[gelöst] Installation Debian 10 auf UEFI Notebook, kein grub Menü?

[Exxter]

Hallo,

zuerst machte ich auf einem Acer Aspire R3-131T ein BIOS Reset und deaktivierte Secure Boot, UEFI ist an (Debian Buster lief vorher schon etliche Jahre im "Legacy Modus"). Danach installierte ich Win10 und lies genug Platz für Debian. Dann installierte ich Debian Buster mit der Netinstall debian-10.4.0-amd64-netinst.iso vom USB-Stick aus (der Stick wurde mit RUFUS erzeugt mit dem Partitionsschema GPT und "UEFI (ohne SCM)" . Außer eine Meldung, ich könnte die Treiber-CD für den WLAN-Controller einlegen, den ich für die Installation aber nicht benötige, lief die Installation ohne Fehler durch. Ich machte sie schon zwei mal, beim zweiten Durchlauf ging ich am Ende nochmal zurück auf "Grub installieren", da führt er grub-install auch ohne Fehler aus. Aber grub erscheint nicht als Bootmenü, der Laptop startet sofort Win10.

Ich war schon im Rescue-Modus des Installers, dort kommt aber die Meldung, er findet die Installations-CD nicht. Ich kann damit zwar eine Shell starten, dort gibt es aber nicht mal grub-install etc.

Ich habe schon Artikel zB. den hier: https://www.heise.de/ct/artikel/Fragen- ... 50027.html
gelesen, aber mein Problem scheint nicht dabei zu sein.

Jemand eine Idee dazu?

[Patsche]

Ich kann mich irren, aber ist es nicht so, dass, wenn man im UEFI-Modus installiert, Debian nur über das Bootmenü des Mainboards auswählen kann, welches Betriebssystem man startet?
Wenn man im Legacy Modus installiert, dann wird grub auf die Festplatte geschrieben, aber im UEFI Modus direkt auf einem speziellen Speicvherbereich auf dem Mainboard.
Eigentlich sollte sich Debian jetzt über dein Bootmenü (F10 oder so) starten lassen.

[Exxter]

Also wenn ich das Bootmenü mit F12 aufrufe bekomme ich nur "Windows Boot Manager (Name der SSD)" angezeigt. Und unter Windoof:

Code: Alles auswählen

C:\Windows\system32>bcdedit

Windows-Start-Manager
---------------------
Bezeichner              {bootmgr}
device                  partition=\Device\HarddiskVolume1
path                    \EFI\Microsoft\Boot\bootmgfw.efi
description             Windows Boot Manager
locale                  de-DE
inherit                 {globalsettings}
default                 {current}
resumeobject            {84e43008-bc56-11ea-b032-fa91ad8bee46}
displayorder            {current}
toolsdisplayorder       {memdiag}
timeout                 30

Windows-Startladeprogramm
-------------------------
Bezeichner              {current}
device                  partition=C:
path                    \Windows\system32\winload.efi
description             Windows 10
locale                  de-DE
inherit                 {bootloadersettings}
recoverysequence        {84e4300a-bc56-11ea-b032-fa91ad8bee46}
displaymessageoverride  Recovery
recoveryenabled         Yes
isolatedcontext         Yes
allowedinmemorysettings 0x15000075
osdevice                partition=C:
systemroot              \Windows
resumeobject            {84e43008-bc56-11ea-b032-fa91ad8bee46}
nx                      OptIn
bootmenupolicy          Standard

C:\Windows\system32>

Aber das wäre schon ein NoGO, dann müsste ich wieder alles im Legacy MOdus installieren. Ich möchte ja nicht ständig F12 drücken um Debian zu booten..

[Patsche]

Hast du Debian manuell installiert?

[Exxter]

Hast du Debian manuell installiert?

Manuell installiert, über debootstrap? Nein, ich verwendete immer die offizielle Debian iso debian-10.4.0-amd64-netinst.iso per USB-Stick.

[Patsche]

Nein.
Ich meine:
Hast du Einhängepunkte selbst gewählt?

[Exxter]

Bei der Partitionierung habe ich auf Manuell gewechselt und habe die Partitionierung von der ersten Installation weiter verwendet. Ich habe also nur die ca 250GB Partition angewählt, dort den Einhängepunkt / gewählt, formatieren gewählt und die Partitionierung übernommen. Beim der Installation von Grub habe ich nichts angegeben.
Aber das probiere ich gleich mal, alle Partitionen löschen bis auf die von Windoof, und dann Debian nochmal installieren. Vielleicht wollte der Installer eine weitere efi-Partition anlegen?

Edit: das Löschen der Partitionen war es auch nicht. Habe auch mal die linuxmint-20-xfce-64bit.iso installiert, ist das gleiche Verhalten.

[Tintom]

Bei einem UEFI-Dualboot solltest du auch die EFI-Partition (ESP) von Windows mitbenutzen. Hast du das im Installer ausgewählt?

[Patsche]

Bei einem UEFI-Dualboot solltest du auch die EFI-Partition (ESP) von Windows mitbenutzen....

Genau darauf wollte ich hinnaus.
Wenn man Windows installiert, dann erstellt Windows eine EFI Partition. Und auf dieser EFI Partition muss man dann den EFI Einhängepunkt legen, wenn man manuell installiert.

[Exxter]

Also langsam weiß ich nicht mehr weiter. Ich habe den Debian Installer nochmal gestartet und habe bei der Installation "Geführt - vollständige Festplatte verwenden" genommen, also nichts manuell ausgewählt. Es kommt auch kurz die Meldung, dass er etwas wie Shim und grub-efi installiert, keine Fehler. Nach dem ersten Reboot kommt aber "No Bootable Device". Es kann also nicht an der Partitionierung liegen.

Ich boote jetzt mal eine Desinfect und schaue mir die Partitionierung an:

Code: Alles auswählen

root@desinfect:~# fdisk -l /dev/sda
Festplatte /dev/sda: 465,8 GiB, 500107862016 Bytes, 976773168 Sektoren
Einheiten: Sektoren von 1 * 512 = 512 Bytes
Sektorgröße (logisch/physikalisch): 512 Bytes / 512 Bytes
E/A-Größe (minimal/optimal): 512 Bytes / 512 Bytes
Festplattenbezeichnungstyp: gpt
Festplattenbezeichner: 621382E0-4A96-4CF0-92F1-EDE6AD25575C

Gerät         Anfang      Ende  Sektoren  Größe Typ
/dev/sda1       2048   1050623   1048576   512M EFI-System
/dev/sda2    1050624 960335871 959285248 457,4G Linux-Dateisystem
/dev/sda3  960335872 976771071  16435200   7,9G Linux Swap
root@desinfect:~# 

Code: Alles auswählen

root@desinfect:~# efibootmgr 
BootCurrent: 0001
Timeout: 0 seconds
BootOrder: 2001,2002,2003
Boot0000* debian
Boot0001* USB HDD: KingstonDataTraveler 3.0
Boot2001* EFI USB Device
Boot2002* EFI DVD/CDROM
Boot2003* EFI Network
root@desinfect:~# 

Ich bin auch nochmal ins BIOS, bei "Boot priority order" steht die SSD an erster Stelle. Und im Bootmenü mit F12 kommt kein Eintrag, nur der USB Stick mit Desinfect drauf.

Jetzt dachte ich, vielleicht das BIOS updaten, aber es ist bereits die neueste Version v1.17.
Herstellerseite des Notebooks: https://www.acer.com/ac/de/DE/content/s ... t/6074?b=1

Heißt das, ich muss wegen Debian wieder zurück auf Legacy?

Edit: habe gerade noch das hier gefunden: https://www.heise.de/forum/heise-online ... 2871/show/

[OrangeJuice]

Setze mal Debian als erstes "efibootmgr -o 0" und "efibootmgr -v" zeigt noch etwas mehr an. Was steht denn in "/etc/default/grub"?
Was sagt denn "mokutil --sb-state"?

Hat es einen bestimmten Grund, warum du Secoreboot ausgeschaltet hast? Der Legancy-Modus ist ein Zwischending gewesen und wird bald nicht mehr verwendet.

[Exxter]

Setze mal Debian als erstes "efibootmgr -o 0" und "efibootmgr -v" zeigt noch etwas mehr an. Was steht denn in "/etc/default/grub"?
Was sagt denn "mokutil --sb-state"?

Hat es einen bestimmten Grund, warum du Secoreboot ausgeschaltet hast? Der Legancy-Modus ist ein Zwischending gewesen und wird bald nicht mehr verwendet.

Habe wieder erst Win10 installiert, danach Debian wie oben beschrieben. Wieder gleiches Verhalten, es startet sofort Windows. Unter Desinfect:

Code: Alles auswählen

root@desinfect:~# efibootmgr -v
BootCurrent: 0002
Timeout: 0 seconds
BootOrder: 0001,2001,2002,2003
Boot0000* debian	HD(1,GPT,e1872194-0d6d-4854-ae99-b4975c90c620,0x800,0x32000)/File(\EFI\debian\shimx64.efi)
Boot0001* Windows Boot Manager	HD(1,GPT,e1872194-0d6d-4854-ae99-b4975c90c620,0x800,0x32000)/File(\EFI\Microsoft\Boot\bootmgfw.efi)WINDOWS.........x...B.C.D.O.B.J.E.C.T.=.{.9.d.e.a.8.6.2.c.-.5.c.d.d.-.4.e.7.0.-.a.c.c.1.-.f.3.2.b.3.4.4.d.4.7.9.5.}...a................
Boot0002* USB HDD: KingstonDataTraveler 3.0	PciRoot(0x0)/Pci(0x14,0x0)/USB(7,0)/USB(3,0)/HD(1,MBR,0xbe4804d4,0x544000,0x99c001)RC
Boot2001* EFI USB Device	RC
Boot2002* EFI DVD/CDROM	RC
Boot2003* EFI Network	RC
root@desinfect:~# 

Habe die Bootreihenfolge geändert:

Code: Alles auswählen

root@desinfect:~# efibootmgr -o 0000,0001 
BootCurrent: 0002
Timeout: 0 seconds
BootOrder: 0000,0001
Boot0000* debian
Boot0001* Windows Boot Manager
Boot0002* USB HDD: KingstonDataTraveler 3.0
Boot2001* EFI USB Device
Boot2002* EFI DVD/CDROM
Boot2003* EFI Network
root@desinfect:~# 

Danach reboot und er bootet trotzdem sofort Windows.

In der /etc/default/grub vom installierten Debian steht:

Code: Alles auswählen

GRUB_DEFAULT=0
GRUB_TIMEOUT=5
GRUB_DISTRIBUTOR=`lsb_release -i -s 2> /dev/null || echo Debian`
GRUB_CMDLINE_LINUX_DEFAULT="quiet"
GRUB_CMDLINE_LINUX=""

Ich vermute, "mokutil --sb-state" muss ich direkt unter dem Debian ausführen, da das aber nicht bootet kann ich das aktuell nicht.

Was mir gerade aufgefallen ist, "Timeout" steht auf 0, bedeutet das, dass da gar kein grub-menü kommen kann?

Noch eine Frage vergessen, sorry. Secureboot ist aus, weil ich in vielen Anleitungen gelesen habe, das sollte man ausschalten. Kann man das mittlerweile auch mit Debian einschalten?

[OrangeJuice]

Du kannst auch unter Windows nachschauen ob Secureboot angeschaltet ist. "mokutil --sb-state" wird auch vom USB-Live-Stick aus angezeigt.

Code: Alles auswählen

HKLM\System\CurrentControlSet\SecureBoot\State

***Edit***Das ist bei deinem Acer wohl nicht der Fall.
Ich habe zu Acer noch das hier gefunden:

In vielen BIOS-Setups findet sich die Option zum Ein- und Ausschalten von Secure Boot im Untermenü „Security“, manchmal aber auch bei „Boot“ oder an überraschenden anderen Stellen. Bei einem älteren Acer-Notebook erschien die Option erst, nachdem ein Passwort für den Aufruf des BIOS-Setup vergeben wurde.

Windows verträgt es bislang problemlos, wenn man bei einer UEFI-Installation Secure Boot nachträglich ein- oder ausschaltet. Wenn der BIOS-Bootmodus aktiv ist, ist Secure Boot zwangsläufig abgeschaltet.
Quelle

Zum testen könntest du auch den Windows Bootloader mal deaktivieren(mit einem kleinen "a" wird er wieder auf aktiv gesetzt). Der Grub Timeout ist doch auf 5, sollte also auch von 5 herunterzählen, wenn alles funktionieren würde.

Code: Alles auswählen

efibootmgr -b 0001 -A

Secureboot läuft mit Debian Buster. Ab Kernel 5.4 kann man zusätzlich noch den Kernel-Lockdown(integrity oder confidentiality)in Grub setzten. Mir hat es geholfen zu sehen, dass mit meinem System etwas nicht stimmt.

Code: Alles auswählen

security_lockdown_lsm_early lockdown=confidentiality

Damit kann man es überprüfen:

Code: Alles auswählen

cat /sys/kernel/security/lockdown

Bei deinem System scheint aber etwas nicht zu stimmen, es sollte eigentlich laufen. Vielleicht ist noch /boot notwendig.

[Exxter]

Ich habe Secureboot jetzt aktiviert. Unter Windows wird angezeigt, dass sowohl im UEFI-Modus gebootet wurde (in den Systeminformationen "BIOS-Modus: UEFI") als auch SecureBoot aktiv ist (auf der PowerShell "Confirm-SecureBootUEFI" -> True). Trotzdem meint EasyUEFI, es sei nicht so. Unklar.

Unter Desinfect:

Code: Alles auswählen

root@desinfect:~# cat /sys/kernel/security/lockdown
[none] integrity confidentiality
root@desinfect:~# 

Was mich aber wundert, der hat die Bootreihenfolge nicht gespeichert. Ich probiere jetzt mal, Windows zu deaktivieren:

Code: Alles auswählen

root@desinfect:~# efibootmgr -b 0001 -A
BootCurrent: 0002
Timeout: 0 seconds
BootOrder: 0000,0001
Boot0000* debian
Boot0001  Windows Boot Manager
Boot0002* USB HDD: KingstonDataTraveler 3.0
Boot2001* EFI USB Device
Boot2002* EFI DVD/CDROM
Boot2003* EFI Network
root@desinfect:~# 

Jetzt kommt beim booten

"Default Boot Device Missing or Boot Failed.
Insert Recovery Media and Hit any key
Then Select "Boot Manager" to choose a new Boot Device or to Boot Recovery Media"

Das F12-Bootmenü welches nach "OK" kommt ist leer. Desinfect wird nach einem Reset wieder im Menü angezeigt.

Ich habe Windows wieder aktiviert und "efibootmgr -o 0000" gesetzt, so dass eigentlich nur Debian booten sollte - es startet trotzdem Windows.

[Exxter]

Ich habs. Nachdem ich im UEFI SecureBoot aktiviert hatte, konnte ich folgende Optionen ändern:

Security -> Secure Boot Mode: Custom

"Select an UEFI file as trusted for executing" -> HDD0 -> <EFI> -> <debian> -> und hier die grubx86.efi ausgewählt.

Danach bekam ich einen neuen Eintrag im Boot-Menü, mit dem ich ins Grub kam. Jetzt musste ich nur noch die Bootreihenfolge auf diesen neuen Eintrag ändern und bekomme jetzt beim Start des Notebooks den guten alten Grub, bei dem ich auswählen kann was ich booten möchte.

Vielen herzlichen Dank euch!

[OrangeJuice]

Ansonsten könnte es auch per chroot während der Installation klappen, "mokutil" installieren und einen neuen Key ausrollen. Ich meine, dass das bei mir mit Debian NetInstall und Secureboot auch richtig nicht geklappt hat.
Mit der Debian Live CD habe ich das so probiert und ich konnte dann mit meinem Passwort den Key entpacken und Debian per Secureboot laden, bis zur Luks verschlüsselten Partition, dort wurde dann root nicht gefunden.

Vielleicht hätte es so geklappt. Werde ich demnächst vielleicht mal mit Debian Testing ausprobieren. Den Grub bekomme ich auch mit Secureboot zu sehen.

Code: Alles auswählen

Strg + Alt + F2
chroot /target /bin/bash --login
apt install mokutil
openssl req -new -x509 -newkey rsa:2048 -keyout MOK.priv -outform DER -out MOK.der -days 36500 -subj "/CN=My Name/" -nodes
mokutil --import MOK.der