Arch Linux

Probleme mit /etc/crypttab

IceCook

Hi,

Mein Problem ist, das ich beim Bootvergang gern meine Externe (USB) SATA HDD einbinden würde, auf der auch mein home ist (dm-crypt). Leider verlangt es beim Booten kein Password. Erst beim mounten meint mount dann, dass "Externe" und "home" nicht existieren und mountet sie dementsprechend auch nicht... Das muss ich dann immer vom Hand machen.

Die Details zu der Verschlüsselung:

Ping@Peng:~$ sudo cryptsetup luksDump /dev/sdxx
LUKS header information for /dev/sdxx

Version:       	1
Cipher name:   	aes
Cipher mode:   	lrw-benbi
Hash spec:     	sha1
Payload offset:	3016
MK bits:       	384
MK digest:     	xxxxxxxx
MK salt:       	xxxxxxxx 
               	xxxxxxxxx 
MK iterations: 	10
UUID:          	fa0227f9-99a7-4276-a05c-995bfa794fb0

Key Slot 0: ENABLED
	Iterations:         	178120
	Salt:               	xxxxxxx
	                      	xxxxxxx
	Key material offset:	8
	AF stripes:            	4000
Key Slot 1: DISABLED
etc..

und /etc/crypttab:

wd 		/dev/disk/by-uuid/fa0227f9-99a7-4276-a05c-995bfa794fb0	ASK
#swap 		/dev/disk/by-uuid/17fbe743-75c2-48af-ab74-x3d80f9bb182 /root/test.swap -c aes-cbcessiv:sha256 -s 256

sowie meine /etc/fstab (unvollständig):

#Externe
UUID=8988d87f-5fb0-4b62-95c7-998dd3f21612 /media/Externe ext3 defaults 0 0  

#neu Home
/media/Externe/home /home none bind,defaults 0 0

Ich denke, es liegt an den Optionen , die ich in der /etc/crypttab (nicht) gesetzt habe (was muss ich da setzen?).
Im de-archwiki habe ich gelesen, dass man die Cryptomodule in /etc/mkinitcpio.conf verändern muss, doch ich kenne mich da gar nicht aus.
schon mal danke im voraus...

GerBra

Optionen in der /etc/crypttab braucht es für LUKS-verschlüsselte Partitionen IMHO keine. Auch Module
in der mkinitcpio.conf sind in deinem Fall nicht nötig, da es sich bei der Partition ja nicht um die
Root(/)-Partition handelt.

Eine Ursache könnte sein dein fstab-Eintrag:

#Externe
UUID=8988d87f-5fb0-4b62-95c7-998dd3f21612 /media/Externe ext3 defaults 0 0

Als Device müßte ja hier stehen /dev/mapper/wd. Bist du sicher, daß das die passende UUID zu
diesem (entsperrten) Devicemapper ist? Evtl. mal direkt, ohne die UUID, versuchen. Eine UUID macht
ja auch keinen großen Sinn da der Devicename ja durch das Mappen schon "fest" vorgegeben ist.

Ansonsten: wie gehst du vor wenn du es nachträglich "per Hand" machen mußt?

IceCook

OK,

Die UUID stimmt (mount -a funktioniert) aber mit dem konkreten Pfad hast du recht; das könnte man ändern. Aber der Divice wd wird gar nicht erst eingehängt, er wird einfach "übersehen" (=ich habe was falsch eingestellt), sprich /dev/mapper/wd existiert nicht. Für das manuelle Einhängen habe ich mir ein kleines Skript geschrieben:

#!/bin/bash
sudo cryptsetup luksOpen /dev/disk/by-uuid/fa0227f9-99a7-4276-a05c-995bfa794fb0 wd
sudo mount -a

Ich habe gerade beim booten gesehn, dass da irgendwas von wegen "encrypt" stand (Dort, wo so viel auf dem Bildschirm erscheint, kA wie das heisst, Bootscreen?). In welchem log steht das? (Wenn man das mit grep filtert, ist " grep encrypt -i -A5 -B5" sinnvoll, oder?)

EDIT: mir ist gerade aufgefallen, dass "sudo blkid" und "ls -la /dev/disk/by-uuid/" nicht das selbe für das luks-volume liefern:

blkid:
/dev/sdc2: UUID="c015813f-09cd-45c0-88c3-3691ef6da169" SEC_TYPE="ext2" TYPE="ext3"

by-uuid/:
lrwxrwxrwx 1 root root 10 Sep 24 16:06 fa0227f9-99a7-4276-a05c-995bfa794fb0 -> ../../sdc2

Kann mir das einer bitte erklären?

GerBra

Die UUIDs, die blkid und udev per disk/by-uuid liefern, müssen identisch sein. Keine Ahnung, was da
bei dir passiert. Passen den die anderen uuids der anderen Platten/Partitionen bzw.. gibt es
Übereinstimmungen zwischen blkid uns /dev/disk, die eigentlich nicht sein dürften?

Einträge in der /etc/crypttab (wenn es nicht das Root-Device ist) werden durch /etc/rc.sysinit
abgearbeitet. Wenn du bash beherrscht: Es ist die Funktion/Block ab:
# Set up non-root encrypted partition mappings
Dort würde/sollte bei ASK das ausgeführt werden, was du per Hand auch in deinem Skript hast.
Wenn du bash kannst würde ich da mal ein paar echos in eine Datei nach /tmp ausgeben mit
den geparsten Variablen bzw. mit Markern an welcher Stelle der Code abgearbeitet wird (echo
"Vor luksOpen", echo "Nach luksOpen",...)

Was sein könnte: Zu diesem Zeitpunkt ist deine externe Festplatte noch nicht verfügbar.
Diese ist über USB angeschlossen? Evtl. testweise mal usb_storage ins MODULES-Array der rc.conf
eintragen.

Ansonsten würde ich erstmal ohne diese UUIDs testen. Die externe HD ist ja zumindest momentan
wohl immer sdc
Versuche es dochmal so:

# crypttab
wd          /dev/sdc2            ASK

#fstab
/dev/mapper/wd     /media/Externe ext3 defaults 0 0

Vorausgesetzt das sdc2 die Partition ist.

IceCook

Hm mein bash befindet sich noch in der Anfangsphase (kleinere scripte und so). Dann werde ich mich mal dort durchfressen. In welchem Log wird der Bootvorgang mitge-"log"-t?

GerBra

Was die rc-Skripte machen in keinem Log (also etwas Ähnliches wie boot.log bei Debian).
Kernel-Meldungen in dmesg (kennst du ja).

Deswegen die Möglichkeit im rc.sysinit Skript Variablen/Vorgänge mitzuloggen indem Werte z.B.
nach /tmp/my.log per echo ausgegeben werden.

Um die Meldungen der rc-Skripte lesen zu können (der Screen wird ja gelöscht) siehe hier:
https://forum.archlinux.de/?page=Postings;id=20;thread=7793
Dann darf aber auch kein X-Server starten, So kannst du mit den Bild-Hoch/Runter-Tasten blättern.

Am besten von allen Dateien die du veränderst Kopien anlegen 😉

Ich kann dir auch gerne einen geänderten Teil für die rc.sysinit posten für das Logging.

Hattest du es mal ohne die UUID-Methode versucht?

IceCook

Ich habe es jetzt mal ohne UUID versucht (/dev/sdc2)=> schlug fehl.
Das mit den "nicht-Löschen" des Screens hat auch nichts genützt (Meldung war zu weit oben). Und das bashscript ist mir ein wenig zu hoch. Ich verstehe zwar was passiert aber einige Varibeln sind mir nicht ganz klar. Ich wäre dir sehr dankbar, wenn du mir das umschreiben könntest und sagst, was die Meldungen der Variabeln zu bedeuten haben.

GerBra

Gut, hier mal einiges mit Logging für den betreffenden Abschnitt. Das macht grob folgendes:
Die Root-Partition zum Schreiben einbinden, etliche Ablaufmarker und Variablen sowie die fdisk
Ausgabe nach /root/sysinit.log ausgeben.
Anhand der Ausgaben kann man denke ich sehen wo es evtl. hakt, bzw ob die externe HD
überhaupt verfügbar ist.

Sichere dir als erstes die rc.sysinit:

cp /etc/rc.sysinit /etc/rc.sysinit.org

Dann ersetze in der rc.sysinit den ganzen Block "encrypted partition mappings" durch den Folgenden:
Der Block geht bis:
status "Mounting Root Read-only" /bin/mount -n -o remount,ro /

# Set up non-root encrypted partition mappings
status "Mounting Root Read/Write(temp)" /bin/mount -n -o remount,rw /
LOG="/root/sysinit.log"
echo "Start logging" > $LOG
echo "fdisk output:" >> $LOG
/sbin/fdisk -l >> $LOG
echo "Before cryptsetup block..." >> $LOG
if [ -f /etc/crypttab -a -n "$(/bin/grep -v ^# /etc/crypttab | /bin/grep -v ^$)" ]; then
	echo "-> crypttab found." >> $LOG
	/sbin/modprobe -q dm-mod 2>/dev/null
	stat_busy "Unlocking encrypted volumes:"
	csfailed=0
	CS=/sbin/cryptsetup.static
	do_crypt() {
		if [ $# -ge 3 ]; then
			echo "do_crypt() for line:" >> $LOG
			echo $# >> $LOG
			cname="$1"
			echo "cname = $cname" >> $LOG
			csrc="$2"
			echo "csrc = $csrc" >> $LOG
			cpass="$3"
			echo "cpass = $cpass" >> $LOG
			shift 3
			copts="$*"
			stat_append "${cname}.."
			# For some fun reason, the parameter ordering varies for
			# LUKS and non-LUKS devices.  Joy.
			if [ "${cpass}" = "SWAP" ]; then
				# This is DANGEROUS! The only possible safety check
				# is to not proceed in case we find a LUKS device
				# This may cause dataloss if it is not used carefully
				if $CS isLuks $csrc 2>/dev/null; then
					false
				else
					$CS -d /dev/urandom $copts create $cname $csrc >/dev/null
					if [ $? -eq 0 ]; then
						stat_append "creating swapspace.."
						/sbin/mkswap -L $cname /dev/mapper/$cname >/dev/null
					fi
				fi
			elif [ "${cpass}" = "ASK" ]; then
				echo "Processing ASK..." >> $LOG
				printf "\nOpening '${cname}' volume:\n"

				echo "-> Testing luks" >> $LOG
				if $CS isLuks $csrc 2>/dev/null; then
					echo "Found luks partition" >> $LOG
					echo "Asking for password..." >> $LOG
					$CS $copts luksOpen $csrc $cname < /dev/console
					echo "Test for /dev/console" >> $LOG
					/bin/ls -l /dev/console >> $LOG 2>&1
					echo "Finish ask for passord?" >> $LOG
				else
					echo "Don't found luks partition" >> $LOG
					$CS $copts create $cname $csrc < /dev/console
				fi
			elif [ "${cpass:0:1}" != "/" ]; then
				if $CS isLuks $csrc 2>/dev/null; then
					echo "$cpass" | $CS $copts luksOpen $csrc $cname >/dev/null
				else
					echo "$cpass" | $CS $copts create $cname $csrc >/dev/null
				fi
			else
				if $CS isLuks $csrc 2>/dev/null; then
					$CS -d $cpass $copts luksOpen $csrc $cname >/dev/null
				else
					$CS -d $cpass $copts create $cname $csrc >/dev/null
				fi
			fi
			if [ $? -ne 0 ]; then
				csfailed=1
				stat_append "failed "
			else
				stat_append "ok "
			fi
		fi
	}
	while read line; do
		eval do_crypt "$line"
	done </etc/crypttab
	if [ $csfailed -eq 0 ]; then
		stat_done
	else
		stat_fail
	fi
	# Maybe someone has LVM on an encrypted block device
	if [ "$USELVM" = "yes" -o "$USELVM" = "YES" ]; then
		if [ -x /sbin/lvm -a -d /sys/block ]; then
			/sbin/lvm vgscan --ignorelockingfailure --mknodes >/dev/null
			/sbin/lvm vgchange --ignorelockingfailure -a y >/dev/null
		fi
	fi
fi
echo "Have we a mapper device?" >> $LOG
/bin/ls -l /dev/mapper/* >> $LOG 2>&1
echo "After/end of cryptsetup block." >> $LOG

Geloggt wird nach /root/sysinit.log.
Diese Datei dann bitte mal posten.

IceCook

Ergebniss:

Ping@Peng:~# cat /root/sysinit.log 
Start logging
fdisk output:

Disk /dev/sda: 160.0 GB, 160041885696 bytes
255 heads, 63 sectors/track, 19457 cylinders
Units = cylinders of 16065 * 512 = 8225280 bytes
Disk identifier: 0x46844683

   Device Boot      Start         End      Blocks   Id  System
/dev/sda1   *           1        2550    20482843+   7  HPFS/NTFS
/dev/sda2            2551       12111    76798732+   7  HPFS/NTFS
/dev/sda3           12112       19457    59006745    f  W95 Ext'd (LBA)
/dev/sda5           12112       19457    59006713+   7  HPFS/NTFS

Disk /dev/sdb: 500.1 GB, 500107862016 bytes
255 heads, 63 sectors/track, 60801 cylinders
Units = cylinders of 16065 * 512 = 8225280 bytes
Disk identifier: 0x7aefe866

   Device Boot      Start         End      Blocks   Id  System
/dev/sdb1               1        5101    40973751    7  HPFS/NTFS
/dev/sdb2            5102       60801   447410250    f  W95 Ext'd (LBA)
/dev/sdb5            5102        7268    17406396   83  Linux
/dev/sdb6   *        7269       27814   165035713+  83  Linux
/dev/sdb7           27815       28069     2048256   82  Linux swap / Solaris
/dev/sdb8           28070       60801   262919758+   7  HPFS/NTFS
Before cryptsetup block...
-> crypttab found.
do_crypt() for line:
3
cname = wd
csrc = /dev/sdc2
cpass = ASK
Processing ASK...
-> Testing luks
Don't found luks partition
Have we a mapper device?
crw-rw---- 1 root root 10, 60 Sep 25 00:09 /dev/mapper/control
After/end of cryptsetup block.

Offenbar wird /dev/sdc gar nicht erkannt... sprich man muss den USB support (irgendwie) aktivieren. Vielen Dank für das Skript. Wie bekomme ich jetzt "sdc" so früh in /dev/ ? (sdc ist eine SATA HDD über USB 2.0 verbunden).

GerBra

IceCook schrieb Offenbar wird /dev/sdc gar nicht erkannt... sprich man muss den USB support (irgendwie) aktivieren.

Gut, das hatte ich vermutet.
Trage mal usb_storage in die Modules-Zeile deiner rc.conf ein. Die Module werden nämlich vor
dem cryptsetup-Block in der sysinit geladen, dieses Modul sollte die USB-HD aktivieren.
Versuche erstmal dieses.

Es gibt noch einen Weg über die initrd, bei mkinitcpio gibt es einen Hook für usb, dieser ist
allerdings eher dafür gedacht wenn das Root-Device auf einem USB-Datenträger liegt.

Bitte auch mal nach dem Booten (egal ob die Platte eingehängt ist oder nicht) posten:
lsmod | grep usb

IceCook

Ja, das wars. Ich habe gerade gesehn, dass du das schon oben geschrieben hast aber das ist bei mir wohl irgendwie untergegangen. Dafür habe ich jetzt das mit rc.sysinit gelernt, was ich vorher nicht wusste. Vielen Dank für deine Mithilfe.

Noch was, vieleicht weisst du gerade eine Antwort: Ich habe gerade gsehen, dass dbus zwei mal als Deamon geladen wird. Einmal direkt vor hal und unmittelbar danach, wobei es das zweite Mal (natürlich) fehlschlägt.
rc.conf:
DAEMONS=(syslog-ng network !netfs crond !portmap fam hal dbus slim @alsa @mpd)

GerBra

Freut mich.
Nicht vergessen, die gesicherte rc.sysinit wieder zurückzukopieren.

dbus kannst du aus der DAEMONS-Zeile der rc.conf komplett rauslöschen, dieser Dienst wird als
Bestandteil vom hal-Daemon von diesem automatisch gestartet.

IceCook

dbus wird laut bootscreen vor hal gestartet. Trotzdem, nochmals Danke.