Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- debian [2026-02-12 23:12:06] – [Secure Boot & DKMS reparieren] david
+++ debian [2026-02-13 01:37:41] (aktuell) – [Secure Boot & DKMS] david
@@ Zeile 70: / Zeile 70: @@
-==== Client für Microsoft Teams installieren ====
+==== Nvidia-Treiber ====
-  * [[https://www.linuxcapable.com/install-microsoft-teams-on-debian/|How to Install Microsoft Teams on Debian 11]]
-    * Unter Linux gibt es seit Dez. 2022 kein natives Paket für MS-Teams mehr.
-    * Jetzt kann man MS-Teams unter Linux nur noch per [[https://teams.microsoft.com|Web-Seite]] nutzen.
-===== Nvidia-Treiber installieren =====
 [[https://wiki.debian.org/NvidiaGraphicsDrivers]]
-==== Debian 12 ====
+=== Debian 12 ===
-siehe [[linux_paketmanager#apt_quellen]] für das hinzufügen von ''non-free'' repos (empfohlen: ''main contrib non-free-firmware non-free'')
+  * siehe [[linux_paketmanager#apt_quellen]] für das hinzufügen von ''non-free'' repos (empfohlen: ''main contrib non-free-firmware non-free'')
   # linux kernel image & headers
@@ Zeile 105: / Zeile 98: @@
   > update-initramfs -k all -u
   > update-grub
-  # reboot or continue with secure boot setup and then reboot
+Danach rebooten (aber vorher prüfen, ob die schritte in [[debian#secure_boot_dkms]] befolgt wurden, falls secure boot genutzt werden soll)
-=== Secure Boot & DKMS ===
-detaillierte Infos:[[https://wiki.debian.org/SecureBoot]]
+=== Debian 11 ===
-zuerst prüfen, ob bereits ein bestehender MOK (Machine Owner Key) vorhanden ist, falls nicht siehe Debian Wiki wie und wo man einen MOK erstellt
+//Der "nouveau"-Treiber ist Schrott! Der bringt mein System (mit einer "GeForce GTX 1650") zum stehen bzw. zum Absturz!//
+  > lsb_release -cs
+  bullseye
+  > vi /etc/apt/sources.list.d/nvidia.list
+  deb http://deb.debian.org/debian/ bullseye-updates main non-free contrib
+  #deb-src http://deb.debian.org/debian/ bullseye-updates main non-free contrib
+  #
+  deb http://deb.debian.org/debian/ bullseye main non-free contrib
+  #deb-src http://deb.debian.org/debian/ bullseye main non-free contrib
+  > apt update
+  > apt install nvidia-detect nvidia-driver
+  > nvidia-detect
+  ...
+  It is recommended to install the
+      nvidia-driver
+  package.
+  > apt install nvidia-driver
+  > reboot
+  > nvidia-settings
+==== Microsoft Teams ====
+  * Seit Dez. 2022 gibt es keine Microsoft Teams Desktop App für Linux mehr, als Alternative muss man die Web App nutzen (auch als PWA verfügbar, zumindest in Chromium Browsern):
+    * Neue Domain: [[https://teams.cloud.microsoft]]
+    * Work & School: [[https://teams.microsoft.com]]
+    * Personal: [[https://teams.live.com]]
+===== Secure Boot & DKMS =====
+  * Detaillierte Infos: [[https://wiki.debian.org/SecureBoot]]
+Zuerst prüfen, ob bereits ein bestehender MOK (Machine Owner Key) vorhanden ist, falls nicht siehe den verlinkten debian wiki eintrag, da wird erklärt wie man einen MOK erstellt
   > ls -aFhl /var/lib/dkms /var/lib/shim-signed/mok
-Den Pfad zum vorhandenen oder erstellten MOK in DKMS konfigurieren (default: ''/var/lib/dkms'')
+Den Pfad zum vorhandenen oder erstellten MOK in DKMS überprüfen und ggf. konfigurieren (default: ''/var/lib/dkms'')
   > vim /etc/dkms/framework.conf
@@ Zeile 122: / Zeile 153: @@
   mok_certificate=/var/lib/dkms/mok.pub
-nvidia-kernel-dkms neubauen, neuinstallieren und initramfs neubauen
+Falls kernel module (z.b. nvidia oder zfs) installiert sind, diese neubauen & neuinstallieren, initramfs neubauen und grub config aktualisieren
   > dkms status
@@ Zeile 128: / Zeile 159: @@
   > dkms build nvidia-current/525.147.05 --force
   > dkms install nvidia-current/525.147.05 --force
-  > update-initramfs -k all -u
+  > update-initramfs -k all -u && update-grub
-  > update-grub
-MOK importieren, neustarten und testen ob erfolgreich
+**MOK import** anstoßen, neustarten, enrollment durchführen und testen ob es erfolgreich war
-(passwort muss vergeben werden und beim reboot bestätigt werden)
+(Einmalpasswort muss vergeben werden und nach dem reboot während des imports bestätigt werden)
   # has to be DER format
@@ Zeile 138: / Zeile 168: @@
   # after reboot check if it was successful
   > mokutil --test-key /var/lib/dkms/mok.pub
+  # you can also check if secure boot is enabled
+  > mokutil --sb-state
-=== Secure Boot & DKMS reparieren ===
+==== Reparatur ====
-Bei einem UEFI Update oder auf andere Weise kann es passieren, dass der MOK Key nicht mehr im UEFI hinterlegt ist und der Booteintrag für SHIM fehlt.
+Unter anderem bei einem uefi firmware update kann es passieren, dass der MOK nicht mehr im uefi hinterlegt ist, da es dabei oftmals zurückgesetzt wird.
-Wenn nur der Key im UEFI fehlt, sollte MOK Manager von SHIM automatisch gestartet werden, damit der Key neu enrolled werden kann, falls MOK Manager den Key nicht mehr kennt, einfach den Anweisungen von oben folgen (mok mit mokutil importieren).
-Wenn der SHIM Booteintrag fehlt, kann dieser einfach wieder neu angelegt werden, wenn alle Booteinträge fehlen, muss mit einem Linux USB Recovery image nachgeholfen werden und zur not grub o.ä. neu installiert werden (letzteres sollte aber normalerweise nicht vorkommen, da uefi die efi partition finden sollte und so zumindest den nicht secure boot fähigen booteintrag anlegt).
-Fall: Booteintrag für shim fehlt, daher wird versucht grub direkt zu booten und Secure Boot verhindert dies.
+Wenn der Key im uefi fehlt:
+  * secure boot im uefi deaktivieren
+  * MOK import (siehe oben) ausführen
+  * secure boot im uefi wieder aktivieren
-Lösung:
+Wenn der booteintrag nicht mehr funktioniert (z.b. uefi versucht grub direkt zu starten, also kein shim chainloading):
-  * Secure Boot deaktivieren
+  * secure boot im uefi deaktivieren
-  * boot
-  * den schritt "MOK importieren" (siehe secure boot setup oben) ausführen (falls noch nicht erledigt, seitdem secure boot nicht mehr funktioniert)
   * booteinträge mit ''efibootmgr'' neu erstellen (siehe unten)
-  * reboot
+  * secure boot im uefi wieder aktivieren
-  * MOK Manager sollte automatisch starten und key enroll ermöglichen
-  * Secure Boot aktivieren
+**Wichtig**:
+  * es kann sein, dass beide schritte notwendig sind, diese können auch direkt zusammen ohne reboot dazwischen ausgeführt werden
+  * allerdings liegt es in den allermeisten fällen nur am MOK, denn grub legt bei seiner installation die datei ''/boot/efi/EFI/debian/BOOTX64.CSV'' an (angenommen die efi partition ist unter ''/boot/efi'' gemounted), in dieser wird ''shimx64.efi'' referenziert, wodurch das uefi beim scan aller efi partitionen den booteintrag einfach wieder automatisch anlegen kann
+    * grub kann man folgendermaßen neuinstallieren: ''%%grub-install --recheck --efi-directory=/boot/efi%%''
+efibootmgr:
 <code bash>
+# read man page
+man efibootmgr
 # show current uefi boot entries
-efibootmgr
+sudo efibootmgr
-# optional: if exist delete automatically created entry for grub as for demonstration purposes we create both ourself (with proper labels)
+# delete the non functional entry (if it exists)
-# (note correct boot number from above command to not accidentally delete the wrong one, in this example windows has 0 and linux has 1)
+# (note the correct boot number from above command to avoid accidentally deleting the wrong one, this example assumes windows is 0 and linux is 1)
-efibootmgr --bootnum 1 --delete-bootnum
+sudo efibootmgr --bootnum 1 --delete-bootnum
-# create boot entry for shim which chainloads grub (secure boot)
+# create boot entry for shim which chainloads grub for secure boot support with microsoft keys
-efibootmgr --create --disk /dev/nvme0n1 --loader '\EFI\debian\shimx64.efi' --label 'debian - shim'
+sudo efibootmgr --create --disk /dev/nvme0n1 --loader '\EFI\debian\shimx64.efi' --label 'debian'
-# optional: recreate default boot entry for grub (non secure boot)
-efibootmgr --create --disk /dev/nvme0n1 --loader '\EFI\debian\grubx64.efi' --label 'debian - grub'
 # optional: update boot order
-efibootmgr --bootorder 1,2,0
+sudo efibootmgr --bootorder 1,0
 # optional: set boot next (this will temporarily overwrite the bootorder and boot the specified entry only on the next boot)
-efibootmgr --bootnext 1
+sudo efibootmgr --bootnext 1
-efibootmgr
+sudo efibootmgr
 </code>
-Hier wird angenommen, dass sich die EFI Partition auf der disk ''/dev/nvme0n1'' befindet.
+Hier wird angenommen, dass sich die efi partition auf der disk ''/dev/nvme0n1'' befindet.
-Bezüglich des Pfads:
+  * efi partition finden: output von ''%%mount | grep -Ei 'efi|vfat'%%'' ist z.b. ''/dev/nvme0n1p1 on /boot/efi'', d.h. die efi partition ist auf ''/boot/efi'' gemountet
-  * efi partition finden: output von ''%%mount | grep -Ei '(efi|vfat)'%%'' ist z. B. ''/dev/nvme0n1p1 on /boot/efi'', d.h. die efi partition ist auf ''/boot/efi'' gemountet
+  * efi bootloader finden (shim ist relevant für secure boot): output von ''%%find /boot/efi -type f -iname '*.efi'%%'' ist z.b. ''/boot/efi/EFI/debian/shimx64.efi''
-  * efi bootloader finden: output von ''%%find /boot/efi -type f -iname '*.efi'%%'' ist z. B. ''/boot/efi/EFI/debian/shimx64.efi''
+  * daraus ergibt sich der efi pfad: ''%%\EFI\debian\shimx64.efi%%''
-  * daraus ergibt sich der EFI Pfad: ''%%\EFI\debian\shimx64.efi%%'' (relativ zum mountpoint der efi partition, daher wird die partition im kommando nicht angegeben, also ''%%/dev/nvme0n1%%'' und **nicht** ''%%/dev/nvme0n1p1%%'')
+    * uefi nutzt backslashes (''%%\%%'') als pfadtrennzeichen
-  * **Wichtig**: UEFI nutzt backslash (''\'') als Pfadtrennzeichen
+    * der pfad ist relativ zur efi partition, daher wird **nicht** die partition (''/dev/nvme0n1p1''), **sondern** die disk (''/dev/nvme0n1'') angegeben
-==== Debian 11 ====
-//Der "nouveau"-Treiber ist Schrott! Der bringt mein System (mit einer "GeForce GTX 1650") zum stehen bzw. zum Absturz!//
-  > lsb_release -cs
-  bullseye
-  > vi /etc/apt/sources.list.d/nvidia.list
-  deb http://deb.debian.org/debian/ bullseye-updates main non-free contrib
-  #deb-src http://deb.debian.org/debian/ bullseye-updates main non-free contrib
-  #
-  deb http://deb.debian.org/debian/ bullseye main non-free contrib
-  #deb-src http://deb.debian.org/debian/ bullseye main non-free contrib
-  > apt update
-  > apt install nvidia-detect nvidia-driver
-  > nvidia-detect
-  ...
-  It is recommended to install the
-      nvidia-driver
-  package.
-  > apt install nvidia-driver
-  > reboot
-  > nvidia-settings