Издание на дистрибутива Red Hat Enterprise Linux 8.1

Компания Red Hat пусна дистрибуцията Red Hat Enterprise Linux 8.1. Инсталационните пакети са подготвени за архитектури x86_64, s390x (IBM System z), ppc64le и Aarch64, но са налични за изтегляне само за регистрирани потребители на Red Hat Customer Portal. Изходните кодове на rpm пакетите на Red Hat Enterprise Linux 8 се разпространяват чрез Git-репозиторий CentOS. Клонът RHEL 8.x ще се поддържа поне до 2029 година.

Red Hat Enterprise Linux 8.1 стана първият издаден продукт, подготвен в съответствие с новия предсказуем цикъл на разработка, който предвижда издаване на версии на всеки шест месеца в предварително определено време. Наличието на точна информация за времето на публикуване на новата версия позволява синхронизиране на графиците на разработка на различни проекти, предварителна подготовка за новия релийз и планиране на времето за прилагане на актуализации.

Отбелязва се, че новият животен цикъл продукт RHEL обхваща няколко нива, включително Fedora като стартова платформа за внедряване на нови възможности, CentOS Stream за достъп до пакети, създавани за следващия междинен релийз на RHEL (rolling-версия на RHEL),
минималистичен универсален базов образ (UBI, Universal Base Image) за стартиране на приложения в изолирани контейнери и RHEL Developer Subscription за безплатно ползване на RHEL в процеса на разработка.

Ключови промени:

• Осигурена е пълна поддръжка на механизма за прилагане на Live патчи (kpatch) за отстраняване на уязвимости в ядрото на Linux без рестартиране на системата и без спиране на работата. По-рано kpatch попадаше в категорията на експерименталните възможности;
• На база на фреймворка fapolicyd е реализирана възможност за създаване на бели и черни списъци на приложения, които позволяват да се ограничат кои програми могат да се стартират от потребителя, а кои не (например, за блокиране на стартиране на непроверени външни изпълними файлове). Решението за блокиране или разрешаване на стартиране може да бъде взето на базата на името на приложението, пътя, хеша на съдържанието и MIME-типа. Проверка на правилата се извършва по време на извиквания на системните функции open() и exec(), поради което може да оказва негативно влияние на производителността;
• В състава са включени профили на SELinux, фокусирани върху използването с изолирани контейнери и позволяващи по-фино управление на достъпа на стартираните в контейнерите услуги до ресурсите на хост-системата. За генериране на правила SELinux за контейнери е предложен нов инструмент udica, който, предвид спецификата на конкретния контейнер, позволява достъп само до необходимите външни ресурси, като хранилища, устройства и мрежа. Инструментите SELinux (libsepol, libselinux, libsemanage, policycoreutils, checkpolicy, mcstrans) са обновени до версия 2.9, а пакетът SETools до версия 4.2.2.

  Добавен е нов тип SELinux — boltd_t, който ограничава boltd, процеса за управление на устройства с интерфейс Thunderbolt 3 (boltd вече се стартира в контейнер, ограничен от SELinux). Добавен е нов клас правила SELinux — bpf, който управлява достъпа до Berkeley Packet Filter (BPF) и инспектира приложения за eBPF;

• Комплектът включва стек от протоколи за маршрутизиране FRRouting (BGP4, MP-BGP, OSPFv2, OSPFv3, RIPv1, RIPv2, RIPng, PIM-SM/MSDP, LDP, IS-IS), който замени предишния пакет Quagga (FRRouting е клон на Quagga, затова съвместимостта е запазена);
• За криптираните дялове във формат LUKS2 е добавена поддръжка за повторно криптиране на блокови устройства на лето, без прекратяване на тяхната употреба в системата (например, сега е възможно да смените ключа или алгоритъма за криптиране без демонтиране на дяла);
• В рамките на OpenSCAP е добавена поддръжка за новата версия на протокола SCAP 1.3 (Security Content Automation Protocol);
• Обновени са версиите на OpenSSH 8.0p1, Tuned 2.12, chrony 3.5, samba 4.10.4. В репозитория AppStream са добавени модули с нови версии на PHP 7.3, Ruby 2.6, Node.js 12 и nginx 1.16 (обновяването на модулите с предишни версии продължава). В набора Software Collection са добавени пакети с GCC 9, LLVM 8.0.1, Rust 1.37 и Go 1.12.8;
• Инструментариумът за трасировка SystemTap е обновен до версия 4.1, а инструментарият за отстраняване на проблеми с паметта Valgrind до версия 3.15;
• В средствата за инсталиране на сървър за идентификация (IdM, Identity Management) е добавен нов инструмент healthcheck, който улеснява откриването на проблеми с работата на средите със сървъра за идентификация. Също така е опростена инсталацията и конфигурацията на IdM-средите, благодарение на поддръжката на роли Ansible и възможността за инсталиране на модули. Добавена е поддръжка за доверени гори (Active Directory Trusted Forest) на база Windows Server 2019.
• В класическия сесия GNOME (GNOME Classic) е променен превключвателят на виртуалните работни стълбове. Уиджетът за превключване между работните стълбове сега се намира в дясната част на долната лента и е оформен като лента с миниатюри на работните стълбове (за да превключите на друг работен стълб, достатъчно е да кликнете на миниатюрата, която отразява съдържанието му);
• Подсистемата DRM (Direct Rendering Manager) и нискоуровневите графични драйвери (amdgpu, nouveau, i915, mgag200) са обновени до версия, съответстваща на ядрото на Linux 5.1. Добавена е поддръжка за видеоподсистемите AMD Raven 2, AMD Picasso, AMD Vega, Intel Amber Lake-Y и Intel Comet Lake-U;
• В инструментария за актуализиране на RHEL 7.6 до RHEL 8.1 е добавена поддръжка за актуализация без преинсталиране за архитектури ARM64, IBM POWER (little endian) и IBM Z. В уеб конзолата е добавен режим за предварителна проверка на системата преди актуализиране. Добавен е плъгин cockpit-leapp за възстановяване на състоянието в случай на проблеми по време на актуализацията. Осигурено е разделение на директориите /var и /usr в отделни раздели. Добавена е поддръжка за UEFI. В Leapp осигурено е актуализиране на пакетите от репозитория Supplementary (включва проприетарни пакети);
• В Image Builder е добавена поддръжка за изграждане на образи за облачни среди Google Cloud и Alibaba Cloud. При формирането на съдържанието на образите е добавена възможността за използване на repo.git за включване на допълнителни файлове от произволни Git репозитории;
• В Glibc за malloc са добавени допълнителни проверки за откриване на ситуации на повреждане на назначените блокове памет;
• Пакетът dnf-utils е преименуван на yum-utils за осигуряване на съвместимост (възможността за инсталиране на dnf-utils остава, но този пакет автоматично ще бъде заменен с yum-utils);
• Добавена е нова редакция на Red Hat Enterprise Linux System Roles, предоставяща набор от модули и роли за разгръщане на система за централизирано управление на конфигурацията на база Ansible и настройка на подсистеми за активиране на специфични функции, свързани с хранилища, мрежови възможности, синхронизация на времето, правила SElinux и прилагане на механизма kdump. Например, новата роля
  storage позволява изпълнението на задачи като управление на файловите системи на диска, работа с LVM групи и логически дялове;
• В мрежовия стек за VXLAN и тунели GENEVE е реализирана възможност за обработка на ICMP пакети „Destination Unreachable“, „Packet Too Big“ и „Redirect Message“, което решава проблема с невъзможността за използване на маршрутизиране и Path MTU Discovery в VXLAN и GENEVE.
• Експериментална реализация на подсистемата XDP (eXpress Data Path), позволяваща в Linux да се стартират BPF програми на ниво мрежов драйвер с директен достъп до DMA буфера на пакетите и на стадия преди назначаването на буфера skbuff от мрежовия стек, а също така компонентите eBPF са синхронизирани с ядрото Linux 5.0. Добавена е експериментална поддръжка на подсистемата AF_XDP (eXpress Data Path);
• Оосигурена е пълна поддръжка на мрежовия протокол TIPC (Прозрачна междупроцесна комуникация), предназначена за организиране на междупроцесна взаимодейственост в клъстера. Протоколът предоставя средства за бърза и надеждна комуникация между приложенията, независимо от това на кои възли в клъстера те работят;
• В initramfs е добавен нов режим за запазване на ядрен дъмп в случай на срив — „early kdump“, работещ на ранните етапи на зареждане;
• Добавен е нов параметър на ядрото ipcmni_extend, който разширява лимита на идентификаторите на IPC от 32 KB (15 бита) до 16 MB (24 бита), позволявайки на приложенията да използват повече сегменти на споделена памет;
• Ipset е актуализиран до версия 7.1 с поддръжка на операции IPSET_CMD_GET_BYNAME и IPSET_CMD_GET_BYINDEX;
• Демонът rngd, който отговаря за попълването на пул от ентропия за генератора на псевдослучайни числа, вече не е необходимо да се стартира с права на root;
• Осигурена е пълна поддръжка на Intel OPA (Архитектура Omni-Path) за оборудване с Host Fabric Interface (HFI) и пълна поддръжка на устройства за постоянна памет Intel Optane DC Persistent Memory.
• В отладъчните ядра по подразбиране е включена компилация с детектор на неопределено поведение UBSAN (Undefined Behavior Sanitizer), който добавя допълнителни проверки в скомпилирания код за идентифициране на ситуации, когато поведението на програмата става неопределено (например, използване на нестатични променливи преди инициализация, деление на цели числа на нула, препълване на знакови типове, разыменуване на указатели NULL, проблеми с подравняването на указатели и т.н.);
• Дървото на изходния код на ядрото с разширения за работа в режим на реално време (kernel-rt) е синхронизирано с кода на основното ядро RHEL 8;
• Добавен е драйвер ibmvnic за мрежовия контролер vNIC (Virtual Network Interface Controller) с реализация на технологията за виртуални мрежи PowerVM. При приложение в комбинация със SR-IOV NIC новият драйвер позволява управление на пропускната способност и качеството на обслужване на ниво виртуален мрежов адаптер, значително намалявайки разходите в резултат на виртуализацията и намалявайки натоварването на CPU;
• Добавена е поддръжка на разширения за контрол на целостта на данните (Data Integrity Extensions), които осигуряват защита на данните от повреди при запис в хранилище чрез запазване на допълнителни коригиращи блокове;
• Добавена е експериментална поддръжка (Technology Preview) на пакета nmstate, предоставяща библиотека и инструмент nmstatectl за управление на мрежовите настройки чрез декларативен API (състоянието на мрежата се описва под формата на предварително определена схема);
• Добавена е експериментална поддръжка за реализиране на протокола TLS на ниво ядро (KTLS) с криптиране на базата на AES-GCM, както и експериментална поддръжка на OverlayFS, cgroup v2, Stratis, mdev (Intel vGPU) и DAX (достъп до файловата система без страничен кеш без използване на ниво блокови устройства) в ext4 и XFS;
• Обявена е за остаряла поддръжката на DSA, TLS 1.0 и TLS 1.1, които са изключени от наборa DEFAULT и прехвърлени в LEGACY („update-crypto-policies —set LEGACY“);
• Обявени за остарели пакетите 389-ds-base-legacy-tools,
  authd,
  custodia,
  hostname,
  libidn,
  net-tools,
  network-scripts,
  nss-pam-ldapd,
  sendmail,
  yp-tools,
  ypbind и ypserv. В бъдещи значителни версии доставката им може да бъде прекратена;
• Скриптовете ifup и ifdown са заменени с обвивки, които извикват NetworkManager през nmcli (за да се върнат старите скриптове, трябва да се изпълни „yum install network-scripts“).

Източник: opennet.ru