Benutzer:Tuxnix

Nur für eigene Zwecke: Hier auf dieser Seite gibt es nur chaotische Arbeitsnotizen

• Zur Sicherheit wird die Festplatte jetzt überschrieben:

root@archiso ~ # shred -v /dev/sda2

Standardmäßig wird dieser Vorgang drei Mal durchgeführt, wobei ein Durchgang bei einer ca. 2 TB großen Festplatte schon mal fünf bis sechs Stunden in Anspruch nehmen kann.

• Wer deswegen den Vorgang nur einmal durchführen möchte, kann stattdessen folgenden Befehl ausführen:

shred -v -n 1 /dev/sda2

Verschlüsseltes LVM einrichten

• Jetzt werden die benötigte Kernel-Modul für die Verschlüsselung geladen:

root@archiso ~ # modprobe dm-crypt

• Anschließend wird sda2 verschlüsselt:

root@archiso ~ # cryptsetup -c aes-xts-plain64 -y -s 512 luksFormat /dev/sda2

• Die Eingabeaufforderung mit YES bestätigen und anschließend ein sicheres Passwort vergeben. Hierbei sollten schon 20 Zeichen inkl. Sonderzeichen und Zahlen verwendet werden.
• Jetzt wird die verschlüsselte Partition geöffnet und das LVM eingerichtet:

cryptsetup luksOpen /dev/sda2 lvm
pvcreate /dev/mapper/lvm
vgcreate main /dev/mapper/lvm
lvcreate -L 60GB -n root main
lvcreate -L 8GB -n swap main
lvcreate -l 100%FREE -n home main

Wenn das home-Volume (-n home) nicht den verbleibenden Platz komplett ausfüllt, können später LVM-Snapshots erstellt werden. Dazu kann - wie bei den anderen lvcreate-Befehlen - eine geringere Größe angegeben werden, zum Beispiel -L 50GB.

• Mit mkfs wird nun das Dateisystem auf die Partitionen geschrieben.

Bei boot muss mit -O die 64-Bit-Fähigkeit deaktiviert werden, weil syslinux nur von einem 32-Bit-Dateisystem booten kann.

mkfs.ext4 -L root /dev/mapper/main-root
mkfs.ext4 -L home /dev/mapper/main-home
mkfs.ext4 -L boot -O '^64bit' /dev/sda1
mkswap -L swap /dev/mapper/main-swap

• Dann werden die Partitionen gemountet:

mount /dev/mapper/main-root /mnt
mkdir /mnt/home
mount /dev/mapper/main-home /mnt/home
mkdir /mnt/boot
mount /dev/sda1 /mnt/boot

Basissystem und Bootloader installieren

* In der Mirrorliste sollten alle weit entfernten Server am Anfang der Liste mit # auskommentiert werden.

nano /etc/pacman.d/mirrorlist

• Dann wird das Basissystem inkl. Bootloader (in diesem Fall Syslinux) installiert.

root@archiso ~ # pacstrap /mnt base base-devel syslinux nano linux linux-firmware mkinitcpio lvm2 dhcpcd

• Nach der Basis-Installation wird syslinux in den MBR von sda geschrieben:

root@archiso ~ # syslinux-install_update -i -a -m -c /mnt

• Dann wird syslinux konfiguriert:

root@archiso ~ # nano /mnt/boot/syslinux/syslinux.cfg

• Die APPEND-Zeile muss bei beiden Einträgen (arch und archfallback) angepasst werden:

APPEND cryptdevice=/dev/sda2:main root=/dev/mapper/main-root rw lang=de locale=de_DE.UTF-8

System konfigurieren

• Nun wird die Swap-Partition aktiviert:

swapon -L swap

• Dann wird die fstab generiert und im Editor kontrolliert:

genfstab -U -p /mnt >> /mnt/etc/fstab
nano /mnt/etc/fstab

• Jetzt wird in die chroot-Umgebung gewechselt:

arch-chroot /mnt

• Config-Dateien für systemd werden angepasst:

echo myhostname >> /etc/hostname
echo KEYMAP=de-latin1 >> /etc/vconsole.conf
echo FONT=lat9w-16 >> /etc/vconsole.conf
echo FONT_MAP=8859-1_to_uni >> /etc/vconsole.conf

• Symlink für die Zeitzone wird erstellt:

ln -sf /usr/share/zoneinfo/Europe/Berlin /etc/localtime

• /etc/mkinitcpio.conf wird angepasst:

nano /etc/mkinitcpio.conf

• Die MODULES- und HOOKS-Werte werden entsprechend angepasst:

MODULES=(ext4)
HOOKS=(base udev autodetect modconf block keyboard keymap encrypt lvm2 filesystems fsck shutdown)

Die hier vorgegebenen Hooks sind für das Booten von einer S-ATA-Festplatte mit einer USB-Tastatur gedacht und müssen daher evtl. angepasst werden. Alle verfügbaren Hooks sind unter https://wiki.archlinux.org/index.php/Mkinitcpio#HOOKS zu finden.

Kernel-Image erstellen und der erste Neustart

• Das Kernel-Image wird erstellt mittels:

mkinitcpio -p linux

• Damit per DHCP automatisch eine IP-Adresse beim Bootvorgang bezogen wird, muss jetzt der entsprechende systemd-Dienst aktiviert werden:

systemctl enable dhcpcd.service

• Anschließend werden die chroot-Umgebung verlassen und die Partitionen ausgehängt:

exit
umount /mnt/{boot,home,}
reboot

• Der PC startet nun neu und man wird vom Bootloader gefolgt von der Eingabeaufforderung zur Entschlüsselung des cryptdevice begrüßt. Nun ist das Passwort einzugeben. Nachdem der Bootvorgang abgeschlossen ist, muss man sich als root anmelden.