NixOS on Raspberry Pi 5：解决ZFS加密根分区启动问题

NixOS on Raspberry Pi 5：解决ZFS加密根分区启动问题

在Raspberry Pi 5上部署NixOS时，配置加密的ZFS根分区是一个常见需求，特别是当需要将加密分区发送到不受信任的备份服务器时。本文将详细介绍如何解决在使用U-Boot引导时遇到的启动问题，以及如何正确配置ZFS加密根分区。

问题背景

在Raspberry Pi 5上使用NixOS时，用户希望配置一个加密的ZFS根分区，密钥存储在/boot/secret.txt中。这种配置的主要用例是能够将加密的分区发送到不受信任的备份服务器。然而，在尝试实现这一配置时，系统在启动过程中会挂起，特别是在preDeviceCommands和preLVMCommands阶段之间。

问题分析

通过添加boot.trace内核参数，可以观察到系统在udevadm settle命令处挂起。进一步使用udev.log_level=debug参数后，可以看到系统在尝试加载某些模块时失败，特别是与IOMMU相关的模块。此外，启动过程中HDMI输出在preDeviceCommands阶段后停止显示信息，但实际上系统仍在运行，这些信息可以在journalctl日志中查看。

解决方案

1. 添加必要的内核模块

问题的根本原因是缺少必要的内核模块来挂载VFAT文件系统。在initrd阶段，需要加载以下模块：

boot.initrd.kernelModules = [
  "uas" "usbcore" "usb_storage"
  "vfat" "nls_cp437" "nls_iso8859_1"
  "ext4"
];

或者更简单的方法是使用：

boot.initrd.supportedFilesystems = [ "zfs" "vfat" ];

2. 启动流程配置

正确的启动流程配置应包括以下几个关键部分：

1. preLVMCommands：在此阶段挂载/boot分区
2. postMountCommands：在此阶段卸载/boot分区

示例配置：

boot.initrd.preLVMCommands = lib.mkBefore ''
  mkdir -p /boot
  mount /dev/disk/by-partlabel/ESP /boot
'';

boot.initrd.postMountCommands = ''
  umount /boot
'';

3. ZFS加密配置

ZFS加密配置需要注意以下几点：

1. 使用aes-256-gcm加密算法
2. 密钥格式设置为passphrase
3. 密钥位置设置为file:///boot/secret.key

示例配置：

datasets = {
  rpisystem = {
    type = "zfs_fs";
    options = {
      mountpoint = "none";
      encryption = "aes-256-gcm";
      keyformat = "passphrase";
      keylocation = "file:///boot/secret.key";
    };
  };
};

4. 解决USB Gadget/Ethernet设备超时问题

如果系统在启动时出现"usb0"设备超时，可能是因为导入了usb-gadget-ethernet模块但未正确配置。如果不需要此功能，可以移除相关模块导入。

调试技巧

1. 使用boot.trace内核参数查看启动过程中的命令执行
2. 使用boot.debug1*参数可以在不同阶段进入shell进行调试
3. 通过journalctl查看完整的启动日志，因为部分信息可能不会显示在HDMI输出上

完整配置示例

以下是一个完整的NixOS配置示例，展示了如何在Raspberry Pi 5上配置加密的ZFS根分区：

{
  disko.devices = {
    disk.mmcblk0 = {
      device = "/dev/mmcblk0";
      content = {
        type = "gpt";
        partitions = {
          FIRMWARE = {
            size = "1024M";
            content = {
              type = "filesystem";
              format = "vfat";
              mountpoint = "/boot/firmware";
            };
          };
          ESP = {
            size = "1024M";
            content = {
              type = "filesystem";
              format = "vfat";
              mountpoint = "/boot";
            };
          };
          zfs = {
            size = "100%";
            content = {
              type = "zfs";
              pool = "rpool";
            };
          };
        };
      };
    };

    zpool.rpool = {
      type = "zpool";
      datasets = {
        rpisystem = {
          type = "zfs_fs";
          options = {
            encryption = "aes-256-gcm";
            keylocation = "file:///boot/secret.key";
          };
        };
        "rpisystem/root" = {
          mountpoint = "/";
        };
      };
    };
  };

  boot.initrd.supportedFilesystems = [ "zfs" "vfat" ];
  boot.initrd.preLVMCommands = "mkdir -p /boot; mount /dev/disk/by-partlabel/ESP /boot";
  boot.initrd.postMountCommands = "umount /boot";
}

总结

在Raspberry Pi 5上配置加密的ZFS根分区需要注意以下几点：

1. 确保在initrd阶段加载了必要的文件系统模块
2. 正确配置启动命令的顺序，确保在需要时可以访问密钥文件
3. 合理设置ZFS加密参数
4. 注意系统服务的依赖关系，避免不必要的启动延迟

通过以上配置，可以在Raspberry Pi 5上成功部署带有加密ZFS根分区的NixOS系统，既保证了数据安全，又实现了灵活的备份策略。