**Edit 2022**: Article mis à jour pour nettoyer les parties osbolètes et utiliser les nouveaux logiciels
**Edit 2022**: Article mis à jour pour nettoyer les parties obsolètes : utilisation de sshd et du raid soft
# Vous n'avez accès à rien ?
Pas d'ipmi, pas de KVM, pas de console ? Et pourtant vous voulez installer votre serveur openvz ?
@ -183,16 +183,26 @@ Pour commencer, récupérez les partitions qui correspondent entre-elles sur vos
```
fdisk -l /dev/sda
# Start End Size Type Name
1 2048 4095 1M BIOS boot
2 4096 2101247 1G Microsoft basic
3 2101248 5760518143 2,7T Linux RAID
4 5760518144 5827631103 32G Linux RAID
5 5827631104 5860532223 15,7G Linux RAID
fdisk -l /dev/sdb
# Start End Size Type Name
1 2048 5758418943 2,7T Linux RAID
2 5758418944 5825531903 32G Linux RAID
3 5825531904 5858433023 15,7G Linux RAID
```
Une fois cette correspondance faite, on va dire à mdadm d'activer les volumes raid.
L'objectif ici est de **rapprocher** les partitions qui "vont ensembles" en raid mdadm, en utilisant leur taille, puisque 2 partitions en raid doivent être identiques.
On observe par exemple que
- sda3 est liée à sdb1
- sda4 est liée à sdb2 # Au passage, cette partition est notre partition root, à repérer pour savoir quelle partition monter dans le chroot
- sda5 est liée à sdb3
Une fois cette correspondance faite, on va dire à mdadm d'activer les volumes raid.
On prends ici l'exemple d'un raid1 avec 2 disques, dans le cas de raid5, ou 6, ajoutez les partitions nécessaires.
```
@ -218,7 +228,7 @@ chroot /mount/openvz
Une fois dans le chroot, les choses marrantes reprennent ;-)
La connexion au boot se fera exclusivement avec une clef SSH. Si vous avez besoin de générer une clef SSH, vous pouvez vous référer à [cet article](https://blog.victor-hery.com/2012/08/connexion-ssh-par-cle.html#generation-de-la-cle-les-choses-serieuses-commencent) .
Commencez donc par poser votre clef ssh dans le chroot directement.
Commencez donc par poser votre clef ssh dans le chroot directement, ainsi elle sera prête pour votre connexion une fois le serveur démarré.
mkdir -p /root/.ssh
vim /root/.ssh/authorized_keys # Entrez votre clef SSH personnelle
@ -226,7 +236,7 @@ Commencez donc par poser votre clef ssh dans le chroot directement.
chmod 600 /root/.ssh/authorized_keys
J'utilisais précédemment [dracut-crypt-ssh](https://github.com/dracut-crypt-ssh/dracut-crypt-ssh) qui implémentait DropbearSSH, mais après plusieurs années de bons et loyaux services, il n'est plus maintenu.
On peut avantageusement le remplacer désormais par [dracut-sshd](https://github.com/gsauthof/dracut-sshd).
On peut avantageusement le remplacer désormais par [dracut-sshd](https://github.com/gsauthof/dracut-sshd) qui utilise pour sa part openssh.
```
yum install yum-plugin-copr
@ -237,12 +247,12 @@ mkdir /etc/dracut-sshd
cp /root/.ssh/authorized_keys /etc/dracut-sshd/
```
**Si vous utilisez un raid** il est nécessaire d'indiquer à dracut de charger le driver correspondant
**Si vous utilisez un raid software** il est nécessaire d'indiquer à dracut de charger le driver correspondant
```
vim /etc/dracut.conf
# Modifier et décommentez l'entrée add_drivers
add_drivers+="raid1" # Dans le cas d'un raid1
add_drivers+="raid1" # Dans le cas d'un raid1, sinon raid5, raid6, raid0, ...
```
Par défaut, dracut va générer un initramfs pour le noyau sur lequel le serveur est démarré, à savoir celui du rescue.
@ -279,21 +289,67 @@ Une fois le fichier enregistré, regénérez la configuration grub :
## Configuration de grub : luks
Sur les dernières versions, j'ai noté que par défaut openvz ne configurait le grub pour déchiffrer que les partitions root et swap.
Sur les dernières versions d'openvz, j'ai noté que par défaut le grub n'est parfois configuré que pour déchiffrer que les partitions root et swap.
Cela nous pose problème, car il demande le mot de passe pour déchiffrer la partition /vz bien plus tard, **après** le process initramfs mais **avant** d'avoir lancé les services. Pas de ssh pour le déverrouiller donc !
Pour corriger cela, on va devoir ajuster la configuration du grub nous-même.
Pour corriger cela, on va devoir vérifier la configuration du grub nous-même.
Tout se passe dans le fichier `/etc/default/grub`, à la section `GRUB_CMDLINE_LINUX`.
Tout d'abord, récupérez les noms des partitions luks :
Une fois le fichier enregistré, regénérez la configuration grub :
grub2-mkconfig --output /etc/grub2.cfg
## Sortir du chroot
@ -316,7 +372,7 @@ vgchange -a n
</p>
<p>
<details>
<summary>Cliquez pour sortir du chroot avec raid</summary>
<summary>Cliquez pour sortir du chroot avec raid soft</summary>
```
exit
umount /mount/openvz/dev
@ -337,14 +393,19 @@ N'oubliez pas de désactiver le mode rescue de votre serveur, pour éviter qu'il
Si tout s'est bien passé, au bout de quelques minutes (selon votre serveur), le réseau devrait se remettre à pinguer. Quelques instant plus tard, le SSH devrait être disponible.
% ssh root@IP_SERVEUR -p 22
# console_peek # Pour voir ce qu'affiche la console, notamment la demande de mot de passe
# console_auth # Pour vous permettre de taper la clef des disques dur
```
% ssh root@IP_SERVEUR -p 22
# Cette commande permet de passer le mot de passe de déchiffrement à systemd
# Sur une install standard, vous avez 3 disques à déchiffrer (/root, /vz et swap), il faudra donc entrer la commande 3 fois
systemd-tty-ask-password-agent
systemd-tty-ask-password-agent
systemd-tty-ask-password-agent
```
Si le mot de passe est correcte, le boot va continuer, votre shell va se terminer et votre serveur terminer de démarrer tranquillement.
Si le mot de passe est correct, le boot va continuer, votre shell va se terminer et votre serveur terminer de démarrer tranquillement.
Vous devriez ensuite pouvoir vous connecter de manière tout à fait classique avec vos identifiants (le mot de passe root indiqué à l'installation).
Si jamais initramf ne continue pas, n'hésitez pas à utiliser de nouveau `console_peek` pour récupérer le contenu de la console et voir ce qui coince.
Si jamais initramf ne continue pas, n'hésitez pas à utiliser la commande `systemd-tty-ask-password-agent --list` pour récupérer la liste des disques non débloqués et voir ce qui coince.
# Troubleshooting
Cette procédure est normalement fonctionnelle, mais pas mal de chose peuvent mal se passer malheureusement, sans accès console, c'est difficile à debuguer...
@ -388,5 +449,5 @@ Je remercie ces différents auteurs qui m'ont permis d'arriver à ce résultat e
* [Install Virtuozzo via VNC](https://docs.virtuozzo.com/virtuozzo_7_installation_guide/installing-virtuozzo/installing-virtuozzo-via-vnc.html)
* [Centos6 disk encryption with remote password](http://roosbertl.blogspot.com/2012/12/centos6-disk-encryption-with-remote.html)
* [crypt-wait for dracut](https://bitbucket.org/bmearns/dracut-crypt-wait/src)
