Издаването на дистрибуцията Red Hat Enterprise Linux 8.1

Компания Red Hat пусна дистрибутив Red Hat Enterprise Linux 8.1. Инсталационните пакети са подготвени за архитектурите x86_64, s390x (IBM System z), ppc64le и Aarch64, но на разположение за да заредят само за регистрирани потребители на Red Hat Customer Portal. Изходните кодове на rpm пакетите на Red Hat Enterprise Linux 8 се разпространяват чрез Git-репозиторий CentOS. Клонът RHEL 8.x ще се поддържа поне до 2029 година.

Red Hat Enterprise Linux 8.1 стана първото издание, подготвено според новия предсказуем цикъл на разработка, който предвижда пускането на версии на всеки шест месеца в предварително определено време. Наличието на точна информация за времето на публикуване на новото издание позволява синхронизиране на графиците на разработка за различни проекти, предварителна подготовка за новото издание и планиране на времето за прилагане на актуализациите.

Отбелязва се, че новият жизнен цикъл продукт на RHEL обхваща няколко слоя, включително Fedora, като платформа за реализиране на нови възможности, CentOS Stream за достъп до пакетите, създавани за следващото междинно издание RHEL (rolling-версия на RHEL),
минималистичен универсален базов образ (UBI, Universal Base Image) за стартиране на приложения в изолирани контейнери и RHEL Developer Subscription за безплатна употреба на RHEL в процеса на разработка.

Ключови промени:

• Осигурена е пълна поддръжка на механизма за прилагане на Live-патчи (kpatch) за отстраняване на уязвимости в ядрото на Linux без рестартиране на системата и без спиране на работата. По-рано kpatch попадаше в категорията експериментални възможности;
• На базата на рамката fapolicyd е реализирана възможността за създаване на бели и черни списъци на приложения, които позволяват да се разграничат кои от програмите могат да се стартират от потребителя, а кои не (например, за блокиране на стартирането на непроверени външни изпълними файлове). Решението за блокиране или разрешаване на стартирането може да бъде взето на базата на името на приложението, пътя, хеша от съдържанието и MIME-типа. Проверката на правилата се извършва по време на извикванията на системните функции open() и exec(), поради което може да има негативно влияние върху производителността;
• Включени са профили SELinux, фокусирани върху използването с изолирани контейнери и позволяващи по-фино управление на достъпа на стартираните в контейнерите услуги до ресурсите на хост-системата. За генериране на правила SELinux за контейнерите е предложен нов инструмент udica, който, отчитайки спецификите на конкретния контейнер, позволява предоставянето на достъп само до необходимите външни ресурси, като хранилища, устройства и мрежа. Инструменти SELinux (libsepol, libselinux, libsemanage, policycoreutils, checkpolicy, mcstrans) са актуализирани до версия 2.9, а пакетът SETools до версия 4.2.2.

  Добавен нов тип SELinux — boltd_t, който ограничава boltd, процеса за управление на устройства с интерфейс Thunderbolt 3 (boltd вече работи в контейнер с ограничен SELinux). Добавен е нов клас правила SELinux — bpf, управляващ достъпа до Berkeley Packet Filter (BPF) и инспектиращ приложения за eBPF;

• Включен е стек от маршрутизиращи протоколи FRRouting (BGP4, MP-BGP, OSPFv2, OSPFv3, RIPv1, RIPv2, RIPng, PIM-SM/MSDP, LDP, IS-IS), който замени предишния пакет Quagga (FRRouting е клон от Quagga, така че съвместимостта не е пострадала);
• За криптирани дялове във формат LUKS2 е добавена поддръжка за прешифроване на блокови устройства в движение, без прекратяване на тяхното използване в системата (например, вече може да промените ключа или алгоритъма за криптиране без демонтиране на дяла);
• В OpenSCAP е добавена поддръжка за новото издание на SCAP 1.3 (Security Content Automation Protocol);
• Обновени са версиите на OpenSSH 8.0p1, Tuned 2.12, chrony 3.5, samba 4.10.4. В репозитория AppStream са добавени модули с нови версии на PHP 7.3, Ruby 2.6, Node.js 12 и nginx 1.16 (обновяването на модулите с предишните версии продължава). В набора Software Collection са добавени пакети с GCC 9, LLVM 8.0.1, Rust 1.37 и Go 1.12.8;
• Инструментариумът за трасировка SystemTap е обновен до версия 4.1, а инструментариумът за отстраняване на грешки с паметта Valgrind до версия 3.15;
• В средствата за разгръщане на сервера за идентификация (IdM, Identity Management) е добавен нов инструмент healthcheck, улесняващ откриването на проблеми с работата на средите със сървъра за идентификация. Облекчена е инсталацията и настройката на IdM-средите, благодарение на поддръжката на роли Ansible и възможността за инсталиране на модули. Добавена е поддръжка на доверени гори (Active Directory Trusted Forest) на базата на Windows Server 2019.
• В класическия сеанс GNOME (GNOME Classic) е променен превключвателят за виртуални работни плоскости. Иконката за превключване между работни плоскости вече се намира в дясната част на долната лента и е оформена като лента с миниатюри на работни плоскости (за превключване на друга работна плоскост е достатъчно да кликнете на миниатюрата, отразяваща нейното съдържание);
• Подсистемата DRM (Direct Rendering Manager) и нискоуровневите графични драйвери (amdgpu, nouveau, i915, mgag200) са обновени до състояние, съответстващо на ядрото на Linux 5.1. Добавена е поддръжка на видеоподсистемите AMD Raven 2, AMD Picasso, AMD Vega, Intel Amber Lake-Y и Intel Comet Lake-U;
• Инструменти за актуализиране на RHEL 7.6 до RHEL 8.1 вече предлагат поддръжка за обновление без преинсталиране за архитектури ARM64, IBM POWER (little endian) и IBM Z. В уеб консолата е добавен режим за предварителна проверка на системата преди актуализиране. Плъгинът cockpit-leapp е добавен за възстановяване на състоянието в случай на проблеми по време на актуализацията. Осигурено е разделяне на каталогите /var и /usr в отделни дялове. Добавена е поддръжка за UEFI. В Leapp осигурява актуализиране на пакети от хранилището Supplementary (включва проприетарни пакети);
• В Image Builder е добавена поддръжка за изграждане на образи за облачни среди Google Cloud и Alibaba Cloud. При формирането на образите е добавена възможност за използване на repo.git за включване на допълнителни файлове от произволни Git хранилища;
• В Glibc за malloc са добавени допълнителни проверки за откриване на ситуации на повреждане на заделени блокове памет;
• Пакетът dnf-utils е преименуван на yum-utils за осигуряване на съвместимост (възможността за инсталиране на dnf-utils остава, но този пакет автоматично ще бъде заменен с yum-utils);
• Добавена е нова редакция на Red Hat Enterprise Linux System Roles, предоставяща набор от модули и роли за внедряване на система за централизирано управление на конфигурацията на базата на Ansible и настройка на подсистеми за активиране на специфични функции, свързани със хранилищата, мрежовите възможности, синхронизацията на времето, правилата на SElinux и прилагането на механизма kdump. Например, новата роля
  storage позволява извършването на задачи като управление на ФС на диска, работа с LVM групи и логически дялове;
• В мрежовия стек за VXLAN и тунели GENEVE е реализирана възможност за обработка на ICMP пакети ‘Destination Unreachable’, ‘Packet Too Big’ и ‘Redirect Message’, което решава проблема с невъзможността за използване на пренасочвания на маршрути и Path MTU Discovery в VXLAN и GENEVE.
• Експерименталната реализация на подсистемата XDP (eXpress Data Path) позволява в Linux да се стартират BPF програми на нивото на мрежовия драйвер с възможност за директен достъп до DMA буфера на пакетите и на етапа преди заделянето на буфера skbuff от мрежовия стек, както и компонентите eBPF, синхронизирани с ядрото Linux 5.0. Добавена е експериментална поддръжка на подсистемата на ядрото AF_XDP (eXpress Data Path);
• Осигурена е пълна поддръжка на мрежовия протокол TIPC (Прозрачна межпроцесна комуникация), предназначен за организация на межпроцесно взаимодействие в кластера. Протоколът предоставя средства за бърза и надеждна комуникация между приложенията, независимо от узлите, на които са изпълнени в кластера;
• В initramfs е добавен нов режим за запазване на дъмп на ядрото при срив — "ранен kdump", работещ на ранните етапи на зареждане;
• Добавен е нов параметър на ядрото ipcmni_extend, който разширява лимита на идентификаторите IPC от 32 KB (15 бит) на 16 MB (24 бита), позволявайки на приложенията да ползват повече сегменти от споделена памет;
• Ipset е актуализиран до версия 7.1 с поддръжка на операциите IPSET_CMD_GET_BYNAME и IPSET_CMD_GET_BYINDEX;
• Демонът rngd, изпълняващ запълване на пуловете с ентропия на генератора на псевдослучайни числа, вече не изисква стартиране с права на root;
• Осигурена е пълна поддръжка на Intel OPA (Omni-Path Architecture) за оборудване с Host Fabric Interface (HFI) и пълна поддръжка на устройства с постоянна памет Intel Optane DC Persistent Memory.
• В отладъчните ядра по подразбиране е включена компилация с детектор на неопределено поведение UBSAN (Undefined Behavior Sanitizer), добавяща допълнителни проверки в скомпилирания код, за да открие ситуации, при които поведението на програмата става неопределено (например, използване на нестатични променливи преди инициализация, деление на цели числа на нула, препълване на знакови цели типове, разименяване на NULL указатели, проблеми с подравняването и т.н.);
• Дървото на изходния код на ядрото с разширения за работа в режим на реално време (kernel-rt) е синхронизирано с кода на основното ядро RHEL 8;
• Добавен е драйвер ibmvnic за мрежов контролер vNIC (Virtual Network Interface Controller) с реализация на технологията за виртуални мрежи PowerVM. При използване съвместно с SR-IOV NIC новият драйвер позволява управление на пропускната способност и качеството на услугата на ниво виртуален мрежов адаптер, значително намалявайки накладните разходи от виртуализацията и намалявайки натоварването на CPU;
• Добавена е поддръжка на разширения за контрол на целостта на данните (Data Integrity Extensions), които позволяват защита на данните от повреди при запис в хранилището чрез запазване на допълнителни коригиращи блокове;
• Добавена е експериментална поддръжка (Technology Preview) на пакета nmstate, предоставяща библиотека и утилита nmstatectl за управление на мрежовите настройки чрез декларативен API (състоянието на мрежата се описва под формата на предварително определена схема);
• Добавена експериментална поддръжка за реализация на протокола TLS на ниво ядрo (KTLS) с шифроване на база AES-GCM, както и експериментална поддръжка на OverlayFS, cgroup v2, Stratis, mdev (Intel vGPU) и DAX (директен достъп до файловата система, заобикаляйки страничния кеш без прилагане на ниво блокови устройства) в ext4 и XFS;
• Обявена е остаряла поддръжка на DSA, TLS 1.0 и TLS 1.1, които са изключени от набора DEFAULT и преместени в LEGACY («update-crypto-policies —set LEGACY»);
• Обявени са остарели пакетите 389-ds-base-legacy-tools,
  authd,
  custodia,
  hostname,
  libidn,
  net-tools,
  network-scripts,
  nss-pam-ldapd,
  sendmail,
  yp-tools,
  ypbind и ypserv. В бъдещи значими издания доставката им може да бъде прекратена;
• Скриптовете ifup и ifdown са заменени с обвивки, които извикват NetworkManager чрез nmcli (за връщане на старите скриптове е необходимо да се изпълни «yum install network-scripts»).

Източник: opennet.ru