Подробный гайд по восстановлению Astra Linux после отказа ViPNet SafeBoot

Пошаговый гайд по восстановлению Astra Linux после отказа ViPNet SafeBoot: вход в BIOS, диагностика дисков, восстановление GRUB или доверенной загрузки.

2026.08.24 #Astra Linux #ViPNet SafeBoot #доверенная загрузка #grub #BIOS #UEFI #восстановление Linux #переустановка ОС

Сценарий:

ViPNet SafeBoot находился не только внутри Astra Linux, а в загрузочной области: MBR/ESP, отдельный служебный раздел, файлы конфигурации, ключи/параметры доверенной загрузки.
При переустановке ОС вероятно, отформатировали/затёрли раздел или файлы, нужные SafeBoot, либо установщик перезаписал загрузчик.
Теперь машина пытается стартовать через SafeBoot/старую запись загрузки, не находит нужные файлы и зависает/не даёт перейти дальше.
То, что вы «не можете зайти в BIOS», часто означает не смерть BIOS, а то, что машина зависает на этапе попытки загрузки с диска, включён Fast Boot, не распознаётся клавиатура, или неисправная загрузочная запись мешает нормальному вызову Setup.

Важно перед любыми действиями

Если машина рабочая, сертифицированная, под политиками ИБ, самостоятельное удаление SafeBoot, сброс BIOS и переустановка загрузчика могут нарушать регламент. Лучше согласовать действия с администратором безопасности/ИТ.
Если диски были зашифрованы ViPNet SafeBoot, а вы потеряли/отформатировали раздел с ключами или конфигами, без аварийного диска восстановления и ключа восстановления данные могут быть недоступны.

3. Не форматируйте и не перезаписывайте диск дальше, пока не поймёте:

нужна ли вам сохранность данных;
был ли включён режим шифрования;
есть ли у вас аварийный носитель SafeBoot / ключ восстановления;
можно ли просто переустановить систему без SafeBoot.

Шаг 1. Проверить, реально ли доступен BIOS/UEFI

Сначала надо отделить проблему загрузочного диска от проблемы самого firmware.

1.1. Полностью обесточьте машину

Для настольного ПК:

Выключите питание.
Отключите кабель питания из розетки/блока питания.
Нажмите и держите кнопку включения 20–30 секунд.
Подождите 1–2 минуты.
Включите и пробуйте зайти в BIOS/UEFI.

Для ноутбука:

Выключить.
Отключить зарядное.
Если батарея съёмная — снять.
Зажать кнопку питания на 20–30 секунд.
Вернуть питание, включить.

1.2. Попробуйте правильные клавиши входа

Нажимать нужно сразу после нажатия кнопки питания, часто многократно.

Часто используемые клавиши:

Производитель	Вход в BIOS/UEFI	Boot Menu
ASUS	Del / F2	F8
Gigabyte	Del	F12
MSI	Del	F11
Acer	F2 / Del	F12
HP	F10 / Esc	F9
Dell	F2	F12
Lenovo	F1 / F2 / Fn+F2	F12 / Novo button
Fujitsu	F2	F12
Российские/промышленные ПК	часто Del / F2 / Esc	F11/F12

Иногда помогает:

зажимать Esc, F2, Del ещё до включения питания;
нажимать часто, а не держать;
на ноутбуках использовать Fn + F2 или Fn + Esc.

1.3. Смените клавиатуру и порт

Особенно если у вас беспроводная клавиатура или USB-хаб.

Попробуйте:

обычную проводную USB-клавиатуру;
воткнуть её в задний порт материнской платы;
желательно в порт USB 2.0, не в переднюю панель;
если есть PS/2-клавиатура — отлично;
отключить все лишние USB-устройства: флешки, принтеры, док-станции, внешние диски.

Если клавиатура не определяется до загрузки ОС, иногда помогает только сброс BIOS/CMOS или другая клавиатура.

1.4. Отключите диски и проверьте вход в BIOS

Это очень важный диагностический шаг.

Сделайте так:

Выключите ПК.
Отключите питание.

3. Физически отключите все диски:

SATA-кабели;
M.2/NVMe накопители, если можно;
любые внешние диски.

Оставьте только монитор и клавиатуру.
Включите ПК.

Если без дисков вы можете зайти в BIOS — значит BIOS жив, а проблема почти наверняка в диске/загрузчике/ViPNet SafeBoot на этом диске.

Если без дисков вы всё равно не можете зайти в BIOS — проблема уже больше похожа на firmware/аппаратную часть: клавиатура, видео, CMOS, материнская плата, пароль, сбой прошивки.

1.5. Сброс CMOS / NVRAM

Если вход в BIOS заблокирован странным состоянием настроек, можно сбросить CMOS.

Для настольного ПК

Вариант 1: перемычка `CLR_CMOS` / `JBAT1` / `CLRTC`.

Выключить питание.
Отключить кабель питания.
Найти перемычку очистки CMOS на плате.
Перемкнуть контакты на 5–10 секунд или переставить джампер по инструкции платы.
Вернуть как было.
Включить.

Вариант 2: батарейка CR2032.

Выключить питание.
Отключить кабель питания.
Вытащить батарейку CR2032 на материнской плате.
Нажать кнопку питания на 30 секунд.
Подождать 10–20 минут.
Вставить батарейку.
Включить.

Для ноутбука

Часто есть кнопка сброса на нижней крышке или отверстие reset. Но на корпоративных ноутбуках это может быть не разрешено политикой.

1.6. Если на BIOS есть пароль

Если при попытке входа в BIOS появляется запрос пароля:

вспомните/уточните пароль у ИТ-отдела;
если это корпоративное устройство — только через ИТ/ИБ;
сброс перемычкой/батарейкой на некоторых машинах пароль не сбрасывает;
не пытайтесь «ломать» пароль, если машина на учёте.

1.7. Если нет изображения

Иногда кажется, что «не заходит в BIOS», хотя на самом деле BIOS работает, но изображение выводится не туда.

Проверьте:

другой монитор;
другой кабель;
другой видеовыход;
если есть встроенная графика и дискретная видеокарта — попробуйте встроенную;
если дискретная видеокарта не нужна — временно снимите её;
попробуйте другой вход монитора: VGA/HDMI/DisplayPort.

Шаг 2. Если BIOS доступен: временно настроить загрузку с USB

Когда попадёте в BIOS/UEFI, проверьте:

1. Включена ли поддержка клавиатуры на этапе загрузки:

USB Keyboard Support;
Legacy USB Support.

2. Отключите временно:

Fast Boot;
Quick Boot;
Silent Boot;
Full Screen Logo, если есть.

3. Проверьте режим загрузки:

UEFI;
Legacy/CSM;
Both.

4. Если есть `Secure Boot`:

для диагностики можно временно отключить;
но если машина сертифицирована, потом вернуть исходную политику.

5. Поставьте загрузку с USB-накопителя выше диска.

6. Сохраните настройки: обычно `F10`.

Шаг 3. Загрузиться с аварийного/установочного носителя

Вам понадобится один из вариантов:

Загрузочная флешка Astra Linux 1.5 или подходящая редакционная версия.
Любой совместимый Linux Live USB: Debian, Astra, Ubuntu/Debian-based, но лучше родной дистрибутив.
Аварийный носитель ViPNet SafeBoot, если он создавался заранее.

Что попробовать

Вставить загрузочную флешку.

2. При включении вызвать Boot Menu:

F11/F12/F8/Esc — зависит от платы.

3. Выбрать флешку:

если есть два пункта, например UEFI: Kingston... и просто Kingston..., сначала попробуйте UEFI.

Если не грузится — попробовать второй режим.
Если не грузится ни в одном режиме — пересоздать флешку.

Если флешка не загружается, но BIOS доступен:

попробуйте другой порт;
попробуйте USB 2.0;
попробуйте другой дистрибутив;
попробуйте отключить Secure Boot;
попробуйте включить Legacy/CSM;
попробуйте временно отключить диск с SafeBoot и грузиться только с USB.

Шаг 4. Диагностика после загрузки в Live-режим

Когда загрузитесь в Live-режим, откройте терминал и выполните команды диагностики.

4.1. Посмотреть диски и разделы

sudo -i
lsblk -f

или подробнее:

lsblk -o NAME,SIZE,FSTYPE,LABEL,UUID,MOUNTPOINT,PARTLABEL,PARTUUID

Ещё:

parted -l
blkid

Вам нужно понять:

есть ли разделы;
есть ли файловые системы;
есть ли раздел с меткой EFI, boot, vipnet, safeboot;
есть ли LUKS/шифрование;
видны ли разделы вообще.

Примерно ищите:

/dev/sda, /dev/sdb, /dev/nvme0n1 — диски;
/dev/sda1, /dev/nvme0n1p1 — EFI System Partition, обычно FAT32, 100–512 МБ;
/dev/sda2, /dev/sda3 — Linux root/boot;
служебный раздел SafeBoot, если он был.

4.2. Проверить, есть ли UEFI или Legacy/BIOS

Выполните:

dmesg | grep -i efi

или:

ls /sys/firmware/efi

Если каталог `/sys/firmware/efi` существует — вы загрузились в UEFI-режиме.

Если его нет — вероятно, режим Legacy/BIOS/CSM.

4.3. Посмотреть загрузочные записи UEFI

Если система UEFI:

efibootmgr -v

Ищите строки:

Astra;
Linux;
GRUB;
VIPNET;
SafeBoot;
InfoTeCS;
Windows Boot Manager, если была рядом;
старые записи на несуществующие файлы.

Пример смысла:

Boot0001* VIPNET SafeBoot
Boot0002* Astra Linux
Boot0003* UEFI: USB

Если запись VIPNET SafeBoot стоит первой, а файлов уже нет, машина может пытаться грузиться именно с неё и зависать.

4.4. Проверить содержимое EFI-раздела

Обычно это раздел типа EFI System Partition, FAT32. Найдите его, например по lsblk -f или blkid. Допустим это /dev/sda1.

Выполните:

mkdir /mnt/efi
mount /dev/sda1 /mnt/efi
ls -la /mnt/efi
ls -la /mnt/efi/EFI
find /mnt/efi/EFI -maxdepth 3

Ищите каталоги:

/EFI/BOOT
/EFI/astra
/EFI/linux
/EFI/grub
/EFI/vipnet
/EFI/safeboot

Если там пусто или нет нужных файлов, загрузчик повреждён/удалён.

4.5. Если диски выглядят как зашифрованные

Если в `lsblk` видно что-то вроде:

crypto_LUKS

или разделы не читаются как обычная файловая система:

не форматируйте;
не перезаписывайте;
если знаете пароль/ключ, можно попробовать открыть через cryptsetup;
если это шифрование именно ViPNet SafeBoot, а не обычный LUKS, восстановление может быть только через аварийный носитель SafeBoot или поддержку.

Для обычного LUKS, если знаете пароль:

cryptsetup luksOpen /dev/sdaX cryptroot
lsblk -f

где /dev/sdaX — зашифрованный раздел. Но если это был SafeBoot-контейнер и нет ключей — без восстановления не обойтись.

Шаг 5. Выбрать сценарий восстановления

Дальше есть три принципиальных пути.

Сценарий A. SafeBoot обязателен, нужна доверенная загрузка и/или данные

Если машина должна оставаться под управлением доверенной загрузки, или диск был зашифрован, правильный путь — восстановление через средства ViPNet SafeBoot.

Что нужно

Один или несколько из пунктов:

1. Аварийный загрузочный носитель ViPNet SafeBoot:

аварийная флешка;
аварийный диск восстановления;
образ, созданный администратором.

Ключ восстановления / аварийный пароль.
Пароль администратора модуля доверенной загрузки.
Дистрибутив именно той версии SafeBoot, которая стояла.
Документация/паспорт на изделие, если оно сертифицировано.
Доступ к серверу/консоли управления, если централизованное управление.

Что делать

Не переустанавливать ОС повторно.
Не затирать разделы.
Загрузиться с аварийного носителя SafeBoot.

4. Выбрать восстановление:

загрузчика;
конфигурации;
ключей;
разделов;
параметров доверенной загрузки.

5. Если есть ошибка про отсутствующие файлы/ключи — без ключа/аварийного носителя, скорее всего, потребуется обращение в поддержку.

Куда обращаться

к администратору безопасности вашей организации;
к сопровождающему ИТ/ИБ;
в техническую поддержку разработчика, если есть договор;
к поставщику/интегратору, который ставил SafeBoot.

В обращении укажите:

версию Astra Linux;
версию ViPNet SafeBoot;
что было до переустановки;
какие разделы форматировались;
какие сообщения появляются;
фото экрана;
был ли включён режим шифрования;
есть ли аварийный носитель.

Сценарий B. SafeBoot больше не нужен, нужно просто загрузить Astra Linux

Если:

вы имеете право убрать доверенную загрузку;
данные не нужны или не зашифрованы;
нужно просто поднять Astra Linux;

тогда можно восстановить обычный загрузчик GRUB.

Но учтите:

Если раньше диск был зашифрован, а сейчас вы его видите как обычные разделы, значит либо шифрования не было, либо ключи/метаданные повреждены/раздел перезаписан. В любом случае сначала убедитесь, что данные читаются.

Вариант B1. Система UEFI, восстановить GRUB

Это подходит, если машина загружается в UEFI-режиме и у вас есть раздел EFI.

1. Определите разделы

Например:

lsblk -f

Допустим:

корневой раздел Astra: /dev/sda2;
EFI-раздел: /dev/sda1;
если есть отдельный /boot, например /dev/sda3, его тоже надо примонтировать.

Проверьте, где корень:

mkdir /mnt/root
mount /dev/sda2 /mnt/root
ls /mnt/root

Вы должны увидеть каталоги вроде:

bin boot dev etc home lib media mnt opt proc root run sbin sys tmp usr var

2. Примонтировать `/boot/efi`

Если EFI-каталог находится здесь:

mount /dev/sda1 /mnt/root/boot/efi

Если в системе `/boot/efi` отсутствует, но есть `/boot`, проверьте:

ls /mnt/root/boot

Если нужно примонтировать отдельный `/boot`:

mount /dev/sda3 /mnt/root/boot

а затем уже:

mount /dev/sda1 /mnt/root/boot/efi

3. Подготовить chroot

for i in dev dev/pts proc sys run; do
  mount --bind /$i /mnt/root/$i
done

chroot /mnt/root /bin/bash

Если у вас другой путь, например /mnt, адаптируйте команды.

4. Переустановить GRUB для UEFI

Внутри chroot:

apt-get update
apt-get install --reinstall grub-efi-amd64 efibootmgr

Если пакет называется иначе, можно искать:

apt-cache search grub-efi

Для Astra/Debian-совместимых систем часто подходит:

grub-install --target=x86_64-efi --efi-directory=/boot/efi --bootloader-id=Astra --recheck

Если ругается, можно попробовать:

grub-install --efi-directory=/boot/efi --bootloader-id=Astra --recheck

Затем:

update-grub

или, если `update-grub` нет:

grub-mkconfig -o /boot/grub/grub.cfg

5. Проверить записи загрузки

efibootmgr -v

Желательно, чтобы была запись типа Astra или Linux, и она стояла первой.

Если нужно изменить порядок, например запись `0002`:

efibootmgr -o 0002,0001,0000

где 0002 — Astra Linux.

Если есть старая мёртвая запись ViPNet, её можно удалить, но только если это разрешено политикой:

efibootmgr -v
efibootmgr -b XXXX -B

где XXXX — номер записи.

6. Выйти и перезагрузиться

exit
umount -R /mnt/root
reboot

Вариант B2. Система Legacy/BIOS, восстановить GRUB в MBR

Если система не UEFI, а обычный Legacy/BIOS, восстановление загрузчика обычно делается так. Допустим корневой раздел — /dev/sda2.

mkdir /mnt/root
mount /dev/sda2 /mnt/root

Если есть отдельный `/boot`, например `/dev/sda3`:

mount /dev/sda3 /mnt/root/boot

Затем:

for i in dev dev/pts proc sys run; do
  mount --bind /$i /mnt/root/$i
done

chroot /mnt/root /bin/bash

Внутри:

apt-get update
apt-get install --reinstall grub-pc
grub-install /dev/sda
update-grub

или:

grub-mkconfig -o /boot/grub/grub.cfg

Важно:

grub-install ставится на диск /dev/sda, а не на раздел /dev/sda1 или /dev/sda2.

Выход:

exit
umount -R /mnt/root
reboot

Сценарий C. Данные не нужны, можно удалить всё и поставить систему заново

Если:

данные не нужны;
шифрование не было включено или данные уже потеряны;
нужно просто получить рабочую машину без SafeBoot;

тогда можно выполнить чистую установку. Но перед этим желательно убедиться, что вы не трогаете другой диск с нужными данными.

Что сделать

Загрузиться с установочного носителя.
На этапе разметки выбрать ручную разметку.
Удалить старые разделы на целевом диске, если данные не нужны.
Создать новую разметку.

5. Для UEFI обязательно создать раздел:

тип EFI System Partition;
файловая система FAT32;
размер 256–512 МБ;
точка монтирования /boot/efi.

6. Для Legacy/BIOS иногда нужен небольшой раздел:

BIOS Boot / BIOS_GRUB;
1–8 МБ;
без файловой системы;
флаг bios_grub.

Если вы не уверены в режиме установки, проще:

UEFI: удалить старые разделы на диске, дать установщику самому создать EFI и root;
Legacy: позволить установщику поставить GRUB в MBR выбранного диска.

Шаг 6. Отдельно про «не могу зайти в BIOS»

Ниже короткая диагностика по симптомам.

6.1. В BIOS не пускает только при подключённом диске

Вероятнее всего:

повреждённая загрузочная запись;
зависание при обращении к диску;
SafeBoot пытается читать удалённые данные и вешает систему.

Решение:

Отключить проблемный диск.
Зайти в BIOS.
Настроить загрузку с USB.
Подключать диск уже после загрузки в Live или временно отключать его во время настройки.

6.2. В BIOS не заходит вообще, даже без диска

Возможные причины:

клавиатура не инициализируется;
Fast Boot/Quick Boot;
неисправна клавиатура/порт;
видеовыход не тот;
сбой CMOS;
пароль;
повреждение firmware.

Что делать:

Сбросить CMOS.
Попробовать другую клавиатуру.
Попробовать PS/2.
Попробовать задние USB 2.0 порты.
Попробовать другой монитор/видеовыход.

6. Отключить всё лишнее:

USB;
диски;
лишние планки памяти;
лишние видеокарты;
док-станции.

Если на плате есть BIOS Flashback/Q-Flash Plus/USB BIOS Recovery — можно попробовать восстановить прошивку по инструкции производителя.
Если ничего не помогает — возможен сбой материнской платы/firmware, нужен сервис.

6.3. Появляется чёрный экран и курсор/мигание

Возможно:

GRUB не может найти конфиг;
повреждён MBR/EFI;
загрузчик указывает на несуществующий раздел;
активна старая запись загрузки.

Решение:

загрузиться с Live USB;
восстановить GRUB;
удалить/поправить загрузочные записи;
или восстановить SafeBoot аварийным диском.

6.4. Появляется сообщение вида `No bootable device`

Это обычно значит:

загрузочный раздел повреждён;
загрузчик не установлен;
в BIOS выбран неправильный диск;
диск отваливается;
SafeBoot удалён, но BIOS пытается грузиться именно с него.

Что делать:

проверить порядок загрузки;
загрузиться с USB;
проверить диски;
восстановить загрузчик или удалить старую запись.

6.5. Появляется `error: unknown filesystem`

Возможные причины:

отформатирован не тот раздел;
повреждена файловая система;
GRUB не видит раздел с /boot;
диск начал сыпаться.

Действия:

не писать на диск;
загрузить Live;
проверить файловые системы;
проверить smartctl -a /dev/sda, если диск доступен.

Шаг 7. Как безопасно удалить старые записи ViPNet SafeBoot

Это нужно только если вы точно решили убрать SafeBoot и это разрешено.

Для UEFI

Сначала посмотреть:

efibootmgr -v

Найти, например:

Boot0003* VIPNET SafeBoot

Удалить:

efibootmgr -b 0003 -B

Проверить порядок:

efibootmgr -v

При необходимости задать порядок:

efibootmgr -o 0001,0002,0000

Для Legacy/MBR

Если SafeBoot сидел в MBR, обычная переустановка загрузчика через grub-install /dev/sda может перезаписать MBR. Но если там были следы/ключи/конфиги, для гарантированного удаления может потребоваться полная очистка начала диска. Делать это можно только если данные не нужны.

Например, затирание первых секторов:

dd if=/dev/zero of=/dev/sda bs=512 count=1

Очень опасно: это портит загрузочную запись на диске. Делать только при понимании и только если диск можно перезаписать. Лучше не делать dd вручную, а просто выполнить чистую переустановку системы с переформатированием диска.

Шаг 8. Что именно могло сломаться после переустановки

Возможные причины:

8.1. Отформатирован раздел с файлами SafeBoot

Если это был служебный раздел, то:

загрузчик может остаться в firmware/MBR;
но конфиг/ключи исчезли;
модуль не может продолжить загрузку;
система виснет или выдаёт ошибку.

Восстановление — только через аварийный носитель или поддержка.

8.2. Отформатирован EFI-раздел

Если был удалён/отформатирован `/boot/efi`:

пропали все загрузчики;
записи в NVRAM могут остаться, но файлы отсутствуют;
нужно либо восстановить EFI-раздел и загрузчик, либо удалить старые записи и поставить GRUB заново.

8.3. Установщик перезаписал MBR

Если был Legacy-режим:

SafeBoot мог управлять MBR;
установщик Astra/Linux поставил свой GRUB;
SafeBoot больше не стартует;
если вы хотели сохранить SafeBoot — нужна переустановка/восстановление SafeBoot.

8.4. Установщик поставил систему не туда

Например:

загрузчик поставлен на один диск;
система грузится с другого;
порядок дисков в BIOS изменился.

Проверка:

в efibootmgr -v смотреть путь к загрузчику;
в BIOS проверять приоритет дисков;
в Live проверять, где реально находятся /boot и EFI.

8.5. Разделы были пересозданы с новыми UUID

Если установщик пересоздал разделы, старый загрузчик может искать старые UUID.

Решение:

восстановить/переустановить GRUB;
выполнить update-grub;
проверить /etc/fstab, если система устанавливалась поверх старых разделов.

Шаг 9. Если нужно сохранить данные, но система не грузится

Если файловая система видна из Live-режима и не зашифрована:

1. Примонтируйте раздел:

mkdir /mnt/data
mount /dev/sda2 /mnt/data
ls /mnt/data

2. Скопируйте нужные файлы на внешний диск.

3. Если каталог пользователя:

ls /mnt/data/home

4. Для копирования лучше использовать файловый менеджер или `rsync`:

rsync -avP /mnt/data/home/username/ /mnt/backup/home/

Если разделы зашифрованы и не открываются:

не форматировать;
искать ключ/аварийный носитель;
обращаться к администратору/поддержке.

Шаг 10. Минимальный практический алгоритм прямо сейчас

Если нужно быстро понять, что делать, выполните по порядку:

1. Выключить машину, обесточить, отключить все диски.

2. Включить без дисков и проверить вход в BIOS.

Если вход есть — проблема в диске/загрузчике.
Если входа нет — проблема с клавиатурой/видео/CMOS/паролем/материнской платой.

Сбросить CMOS, если вход в BIOS нестабилен.
Подключить загрузочную флешку, войти в BIOS, поставить загрузку с USB.
Загрузиться в Live-режим.

6. Выполнить:

sudo -i
lsblk -f
parted -l
blkid

7. Если UEFI:

efibootmgr -v

8. Посмотреть, видны ли разделы и есть ли файлы.

9. Дальше выбрать:

восстановление SafeBoot через аварийный носитель;
восстановление GRUB;
чистая переустановка.

Шаг 11. Что нужно прислать, чтобы я мог дать точные команды

Пришлите, пожалуйста:

Модель компьютера или материнской платы.
Как раньше заходили в BIOS.
Что именно написано на экране.
Есть ли меню входа в BIOS/Boot Menu.

5. Был ли режим:

Legacy/BIOS;
UEFI.

Было ли включено шифрование дисков в SafeBoot.
Есть ли аварийный диск/флешка SafeBoot.
Есть ли ключ восстановления.
Что показывает lsblk -f из Live-режима.

10. Что показывает:

efibootmgr -v

если система UEFI.

11. Содержимое EFI-раздела:

mount /dev/sda1 /mnt/efi
find /mnt/efi -maxdepth 3

Вывод

Скорее всего не «сгорел BIOS», а повреждена/удалена загрузочная часть, связанная с ViPNet SafeBoot, либо в порядке загрузки осталась запись на уже несуществующие файлы. Сначала надо проверить вход в BIOS без подключённого диска и сбросить CMOS. Затем загрузиться с аварийной/установочной флешки и посмотреть, что осталось на диске. Если нужен именно SafeBoot или данные зашифрованы — восстанавливать только через аварийный носитель/поддержку. Если можно убрать SafeBoot — восстанавливать обычный GRUB или выполнять чистую установку.

Информация предоставлена в ознакомительных целях. Применение описанных настроек в системах, должно осуществляться только после согласования с ответственными за информационную безопасность и в соответствии с требованиями ФСТЭК, ФСБ и иных уполномоченных органов.

Статью подготовил: Аверко Денис Сергеевич @Nymexis г. Омск (специалист по ЗИ)

Подробный гайд по восстановлению Astra Linux после отказа ViPNet SafeBoot

Сценарий:

Важно перед любыми действиями

3. Не форматируйте и не перезаписывайте диск дальше, пока не поймёте:

Шаг 1. Проверить, реально ли доступен BIOS/UEFI

1.1. Полностью обесточьте машину

Для настольного ПК:

Для ноутбука:

1.2. Попробуйте правильные клавиши входа

Часто используемые клавиши:

Иногда помогает:

1.3. Смените клавиатуру и порт

Попробуйте:

1.4. Отключите диски и проверьте вход в BIOS

Сделайте так:

3. Физически отключите все диски:

1.5. Сброс CMOS / NVRAM

Для настольного ПК

Вариант 1: перемычка CLR_CMOS / JBAT1 / CLRTC.

Вариант 2: батарейка CR2032.

Для ноутбука

1.6. Если на BIOS есть пароль

Если при попытке входа в BIOS появляется запрос пароля:

1.7. Если нет изображения

Проверьте:

Шаг 2. Если BIOS доступен: временно настроить загрузку с USB

Когда попадёте в BIOS/UEFI, проверьте:

1. Включена ли поддержка клавиатуры на этапе загрузки:

2. Отключите временно:

3. Проверьте режим загрузки:

4. Если есть Secure Boot:

5. Поставьте загрузку с USB-накопителя выше диска.

6. Сохраните настройки: обычно F10.

Шаг 3. Загрузиться с аварийного/установочного носителя

Вам понадобится один из вариантов:

Что попробовать

2. При включении вызвать Boot Menu:

3. Выбрать флешку:

Если флешка не загружается, но BIOS доступен:

Шаг 4. Диагностика после загрузки в Live-режим

4.1. Посмотреть диски и разделы

или подробнее:

Ещё:

Вам нужно понять:

Примерно ищите:

4.2. Проверить, есть ли UEFI или Legacy/BIOS

Выполните:

или:

Если каталог /sys/firmware/efi существует — вы загрузились в UEFI-режиме.

Если его нет — вероятно, режим Legacy/BIOS/CSM.

4.3. Посмотреть загрузочные записи UEFI

Если система UEFI:

Ищите строки:

Пример смысла:

4.4. Проверить содержимое EFI-раздела

Выполните:

Ищите каталоги:

4.5. Если диски выглядят как зашифрованные

Если в lsblk видно что-то вроде:

или разделы не читаются как обычная файловая система:

Для обычного LUKS, если знаете пароль:

Шаг 5. Выбрать сценарий восстановления

Сценарий A. SafeBoot обязателен, нужна доверенная загрузка и/или данные

Что нужно

Один или несколько из пунктов:

1. Аварийный загрузочный носитель ViPNet SafeBoot:

Что делать

4. Выбрать восстановление:

5. Если есть ошибка про отсутствующие файлы/ключи — без ключа/аварийного носителя, скорее всего, потребуется обращение в поддержку.

Куда обращаться

В обращении укажите:

Сценарий B. SafeBoot больше не нужен, нужно просто загрузить Astra Linux

Если:

Но учтите:

Вариант B1. Система UEFI, восстановить GRUB

1. Определите разделы

Например:

Допустим:

Проверьте, где корень:

Вы должны увидеть каталоги вроде:

Вариант 1: перемычка `CLR_CMOS` / `JBAT1` / `CLRTC`.

4. Если есть `Secure Boot`:

6. Сохраните настройки: обычно `F10`.

Если каталог `/sys/firmware/efi` существует — вы загрузились в UEFI-режиме.

Если в `lsblk` видно что-то вроде:

2. Примонтировать `/boot/efi`

Если в системе `/boot/efi` отсутствует, но есть `/boot`, проверьте:

Если нужно примонтировать отдельный `/boot`:

или, если `update-grub` нет:

Если нужно изменить порядок, например запись `0002`:

Если есть отдельный `/boot`, например `/dev/sda3`:

6.4. Появляется сообщение вида `No bootable device`

6.5. Появляется `error: unknown filesystem`

Если был удалён/отформатирован `/boot/efi`: