1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
|
[[!toc levels=4]]
Sistema Debian
==============
A seguir, o procedimento de instala��o de um sistema com disco criptografado e gerenciamento de partida via dispositivo de armazenamento USB.
Instala��o
----------
Antes de tudo, determine qual o dispositivo no qual o sistema ser� instalado, a arquitetura, a vers�o do sistema e o dom�nio principal:
export vg="install"
export device=/dev/nome_do_dispositivo
export arch=amd64
export version=lenny
export hostname=nome_da_maquina
export domain=projeto.org
A primeira etapa � o particionamento do disco. Neste exemplo, consideremos o seguinte layout para o disco:
fdisk -l $device
Como exemplo, assumiremos o seguinte layout, ajuste-o conforme as suas necessidades e gostos:
Disk /dev/sdb: 1000.2 GB, 1000204886016 bytes
255 heads, 63 sectors/track, 121601 cylinders
Units = cilindros of 16065 * 512 = 8225280 bytes
Disk identifier: 0x00000000
Dispositivo Boot Start End Blocks Id System
/dev/sdb1 1 249 2000061 82 Linux swap
/dev/sdb2 * 250 273 192780 83 Linux
/dev/sdb3 274 121601 974567160 8e Linux LVM
Em seguida vem a cria��o do LVM:
pvcreate "$device"3
vgcreate $vg "$device"3
lvcreate -L20G -n root $vg
vgchange -a y $vg
Em seguida, preencher o dispositivo com sujeira:
dd if=/dev/urandom of=/dev/$vg/root
A sa�da do comando acima deve ser algo como
dd: escrevendo em `/dev/install/root': N�o h� espa�o dispon�vel no dispositivo
41943041+0 registos dentro
41943040+0 registos fora
21474836480 bytes (21 GB) copiados, 8544 s, 2,5 MB/s
Proceder igualmente com a parti��o swap:
dd if=/dev/urandom of="$device"1
dd: escrevendo em `/dev/sdb1': N�o h� espa�o dispon�vel no dispositivo
4000123+0 registos dentro
4000122+0 registos fora
2048062464 bytes (2,0 GB) copiados, 972,049 s, 2,1 MB/s
Com isso, j� � poss�vel passar para a cria��o do volume criptografado:
cryptsetup -h sha256 -c aes-cbc-essiv:sha256 -s 256 luksFormat /dev/$vg/root
cryptsetup luksOpen /dev/$vg/root debootstrap
mkfs.ext3 /dev/mapper/debootstrap
Montando esse dispositivo num local tempor�rio e instalar o sistema b�sico:
mkdir /tmp/debootstrap
mount /dev/mapper/debootstrap /tmp/debootstrap/
debootstrap --arch=$arch $version /tmp/debootstrap/
Configura��o inicial
--------------------
mount none -t proc /tmp/debootstrap/proc/
mount -o bind /dev/ /tmp/debootstrap/dev
cp -L /etc/resolv.conf /tmp/debootstrap/etc
echo $hostname.$domain > /tmp/debootstrap/etc/hostname
echo "127.0.0.1 localhost $hostname $hostname.$domain" >> /tmp/debootstrap/etc/hosts
echo LANG=C > /tmp/debootstrap/etc/default/locale
chroot /tmp/debootstrap/
export PS1="chroot $PS1"
apt-get update ; apt-get upgrade
apt-get install locales cryptsetup lvm2 initramfs-tools grub
O `/etc/crypttab` deve conter (substitua `/dev/sda1` pelo seu valor correspondente para `$device`):
# <target name> <source device> <key file> <options>
root /dev/mapper/vg-root none luks,cipher=aes-cbc-essiv:sha256
cswap /dev/sda1 /dev/random swap,cipher=aes-cbc-essiv:sha256
E o `/etc/fstab` deve conter:
/dev/mapper/cswap none swap sw 0 0
/dev/mapper/root / ext3 defaults,errors=remount-ro 0 1
Partida
-------
Agora � a hora de configurar o gerenciador de partida:
mkfs.ext3 "$device"2
mount "$device"2 /boot
grub-install --no-floppy "$device"
Opcionalmente, adicione ao `/etc/fstab` (substituindo `sda1` pelo valor correspondente para `$device`:
/dev/sda2 /boot ext3 defaults,errors=remount-ro 0 2
Conte�do do `/boot/grub/menu.lst` (substitua de acordo com os valores de `$arch` e da vers�o do kernel instalado):
title Servidor (hd0)
root (hd0,1)
kernel /vmlinuz-2.6.26-1-vserver-amd64 root=/dev/mapper/root ro quiet rootdelay=10
initrd /initrd.img-2.6.26-1-vserver-amd64
title Servidor (hd0) (single)
root (hd0,1)
kernel /vmlinuz-2.6.26-1-vserver-amd64 root=/dev/mapper/root ro single rootdelay=10
initrd /initrd.img-2.6.26-1-vserver-amd64
Note que a op��o rootdelay � importante no caso de sistemas contidos dentro de volumes USB, j� que o kernel demora alguns instantes para detectar tais volumes. Detalhes a respeito em
* [Installing Linux on USB - Part 5: Installing Debian Linux on USB flash memory drives](http://blogs.koolwal.net/2009/02/03/installing-linux-on-usb-part-5-installing-debian-linux-on-usb-flash-memory-drives/).
* [initramfs-tools: lvm is not initialized on USB disks](http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=366175#37).
* [When root on USB: add rootdelay=xx to kernel command line](https://blueprints.launchpad.net/ubuntu/+spec/kernel-boot-usb-roodelay).
Para que a parti��o de boot seja montada ap�s a partida do sistema, adicione a seguinte entrada no `/etc/fstab`, substituindo, se necess�rio, `sda2` pela parti��o correspondente:
/dev/sda2 /boot ext3 defaults,errors=remount-ro
Kernel
------
O `/etc/initramfs-tools/modules` deve conter as linhas
dm-mod
dm-crypt
aes
twofish
sha256
J� o `/etc/kernel-img.conf` deve possuir a linha
do_initrd = Yes
Proceda [desabilitando o firewire do sistema](../firewire) e, em seguida, instale o kernel:
if [ "$arch" == "i386" ]; then
kernel_arch="686"
else
kernel_arch="$arch"
fi
apt-get install linux-image-2.6-vserver-$kernel_arch
Imagem de partida
-----------------
Para que o sistema consiga inicializar, atualize a imagem de partida:
update-initramfs -v -u
Renomeando o volume group
-------------------------
Num sistema GNU/Linux, n�o pode haver dois volume groups com o mesmo nome. Assim, para evitar conflitos de `LVM`, utilizamos um nome tempor�rio (`$vg`) na instala��o do sistema. No entanto, o sistema apenas funcionar� com o volume group `vg`. Assim, � preciso renomear o volume group.
Para isso, **certifique-se de estar num sistema e computador que n�o possua nenhum volume group com o nome** `vg` (caso contr�rio v� para um que satisfa�a tal condi��o) e proceda com a mudan�a:
vgrename $vg vg
Continuando remotamente
-----------------------
Para que seja poss�vel continuar remotamente com a configura��o, � preciso instalar um servidor SSH:
apt-get install openssh-server
ssh-keygen -l -f /etc/ssh/ssh_host_dsa_key.pub
ssh-keygen -l -f /etc/ssh/ssh_host_rsa_key.pub
Aproveite para instalar aplicativos b�sicos:
apt-get install screen cron lsb-release
Por fim,
passwd root
Agora a m�quina j� est� quase a ponto de poder ser administrada remotamente. Antes disso, configure a rede, instale o sudo e adicione as contas de usu�rio/a iniciais:
vi /etc/network/interfaces # configuracao de rede
vi /etc/udev/rules.d/70-persistent-net.rules # ajuste das placas de rede
vi /etc/resolv.conf # para usar o dns disponivel no data center
apt-get install sudo && adduser nome-de-usuario
Antes de largar a m�quina no data center, lembre-se de anotar os fingerprints do ssh que voc� listou anteriormente.
Expans�o de espa�o em disco
---------------------------
* [How to resize a LUKS-encrypted partition created over LVM2](http://www.saout.de/tikiwiki/tiki-index.php?page=ResizeLUKSPartitions).
* [Resizing Encrypted Filesystems](http://www.debian-administration.org/articles/536).
* [Resizing a dm-crypt / LVM / ext3 partition](http://www.hermann-uwe.de/blog/resizing-a-dm-crypt-lvm-ext3-partition).
Refer�ncias
-----------
Algumas refer�ncias para instala��o:
* [Encrypted Root LVM](http://www.howtoforge.com/encrypted-root-lvm).
* [Encrypted filesystem - rigacci.org](http://www.rigacci.org/wiki/doku.php/doc/appunti/linux/sa/cryptfs).
* [EncryptedFilesystems - Ubuntu Documentation](https://help.ubuntu.com/community/EncryptedFilesystems).
|
