主页 / unix / 问题 / 544622
Accepted
Ned64
Asked: 2019-10-02 05:22:06 +0800 CST

LUKS FDE 上的 LVM：GRUB 不会在引导期间挂载我的根分区 / 即使在 grub.cfg 中给出了 cryptomount 和 cryptdevice

  • 772

我有一个三重引导设置（3xLinux）。所有 Linuce 共享/home和swap，并且它们的/分区彼此相邻。全部驻留在 LUKS 上的 LVM 中：

# lsblk
NAME                     MAJ:MIN RM   SIZE RO TYPE  MOUNTPOINT
nvme0n1                  259:0    0 951.8G  0 disk  
|-nvme0n1p1              259:1    0   800M  0 part  /boot/efi
|-nvme0n1p2              259:2    0    32G  0 part  
|-nvme0n1p3              259:3    0   619M  0 part  
`-nvme0n1p4              259:4    0 706.5G  0 part  
  `-cryptolvm            254:0    0 706.5G  0 crypt 
    |-cryptolvm-swap     254:1    0    32G  0 lvm   [SWAP]
    |-cryptolvm-home     254:2    0 430.0G  0 lvm   /home
    |-cryptolvm-centos   254:3    0    41G  0 lvm   /mnt/centos
    |-cryptolvm-arch     254:4    0    41G  0 lvm   /
    `-cryptolvm-opensuse 254:5    0    41G  0 lvm   /mnt/opensuse

openSUSE 管理 GRUB2（完全加密，即在驻留在 openSUSE 系统分区上的 grub 菜单之前需要磁盘解锁密码/）。

问题： Arch 没有解锁加密磁盘，因此在引导期间/dev/nvme0n1p4无法访问它。/它让我进入紧急提示。

这是 Arch Linux 的设置：

mkinitcpio/boot/initramfs-linux.img配置（是的，我在更改后重新创建了）：

# grep crypt /etc/mkinitcpio.conf | tail -1
HOOKS=(base udev autodetect modconf keyboard block encrypt lvm2 filesystems fsck)

openSUSE 上的 GRUB2 配置：

# grep --after=18 Arch /mnt/opensuse/boot/grub2/grub.cfg
menuentry 'Arch Linux (rolling) (on /dev/mapper/cryptolvm-arch)' --class arch --class gnu-linux --class gnu --class os $menuentry_id_option 'osprober-gnulinux-simple-aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa' {
    insmod part_gpt
    insmod cryptodisk
    insmod luks
    insmod gcry_rijndael
    insmod gcry_rijndael
    insmod gcry_sha256
    insmod lvm
    insmod ext2
    cryptomount -u 99999999999999999999999999999999
    set root='lvmid/VVVVVV-VVVV-VVVV-VVVV-VVVV-VVVV-VVVVVV/qqqqqq-qqqq-qqqq-qqqq-qqqq-qqqq-qqqqqq'
    if [ x$feature_platform_search_hint = xy ]; then
      search --no-floppy --fs-uuid --set=root --hint='lvmid/VVVVVV-VVVV-VVVV-VVVV-VVVV-VVVV-VVVVVV/qqqqqq-qqqq-qqqq-qqqq-qqqq-qqqq-qqqqqq'  aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa
    else
      search --no-floppy --fs-uuid --set=root aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa
    fi
    linuxefi /boot/vmlinuz-linux cryptdevice=UUID=99999999999999999999999999999999:cryptolvm root=/dev/mapper/cryptolvm-arch  resume=/dev/cryptolvm/swap splash=silent quiet showopts
    initrdefi /boot/initramfs-linux.img
}

LVM 设备：

# vgs -v
  VG        Attr   Ext   #PV #LV #SN VSize   VFree    VG UUID                                VProfile
  cryptolvm wz--n- 4.00m   1   5   0 706.45g <120.51g VVVVVV-VVVV-VVVV-VVVV-VVVV-VVVV-VVVVVV

# lvs -v | grep arch
  arch     cryptolvm    1 -wi-ao----  <40.96g  -1  -1  254    4  qqqqqq-qqqq-qqqq-qqqq-qqqq-qqqq-qqqqqq

磁盘/分区 UUID：

# blkid | egrep '(p4|arch)'
/dev/nvme0n1p4: UUID="99999999-9999-9999-9999-999999999999" TYPE="crypto_LUKS" PARTUUID="cccccccc-cccc-cccc-cccc-cccccccccccc"
/dev/mapper/cryptolvm-arch: UUID="aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa" PARTUUID="cccccccc-cccc-cccc-cccc-cccccccccccc"

解决方法：

GRUB2（或 initramfs）让我进入提示符，因为它无法挂载/dev/mapper/cryptolvm-arch到/（或，到/new_root）。所以在每次启动时我手动输入：

> cryptsetup open /dev/nvme0n1p4 cryptolvm
(...)
> mount /dev/mapper/cryptolvm-arch /new_root
> ^D

为什么这是必要的？cryptomount安装在 (和cryptdevice) 中给出了两次（grub.cfg这确实被使用了）。

编辑：

也许这与EFI有关？如果是，我会收到 EFI 错误吗？grub.cfgopenSUSE 通过 EFI 启动，从它的链加载/，然后启动 Arch - 这里是linuxefi正确的吗？

就在 GRUB2 将我放到紧急 shell 之前，我可以键入键，它们会出现在屏幕上。当外壳打开时，键入的字符仍在缓冲区中并输入到该外壳中。

grub2

2 个回答

  1. Best Answer

    使用添加的 rd.debug (init-ramdisk debug) 内核标志启动您的系统。这应该可以说明出了什么问题。
    如果你有它，如果你自己不能解决问题，那么你可以用 xtrace 输出最后一两个屏幕。

    此外，您还可以将输出定向到文件（即，将 rd.log=all 标志添加到内核选项），并且应该能够在引导完成后将日志作为可复制和更好的可滚动文本获取。

    而且，我忘记了，在您上面的片段中，您出于任何原因匿名了 UUID，我不知道您的原始配置是什么，但是您忘记了破折号。
    我系统中的示例（blkid 是运行以从您的cryptdevice=UUID=21685fd6-f2e3-4037-8645-3957cff3568c:cryptolvm内核选项中查找物理设备的命令，将使用以下命令搜索 cryptodevice= 到第一个冒号之间的部分）：

    [root@ArchTestVM ~]# blkid -lt "UUID=21685fd6-f2e3-4037-8645-3957cff3568c" -o device
/dev/nvme0n1p2
[root@ArchTestVM ~]# blkid -lt "UUID=21685fd6f2e3403786453957cff3568c" -o device
[root@ArchTestVM ~]#
    • 1

  2. 您说“GRUB2 让我进入提示，因为它无法挂载/dev/mapper/cryptolvm-arch到/”，但这看起来不像 GRUB 提示。您输入的命令不是 GRUB 命令，而是（Arch）Linux 命令。您已经通过了 EFI 和 GRUB，并且显然在 Archinitramfs中。

    该提示看起来像一个基于 initramfs 的紧急 shell 提示。GRUB 的工作是加载两个东西：一个内核和一个 initramfs 文件。一旦 GRUB 完成了该操作并将控制权移交给内核，GRUB 的工作就完成了。该cryptomount命令告诉 GRUB 为此目的解锁加密磁盘，但 GRUB 无法将这种解锁状态，甚至是加密密码短语传递给内核。

    内核启动后，initramfs必须拥有所有必要的工具来再次解锁磁盘加密，方法是再次提示输入密码，或者将密码存储在 initramfs 文件中；由于在您的情况下 initramfs 文件存储在加密磁盘上，因此这可能是可以接受的。

    另外，请注意您说“...因为它无法安装/dev/mapper/cryptolvm-arch到/”。如果错误消息完全如此，则问题可能是 initramfs/出于某种原因试图直接挂载。你不能这样做。相反，必须首先将新的根文件系统挂载到其他地方（如/new_root），然后 initramfs 中的特殊命令会将新的根文件系统切换到位。

    与其查看 EFI 和 GRUB，不如关注 Arch initramfs 文件的内容。它应该精确地运行您手动输入的这两个命令（也许用语法替换/dev/nvme0n1p4）UUID=，但由于某种原因，这没有发生。找出原因，你就会找到问题的根源。

    • 0

相关问题