USB 上的单独 /boot 分区

Question

在标准 Debian 安装期间，我决定实施额外的安全因素，即单独的 USB 密钥上的 /boot。在 Debian 指南中，我发现它只是这样放置的。

http://madduck.net/docs/cryptdisk/

如果您不喜欢未加密的 /boot 分区，您可以使用 USB 密钥引导系统，除了引导和升级内核时，您可以将其与系统分开。为此，您需要做的就是将引导加载程序和内核安装到设备上，并将其配置为使用硬盘上正确的加密卷作为根文件系统。

我知道如何将 GRUB 安装到 U 盘上

grub-install --root-directory=/mnt /dev/sdb

但我不知道将内核映像从我当前的安装复制到 USB 记忆棒。一切都是在现场环境中完成的。清洁手动安装，我安装分区，然后继续安装，我以后/root和 /home准备使用和/boot已经在USB规定的重点，我选择“继续测试”我的生活环境，从我安装GRUB到/boot分区，但我要如何初始 ramdisk 有吗？

因为这是系统启动所必需的。这种方法也不需要我编辑我的/etc/fstab或/etc/crypttab吗？

Answer 1

这是/boot在外部 USB 闪存上实现相同目标的略有不同的方式：

(1) 使用包 gnome-disk-utility 按照以下方式在现有 Debian 安装下准备 USB 闪存引导设备（这不一定是唯一的方式，但经过测试并适用于我）。

(1.1) 用MBR方案格式化设备。

(1.2) 创建单个ext2分区，使其占用所有可用空间。

(1.3) 步骤 1.2 完成后，转到“编辑分区”并设置可引导标志。

(2) 使用其标准安装程序安装 Debian。

(2.1) 启动您的安装媒体，即 Debian 安装 cd/dvd 或其他带有 .iso 映像的 U 盘。

(2.2) 选择国家/语言，设置用户和密码，回答所有常规问题（这里不感兴趣）直到磁盘分区对话框。

(2.3) 选择手动分区。

(2.4) 在您的主磁盘驱动器上创建您的 raid/lvm/encrypted 卷。在它之上会有一个文件系统，可能是 ext4。

(2.5) 转到此文件系统的属性并选择挂载为/和“完成此分区”。

(2.7) 在列表中找到U盘，上面应该有ext2。

(2.8) 转到其属性并选择 mount as/boot和可选noatime的附加标志。有一个格式化分区的选项，不要要这样做！“保留文件”。

(2.9) 选择“Done with this partition”。

(2.10) 选择“完成分区”或类似的，安装过程应该会继续出现一些简单的对话框。

（2.11），其他几个对话框，在这里我们的利益的简单，而不是后，会出现一个问题一个对话框，在其中安装GRUB，你应该同意在安装你的/dev/sdX，这里X是你的USB启动闪存。

安装完成后，您应该能够从您的闪存启动，在 BIOS 中选择适当的选项。

关于您发出grub-install --root-directory=/mnt /dev/sdb命令的问题，更喜欢chroot /mnt grub-install /dev/sdb作为--root-directory不推荐使用选项。除此之外，它会工作提供：

(1) 主文件系统（您加密的 HDD/SSD/etc）层次结构未加密并安装在/mnt主机操作系统（即 Debian livecd）下，引导分区安装在/mnt/boot;

(2) 新系统以前安装到那个分区。也就是说，/mnt在它的东西（/usr/bin，/usr/sbin等）;

(3) 在grub-install您发出后chroot /mnt update-grub；

(4) 你编辑/etc/fstab和/etc/crypttab。

这比通过 Debian 安装程序安装所有内容要麻烦得多。

现在，我想评论步骤 1、1.1、1.2 和 1.3。我正在使用 Debian 7.5 安装程序，grub-install如果分区是通过它自己的安装程序创建的，它会在步骤中失败。这并不意味着安装程序中有错误，可能是我做错了。通过创建的分区gnome-disk-utility效果很好。现在我在 LVM 之上有一个 dm-crypt/luks 卷，它位于软件 RAID（一个md设备）之上，而后者又位于物理驱动器上。