Benutzer:Tuxnix: Unterschied zwischen den Versionen

Aktuelle Version vom 24. April 2024, 19:36 Uhr

„Tuxnix“ wurde von Tuxnix (Diskussion) als in Bearbeitung markiert. Um Bearbeitungskonflikte zu vermeiden, kontaktiere Tuxnix (Diskussion) bitte, bevor du den Artikel bearbeitest.

Erzeugen einer Schlüsseldatei zur Vermeidung einer zweiten Eingabe des Verschlüsselungspassworts:
dd bs=512 count=4 if=/dev/urandom of=/keyfile.bin
cryptsetup luksAddKey /dev/disk/by-label/ROOT /keyfile.bin
chmod 000 /keyfile.bin

nano /etc/mkinitcpio.conf
'/keyfile.bin' zu Files hinzufuegen:
FILES=(/keyfile.bin)

@@ Zeile 1: / Zeile 1: @@
-Nur für eigene Zwecke:
+{{inuse|[[Benutzer:Tuxnix|Tuxnix]] ([[Benutzer Diskussion:Tuxnix|Diskussion]])}}{{SEITENTITEL:sway}}{{righttoc}}
-Hier auf dieser Seite gibt es nur chaotische Arbeitsnotizen
+<u>Erzeugen einer Schlüsseldatei zur Vermeidung einer zweiten Eingabe des Verschlüsselungspassworts:</u><br>
+<code style=font-size:12px>dd bs=512 count=4 if=/dev/urandom of=/keyfile.bin</code><br>
+<code style=font-size:12px>cryptsetup luksAddKey /dev/disk/by-label/ROOT /keyfile.bin</code><br>
+<code style=font-size:12px>chmod 000 /keyfile.bin</code><br><br>
+<code style=font-size:12px>nano /etc/mkinitcpio.conf</code><br>
-* Zur Sicherheit wird die Festplatte jetzt überschrieben:
+<u>'/keyfile.bin' zu Files hinzufuegen:</u><br>
+<code style=font-size:12px>FILES=(/keyfile.bin)</code><br>
- root@archiso ~ # shred -v /dev/sda2
-Standardmäßig wird dieser Vorgang drei Mal durchgeführt, wobei ein Durchgang bei einer ca. 2 TB großen Festplatte schon mal fünf bis sechs Stunden in Anspruch nehmen kann.
-* Wer deswegen den Vorgang nur einmal durchführen möchte, kann stattdessen folgenden Befehl ausführen:
- shred -v -n 1 /dev/sda2
-== Verschlüsseltes LVM einrichten ==
-* Jetzt werden die benötigte Kernel-Modul für die Verschlüsselung geladen:
- root@archiso ~ # modprobe dm-crypt
-* Anschließend wird sda2 verschlüsselt:
- root@archiso ~ # cryptsetup -c aes-xts-plain64 -y -s 512 luksFormat /dev/sda2
-* Die Eingabeaufforderung mit YES bestätigen und anschließend ein sicheres Passwort vergeben. Hierbei sollten schon 20 Zeichen inkl. Sonderzeichen und Zahlen verwendet werden.
-* Jetzt wird die verschlüsselte Partition geöffnet und das LVM eingerichtet:
- cryptsetup luksOpen /dev/sda2 lvm
- pvcreate /dev/mapper/lvm
- vgcreate main /dev/mapper/lvm
- lvcreate -L 60GB -n root main
- lvcreate -L 8GB -n swap main
- lvcreate -l 100%FREE -n home main
-Wenn das home-Volume (-n home) nicht den verbleibenden Platz komplett ausfüllt, können später LVM-Snapshots erstellt werden. Dazu kann - wie bei den anderen lvcreate-Befehlen - eine geringere Größe angegeben werden, zum Beispiel -L 50GB.
-* Mit mkfs wird nun das Dateisystem auf die Partitionen geschrieben.
-'''Bei boot muss mit -O die 64-Bit-Fähigkeit deaktiviert werden, weil syslinux nur von einem 32-Bit-Dateisystem booten kann.'''
- mkfs.ext4 -L root /dev/mapper/main-root
- mkfs.ext4 -L home /dev/mapper/main-home
- mkfs.ext4 -L boot -O '^64bit' /dev/sda1
- mkswap -L swap /dev/mapper/main-swap
-* Dann werden die Partitionen gemountet:
- mount /dev/mapper/main-root /mnt
- mkdir /mnt/home
- mount /dev/mapper/main-home /mnt/home
- mkdir /mnt/boot
- mount /dev/sda1 /mnt/boot
-== Basissystem und Bootloader installieren ==
-'''* In der Mirrorliste sollten alle weit entfernten Server am Anfang der Liste mit '''#''' auskommentiert werden.'''
- nano /etc/pacman.d/mirrorlist
-* Dann wird das Basissystem inkl. Bootloader (in diesem Fall [[Syslinux]]) installiert.
- root@archiso ~ # pacstrap /mnt base base-devel syslinux nano linux linux-firmware mkinitcpio lvm2 dhcpcd
-* Nach der Basis-Installation wird syslinux in den MBR von sda geschrieben:
- root@archiso ~ # syslinux-install_update -i -a -m -c /mnt
-* Dann wird syslinux konfiguriert:
- root@archiso ~ # nano /mnt/boot/syslinux/syslinux.cfg
-* Die APPEND-Zeile muss bei beiden Einträgen (arch und archfallback) angepasst werden:
- APPEND cryptdevice=/dev/sda2:main root=/dev/mapper/main-root rw lang=de locale=de_DE.UTF-8
-== System konfigurieren ==
-* Nun wird die Swap-Partition aktiviert:
- swapon -L swap
-* Dann wird die [[fstab]] generiert und im Editor kontrolliert:
- genfstab -U -p /mnt >> /mnt/etc/fstab
- nano /mnt/etc/fstab
-* Jetzt wird in die chroot-Umgebung gewechselt:
- arch-chroot /mnt
-* Config-Dateien für systemd werden angepasst:
- echo myhostname >> /etc/hostname
- echo KEYMAP=de-latin1 >> /etc/vconsole.conf
- echo FONT=lat9w-16 >> /etc/vconsole.conf
- echo FONT_MAP=8859-1_to_uni >> /etc/vconsole.conf
-* Symlink für die Zeitzone wird erstellt:
- ln -sf /usr/share/zoneinfo/Europe/Berlin /etc/localtime
-* /etc/mkinitcpio.conf wird angepasst:
- nano /etc/mkinitcpio.conf
-* Die MODULES- und HOOKS-Werte werden entsprechend angepasst:
- MODULES=(ext4)
- HOOKS=(base udev autodetect modconf block keyboard keymap encrypt lvm2 filesystems fsck shutdown)
-Die hier vorgegebenen Hooks sind für das Booten von einer S-ATA-Festplatte mit einer USB-Tastatur gedacht und müssen daher evtl. angepasst werden. Alle verfügbaren Hooks sind unter https://wiki.archlinux.org/index.php/Mkinitcpio#HOOKS zu finden.
-== Kernel-Image erstellen und der erste Neustart ==
-* Das Kernel-Image wird erstellt mittels:
- mkinitcpio -p linux
-* Damit per DHCP automatisch eine IP-Adresse beim Bootvorgang bezogen wird, muss jetzt der entsprechende systemd-Dienst aktiviert werden:
- systemctl enable dhcpcd.service
-* Anschließend werden die chroot-Umgebung verlassen und die Partitionen ausgehängt:
- exit
- umount /mnt/{boot,home,}
- reboot
-* Der PC startet nun neu und man wird vom Bootloader gefolgt von der Eingabeaufforderung zur Entschlüsselung des cryptdevice begrüßt. Nun ist das Passwort einzugeben. Nachdem der Bootvorgang abgeschlossen ist, muss man sich als root anmelden.