☰

LUKS FDE 上的 LVM：即使 grub.cfg 中给出了 cryptomount 和 cryptdevice，GRUB 也不会在引导期间挂载我的根分区 /

tag-icon • tag-icon grub2 lvm luks initramfs whole-drive-encryption
LUKS FDE 上的 LVM：即使 grub.cfg 中给出了 cryptomount 和 cryptdevice，GRUB 也不会在引导期间挂载我的根分区 /

我有一个三重启动设置（3xLinux）。所有 Linux 共享/home和swap，并且它们的/分区彼此相邻。全部驻留在 LUKS 上的 LVM 中：

# lsblk
NAME                     MAJ:MIN RM   SIZE RO TYPE  MOUNTPOINT
nvme0n1                  259:0    0 951.8G  0 disk  
|-nvme0n1p1              259:1    0   800M  0 part  /boot/efi
|-nvme0n1p2              259:2    0    32G  0 part  
|-nvme0n1p3              259:3    0   619M  0 part  
`-nvme0n1p4              259:4    0 706.5G  0 part  
  `-cryptolvm            254:0    0 706.5G  0 crypt 
    |-cryptolvm-swap     254:1    0    32G  0 lvm   [SWAP]
    |-cryptolvm-home     254:2    0 430.0G  0 lvm   /home
    |-cryptolvm-centos   254:3    0    41G  0 lvm   /mnt/centos
    |-cryptolvm-arch     254:4    0    41G  0 lvm   /
    `-cryptolvm-opensuse 254:5    0    41G  0 lvm   /mnt/opensuse

openSUSE 管理 GRUB2（具有完全加密，即驻留在 openSUSE 系统分区上的 grub 菜单之前需要磁盘解锁密码/）。

问题：Arch 不会解锁加密盘/dev/nvme0n1p4，因此无法/在启动期间访问它。它让我看到紧急提示。

这是 Arch Linux 的设置：

mkinitcpio配置（是的，我在更改此配置后重新创建了/boot/initramfs-linux.img）：

# grep crypt /etc/mkinitcpio.conf | tail -1
HOOKS=(base udev autodetect modconf keyboard block encrypt lvm2 filesystems fsck)

openSUSE 上的 GRUB2 配置：

# grep --after=18 Arch /mnt/opensuse/boot/grub2/grub.cfg
menuentry 'Arch Linux (rolling) (on /dev/mapper/cryptolvm-arch)' --class arch --class gnu-linux --class gnu --class os $menuentry_id_option 'osprober-gnulinux-simple-aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa' {
    insmod part_gpt
    insmod cryptodisk
    insmod luks
    insmod gcry_rijndael
    insmod gcry_rijndael
    insmod gcry_sha256
    insmod lvm
    insmod ext2
    cryptomount -u 99999999999999999999999999999999
    set root='lvmid/VVVVVV-VVVV-VVVV-VVVV-VVVV-VVVV-VVVVVV/qqqqqq-qqqq-qqqq-qqqq-qqqq-qqqq-qqqqqq'
    if [ x$feature_platform_search_hint = xy ]; then
      search --no-floppy --fs-uuid --set=root --hint='lvmid/VVVVVV-VVVV-VVVV-VVVV-VVVV-VVVV-VVVVVV/qqqqqq-qqqq-qqqq-qqqq-qqqq-qqqq-qqqqqq'  aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa
    else
      search --no-floppy --fs-uuid --set=root aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa
    fi
    linuxefi /boot/vmlinuz-linux cryptdevice=UUID=99999999999999999999999999999999:cryptolvm root=/dev/mapper/cryptolvm-arch  resume=/dev/cryptolvm/swap splash=silent quiet showopts
    initrdefi /boot/initramfs-linux.img
}

LVM 设备：

# vgs -v
  VG        Attr   Ext   #PV #LV #SN VSize   VFree    VG UUID                                VProfile
  cryptolvm wz--n- 4.00m   1   5   0 706.45g <120.51g VVVVVV-VVVV-VVVV-VVVV-VVVV-VVVV-VVVVVV

# lvs -v | grep arch
  arch     cryptolvm    1 -wi-ao----  <40.96g  -1  -1  254    4  qqqqqq-qqqq-qqqq-qqqq-qqqq-qqqq-qqqqqq

磁盘/分区 UUID：

# blkid | egrep '(p4|arch)'
/dev/nvme0n1p4: UUID="99999999-9999-9999-9999-999999999999" TYPE="crypto_LUKS" PARTUUID="cccccccc-cccc-cccc-cccc-cccccccccccc"
/dev/mapper/cryptolvm-arch: UUID="aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa" PARTUUID="cccccccc-cccc-cccc-cccc-cccccccccccc"

解决方法：

GRUB2（或 initramfs）让我看到提示，因为它无法安装/dev/mapper/cryptolvm-arch到/（或，到/new_root）。所以在每次启动期间我手动输入：

> cryptsetup open /dev/nvme0n1p4 cryptolvm
(...)
> mount /dev/mapper/cryptolvm-arch /new_root
> ^D

为什么这是必要的？该安装在（并且确实使用过）中给出了两次（cryptomount和cryptdevice） 。grub.cfg

编辑：

也许这与 EFI 有关？如果是的话，我会收到 EFI 错误吗？ openSUSE 通过 EFI 启动，grub.cfg从其链式加载/，然后启动 Arch -linuxefi这里正确吗？

就在 GRUB2 将我转到紧急 shell 之前，我可以键入按键，它们会出现在屏幕上。当 shell 打开时，键入的字符仍在缓冲区中并输入到该 shell 中。

答案1

启动您的系统并添加 rd.debug（init-ramdisk 调试）内核标志。这应该能说明问题所在。
如果您有的话，如果您自己无法解决问题，您可以使用 xtrace 输出来显示最后一两个屏幕。

另外，您还可以将输出定向到文件（即向内核选项添加 rd.log=all 标志），并且应该能够在启动完成后将日志作为可复制和更好滚动的文本获取。

而且，我忘记了，在您上面的代码片段中，您出于某种原因匿名化了 UUID，我不知道您的原始配置是什么，但您忘记了破折号。
我的系统中的示例（blkid 是运行以从您的cryptdevice=UUID=21685fd6-f2e3-4037-8645-3957cff3568c:cryptolvm内核选项查找物理设备的命令，将使用以下命令搜索 cryptodevice= 之间直到第一个冒号的部分）：

[root@ArchTestVM ~]# blkid -lt "UUID=21685fd6-f2e3-4037-8645-3957cff3568c" -o device
/dev/nvme0n1p2
[root@ArchTestVM ~]# blkid -lt "UUID=21685fd6f2e3403786453957cff3568c" -o device
[root@ArchTestVM ~]#

答案2

你说“GRUB2 让我看到提示，因为它无法安装/dev/mapper/cryptolvm-arch到/”但是这看起来不像 GRUB 提示符。您输入的命令不是 GRUB 命令，而是 (Arch) Linux 命令。您已经超越了 EFI，超越了 GRUB，并且显然已经进入了 Arch initramfs。

该提示符看起来像基于 initramfs 的紧急 shell 提示符。 GRUB 的工作是加载两个东西：内核和 initramfs 文件。一旦 GRUB 完成了这项工作并将控制权移交给内核，GRUB 的工作就是完毕。该cryptomount命令告诉 GRUB 为此目的解锁加密磁盘，但 GRUB 无法将此解锁状态甚至加密密码传递给内核。

一旦内核启动，initramfs必须​​拥有所有必要的工具来再次解锁磁盘加密，要么再次提示输入密码，要么将密码存储在 initramfs 文件中；由于 initramfs 文件存储在您的情况下的加密磁盘上，因此这可能是可以接受的。

另请注意，您说“...因为它无法安装/dev/mapper/cryptolvm-arch到/”。如果错误消息完全如此，问题可能是 initramfs 正在尝试直接挂载到/出于某种原因尝试直接挂载。你不能这样做。相反，新的根文件系统必须首先安装在其他地方（例如/new_root），然后 initramfs 中的特殊命令将转变新的根文件系统就位。

您或许应该关注 Arch initramfs 文件的内容，而不是查看 EFI 和 GRUB。它应该准确地运行您手动输入的两个命令（可能/dev/nvme0n1p4用UUID=语法替换），但由于某种原因，这种情况没有发生。找出原因，你就会找到问题的原因。

相关内容