h.peter hat geschrieben:Die Partitionierung dauert so lange und ich wollte es jetzt manuell partitionieren. Aus diesem Grund hänge ich das Bild an statt zu sagen was pvdisplay, vgdisplay und lvdisplay ausgibt.
Danke für das Bild!
Ich entnehme daraus, dass du auch nur eine VG mit dem Namen "debian" hast in der sich dann die drei LVs "home", "root" und "swap_1" befinden.
Sieht bei mir genauso aus, außer eben der Festplattengröße und Name der VG.
Die display-Ausgaben sind somit nicht mehr nötig.
h.peter hat geschrieben:Ich glaube das kann ich in kauf nehmen. Das mit den Keyfile sehe ich nicht als Sicherheitslücke oder Problem an, da es durch die eine Verschlüsselung verschlüsselt wird und somit habe ich alles unter einem Schlüssel (auch die Erweiterung des VG).
Das Keyfile darf nur mode 400 sein und uid/gid muss root sein, sonst lehnt cryptsetup das Keyfile beim Booten ab!
h.peter hat geschrieben:Sehr schöne Übersicht.
VQE hat geschrieben:Folgendes muss beim booten des Systems sichergestellt werden:
Alle verschlüsselten Partitionen müssen zum gleichen Zeitpunkt encryptet werden! Das muss geschehen, bevor die VGs und LVs beim booten erstellt werden. Da sich auf dem LV ja das root-FS befindet.
Das gilt
nur für die verschlüsselten Partitionen, die zur VG gehören auf der sich das root-LV und evtl. das swap-LV befindet.
Denn es gibt beim Booten zwei Phasen:
- 1) Booten mit der initrd.
2) Booten des Hauptsystems.
In Phase 1 müssen alle verschlüsselten Partitionen und VGs entschlüsselt/gemountet werden auf der sich das root-LV und evtl. swap-LV befinden.
In Phase 2 werden dann alle verschlüsselten Partitionen und VGs entschlüsselt/gemountet welche in Phase 1 noch nicht entschlüsselt/gemounted wurden.
h.peter hat geschrieben:Wieso darf ich die von debian-Installer angelegte LV nicht erweitern? Selbst wenn es eine separate VG ist und nur /home hat? Das hab ich noch nicht ganz verstanden.
Wenn die Bedingungen für Phase 1 und 2 erfüllt sind geht das schon.
VQE hat geschrieben:Gibt es hier jemand, der sich mit dem boot-Vorgang auskennt? Wo kann man festlegen, wann die verschlüsselten Partitionen encryptet werden? Irgendwo muss es doch eine config-Datei dafür geben.
In Phase 1 werden u.a. zwei Skripte (aus der initrd) ausgeführt, eins für die cryptdiscs und eines für LVM
In Phase 2 werden alle nicht in Phase 1 entschlüsselten Partitionen welche sich in /etc/crypttab befinden entschlüsselt.
/etc/init.d/cryptdisks... erledigt das dann, wenn ich mich richtig erinnere.
Dies gilt analog dazu auch für LVM.
initrd zum Ansehen entpacken, geht übrigens so:
Code: Alles auswählen
mkdir tmp/initrd
cd tmp/initrd
gunzip -c -9 /boot/initrd.img-2.6.18-5-686 | cpio -i -d -H newc --no-absolute-filename
von
gunzip ergänzt
Gruß,
Daniel
