, nur grauen Bildschirm. NUM Taste lässt sich umschalten [keine Kernel Panic], System aber nicht anzupingen. Was könnte der Fehler sein? Muss ich beim Start irgend wie jedes mal die Schlüssel angeben? Wie funktioniert das?

Da wird der Rechner auf die Eingabe von Schlüsseln warten. Keine Ahnung wo der graue Bildschirm herkommt, das ist ungewöhnlich.

Also es sollte so ablaufen nachdem der Rechner über das Bios hinaus ist:
- Grub wird gestartet, wählt den Defaultkernel aus.
- Loading, please wait kommt.
- Danach ein paar Start-Meldungen des Kernels.
- Dann die Aufforderung /root durch Eingabe des Schlüsseln zu entschlüsseln.

Wenn das nicht kommt musst Du ein paar mehr Details zu Deiner Installation verraten.

Viel Erfolg, Rolf

[Radfahrer]

Du verschlüsselst das System und sogar swap, aber das worauf es ankommt, nämlich die Daten, nicht?
Was versprichst du dir davon?

Muss ich beim Start irgend wie jedes mal die Schlüssel angeben?

Wenn der Rechner auch ohne Eingabe des Schlüssels booten würde, wäre die Verschlüsselung ziemlich sinnlos, oder?

[bluestar]

/dev/sda1 /boot unverschlüsselt
/dev/sdax /home verschlüsselt
/dev/sdax /root verschlüsselt
/dev/sdax /tmp verschlüsselt
/dev/sdax swap verschlüsselt

/dev/sdb1 /daten1 unverschlüsselt
/dev/sdb2 /daten2 unverschlüsselt
/dev/sdb3 swap verschlüsselt
/dev/sdb4 /daten4 unverschlüsselt

Mal ganz blöd gefragt: Auf welcher Partition liegt denn / ?

[mgolbs]

Hallo,

vielen Dank für die Infos. Das Problem war der graue Bildschirm. Nach einiger Zeit habe ich einfach mal ein Zeichen auf der Tastatur getippt. Siehe da nun wurde nach den Schlüsseln gefragt und fast alles läuft wie gewollt.

Nur ein Problem habe ich noch:

/dev/sdb3 swap verschlüsselt funktioniert nicht.

Warum mache dich das alles? Ist ein "Systemupgrade" von 7.11 auf 9.x mit deutlich reduziertem Systemumfang. Die Daten

/dev/sdb1 /daten1 unverschlüsselt
/dev/sdb2 /daten2 unverschlüsselt
/dev/sdb3 swap verschlüsselt
/dev/sdb4 /daten4 unverschlüsselt

sind vom 7.11 und werden für die Migration benötigt, bin also noch am arbeiten. Am Ende werden diese Daten verschwinden oder auch verschlüsselt.

Gruß und Dank Markus

[rhHeini]

Vielleicht ist der "graue" Bildschirm ja so etwas wie ein Abschalten des Bildschirms wegen Stromsparens (Laptop?).

Noch ein Vorschlag zur Optimierung:
Man könnte das System so aufsetzen:
sda1 für /boot unverschlüsselt
sda2 als Volume für Verschlüsselung. Grösse als Summe der Teile oder sogar mehr, wenn das Laufwerk das hergibt (Flexibilität für spätere Erweiterungen).
Darin ein LVM in beliebiger Reihenfolge für:
1.) /
2.) swap
3.) /home
4.) /tmp
Hätte den Vorteil dass man nur ein mal den Schlüssel braucht.

Mfg Rolf

[mgolbs]

Hallo,

danke für den Tipp. Ist das erste mal, dass ich verschlüssele. LVM ist ein prima Tipp . Die vielen Schlüssel beim Starten einzugeben macht schon Arbeit

..wegen Stromsparens (Laptop?).

Nein, ist aber ein 32bit Intel Atom System mit ganz komischen Grafikchipeigenschaften. Daher kein X-Server mehr drauf.Dieser wurde vor etwa 4 Jahren aus dem X-Serverbetrieb ausgesondert, fror ständig ein. Als Server ohne X läuft er seit Jahren prima. Das gleiche mit Intel Grafik habe ich mit einem Lenovo Netbook durch. Dieser läuft nun ebenfalls seit ca. 50.000h permanent ohne X-Server im Dauerbetrieb als UMTS/ftp Server.

Gruß Markus

[breakthewall]

sda1 für /boot unverschlüsselt

Entgegen mancher Meinungen, muss /boot nicht unverschlüsselt bleiben, zumal GRUB seit geraumer Zeit verschlüsselte Volumes öffnen kann. Das lässt sich auch nach einer Installation einfach nachträglich konfigurieren, oder man macht das bereits im grafischen Installer. Hierfür muss man im Installer lediglich auf ein Terminal wechseln, und unter /target/etc/default/grub die Zeile "GRUB_ENABLE_CRYPTODISK=y" hinzufügen, damit GRUB ein verschlüsseltes Boot-Volume öffnen kann. Eigentlich machen das einige Linux-Distributionen bereits von Haus aus, doch trotz einiger Einträge in der Mailingliste über Jahre hinweg, wird das unter Debian standardmäßig nach wie vor nicht umgesetzt. Nicht wirklich nachvollziehbar. Allerdings werden damit beim Systemstart zwei Passworteingaben fällig, was man ggf. mit einer Schlüsseldatei in der Init selbst lösen könnte.

[mgolbs]

Hallo,

danke für den Tipp. Das mit dem boot hat mich auch gewundert. Da könnte man ja was einspielen...

Man kann also unter Linux auch Partitionen mit Daten nachträglich verschlüsseln?

Gruß und Dank Markus

[rhHeini]

Entgegen mancher Meinungen, muss /boot nicht unverschlüsselt bleiben, zumal GRUB seit geraumer Zeit verschlüsselte Volumes öffnen kann. Das lässt sich auch nach einer Installation einfach nachträglich konfigurieren, oder man macht das bereits im grafischen Installer. Hierfür muss man im Installer lediglich auf ein Terminal wechseln, und unter /target/etc/default/grub die Zeile "GRUB_ENABLE_CRYPTODISK=y" hinzufügen, damit GRUB ein verschlüsseltes Boot-Volume öffnen kann.

Danke, sehr interessant, höre zum erstem mal davon das so etwas geht. Hab natürlich gleich gesucht, aber keine HowTos oder Artikel darüber gefunden, nur wieder die alten Geschichten wo drin steht das /boot unverschlüsselt zu bleiben hat. Kannst Du auf ausreichend ausführliche Beschreibungen für einen Praktiker wie mich verweisen, in denen das eine oder andere beschrieben ist? Mir haut es jedenfalls erst mal Fragezeichen raus wenn da steht im Installer ein Terminal zu öffnen. Habe ich noch nie benötigt. Wie geht das? Oder was bedeutet das "/target", steht das als Dummy für z.B. /dev/sda1?

Gruss, Rolf

[spiralnebelverdreher]

Danke, sehr interessant, höre zum erstem mal davon das so etwas geht. Hab natürlich gleich gesucht, aber keine HowTos oder Artikel darüber gefunden, nur wieder die alten Geschichten wo drin steht das /boot unverschlüsselt zu bleiben hat. Kannst Du auf ausreichend ausführliche Beschreibungen für einen Praktiker wie mich verweisen, in denen das eine oder andere beschrieben ist?

Wurde hier https://debianforum.de/forum/viewtopic ... 7&t=168249 schon mal diskutiert.

Beitrag geändert, da falscher Beitrag zitiert wurde und meine ursprüngliche Antwort nicht dazu passte.

[breakthewall]

Kannst Du auf ausreichend ausführliche Beschreibungen für einen Praktiker wie mich verweisen, in denen das eine oder andere beschrieben ist?

Diesbezüglich jetzt nicht, also eine Beschreibung wie man das nachträglich tut. Da müsste man schon etwas erarbeiten. Aber das ist an sich auch kein Hexenwerk.

Mir haut es jedenfalls erst mal Fragezeichen raus wenn da steht im Installer ein Terminal zu öffnen. Habe ich noch nie benötigt. Wie geht das? Oder was bedeutet das "/target", steht das als Dummy für z.B. /dev/sda1?

Im grafischen Installer hast jederzeit die Möglichkeit zurückzugehen, womit sich ein Menü offenbart indem einzelne Schritte auswählen kannst. Darüber kannst dann auch eine Shell öffnen und die Installation bearbeiten, oder Du kannst alternativ auch mittels Strg+Alt+FX (X kann bspw. 2 sein), dass aktuelle TTY wechseln, und hast auch so ein weiteres Terminal. Und was dieses "/target" angeht, so ist das ein typischer Pfad einer Debootstrap-Installation, die genau dann stattfindet wenn im Installer "Das Grundsystem wird installiert" erscheint. Damit werden eben die grundlegenden Bestandteile eines Debian-Systems aus dem Repository gezogen, was im Anschluss entsprechend eingerichtet und mit ausgewählter Software erweitert wird. Und wenn nun ein vollständig verschlüsseltes System aufsetzt, musst eben eine Shell öffnen und der GRUB-Konfiguration die beschriebenen Werte hinzufügen, bevor GRUB am Ende installiert und eingerichtet wird.