Como criptografar rootfs ativos no Arch Linux

Question

Eu tenho um sistema Linux Arch em execução em um VPS. O rootfs é instalado em uma partição LVM. Eu gostaria de sobrepor um container criptografado nesta partição, então reinstalar o rootfs nele e habilitar o ssh unlock no boot via ssh. Tenho o prazer de descartar todo o conteúdo dos rootfs existentes e criar um novo a partir do zero.

Estou tentando proceder da seguinte forma:

1. crie um novo rootfs temporário em / tmp / newroot
2. chroot para ele
3. neste momento eu gostaria de parar completamente todos os serviços que ainda estão ligados à raiz antiga, que está na partição lvm (uma delas é o próprio sshd), e reinicie-os a partir da nova raiz
4. crie uma partição criptografada na partição lvm
5. instale o arch Linux nele e modifique intrafms apropriadamente

Para 1 e 2, estou usando a imagem de bootstrap do archlinux fornecida no wiki do arco. 4 e 5 estão bem documentados (por exemplo, aqui ).

Estou preso na etapa 3. Depois de executar o chroot, usando o fuser , vejo muitos processos ainda pendentes na partição lvm, que não permitem que eu sobreponha um contêiner criptografado na parte superior e não tenho certeza sobre como pará-los e reiniciá-los a partir da nova raiz. Kill executado a partir da raiz original os impede, mas antes de fazer isso! Eu deveria reiniciar alguns deles a partir da nova raiz (por exemplo, sshd), caso contrário eu vou me cortar. Eu tentei iniciá-los a partir da nova raiz com systemd , mas não funciona porque detecta que estamos no modo chroot. Eu tentei lançá-los através da linha de comando, e nenhum erro é gerado, mas quando eu procuro os processos com ps , eles não estão lá.

Alguma sugestão? Obrigado

    

Answer 1

E se algo der errado durante as etapas 4 e 5, você acabará com o sistema não inicializável. O seu VPS tem 100% de disponibilidade garantida?

Se a nova criptografia "ao vivo" (ou on-line) não fosse um requisito, cryptsetup-reencrypt poderia lidar com a nova criptografia offline. Tudo o que seria necessário é estender o LV. Há um trabalho em andamento para permitir a nova criptografia ao vivo, mas isso está longe de ser estável. O requisito de espaço adicional permanecerá, pois não há muitos sistemas de arquivos que permitam encolhimento on-line.

Se o uso de espaço em disco adicional for uma solução aceitável, você poderá criar um volume físico criptografado pelo LUKS, adicioná-lo ao grupo de volumes e usar o pvmove para mover rootfs para longe do dispositivo não criptografado.

Não acredito que exista uma solução simples para migrar para o LV criptografado.