кикстарт только по HTTPS
Предыстория: Запуск RHEL7 на powerppc (IBM pSeries)
Итак, я много лет работал без присмотра, и в прошлом мне приходилось использовать yaboot, NFS и т.д. для кикстарта. Пытаюсь модернизироваться сейчас. У меня есть рабочий кикстарт, использующий только HTTP (Apache) (и TFTP). Моя проблема заключается в попытке сделать это только https . Не уверен, что это возможно, но можно было бы подумать, что это будет, поскольку вы можете указать https.
Если у меня есть ранее работающий ответ веб-сервера для HTTP и HTTPS (те же htdocs), и следующий grub.conf , он работает нормально (IP и FQDN явно замаскированы):
menuentry 'Install RHEL 7 via Kickstart...' {
set root=http,WEBIP
linux https://WEBFQDN/software/rhel/ppc/ppc64/vmlinuz ro ip=dhcp ks=https://WEBFQDN/kickstart/rhel7-power.ks
echo 'Loading initial ramdisk ...'
inst.repo=https://WEBFQDN/software/rhel/
initrd https://WEBFQDN/software/rhel/ppc/ppc64/initrd.img
}
Однако tcpdump показывает, что он все еще использует HTTP для большого трафика. И действительно, если я перенастрою веб-сервер на RedirectMatch (. *) Https: // WEBFQDN / $ 1 (перенаправить весь http на https, не обслуживать http), я получу следующую ошибку:
ошибка: недопустимая независимая от архитектуры магия ELF.
Если я удалю RedirectMatch (и вернусь к разрешению http вместо перенаправления), он снова будет работать нормально.
Итак, я мог жить с http, но в идеале веб-сервер - это просто https (потому что на нем хранится много конфиденциальных данных, кроме кикстарта). Это возможно? Мне не хватает ключевого флага? Я пробовал root = https, ... но потом я получил « файл не найден » (я полагаю, неподдерживаемый сетевой вариант).
Спасибо за любые указатели!
Итак, в конце концов, я получил ответ от Рэд Хэт. Они указывают, что grub не поддерживает HTTPS, хотя в некоторых документах указано, что вы можете использовать HTTPS. И на самом деле, вы можете использовать HTTPS в конфигурации... но он все равно откатится назад и будет использовать HTTP вместо этого. В Grub не загружены ни сертификаты, ни SSL-библиотеки, в соответствии с ними. Значит, на тот момент HTTPS не поддерживается.
Тогда ответьте на вопрос и протестируйте: grub.conf настроен на использование TFTP для получения файлов vmlinuz и initrd.img (локально), а не HTTPS (HTTP). ks=https://... и inst.repo=https://... строки CAN должны быть HTTPS, потому что после загрузки ядра, оно DOES имеет SSL и может получить кикстартовый файл и репо-файлы по HTTPS. Таким образом, HTTP не используется.
.