Izlazak distribucije Red Hat Enterprise Linux 9.4

Tvrtka Red Hat objavila je izdanje distribucije Red Hat Enterprise Linux 9.4. Pripremljene instalacijske slike dostupne su za registrirane korisnike Red Hat Customer Portala (za procjenu funkcionalnosti također se mogu koristiti iso-slike CentOS Stream 9 i besplatne verzije RHEL za programere). Izdanje je oblikovano za arhitekture x86_64, s390x (IBM System z), ppc64le i Aarch64 (ARM64).

Grana RHEL 9 razvija se s otvorenijim razvojnim procesom i koristi kao osnovu paketnu bazu CentOS Stream 9. CentOS Stream se pozicionira kao upstream projekt za RHEL, pružajući priliku vanjskim sudionicima da kontroliraju pripremu paketa za RHEL, predlažu svoje promjene i utječu na donošenje odluka. U skladu s 10-godišnjim ciklom podrške, RHEL 9 će se održavati do 2032. godine.

Izvorni kodovi rpm paketa RHEL 9.4 nisu dostupni u javnom repozitoriju git.centos.org i pružaju se klijentima tvrtke samo preko zatvorenog dijela web stranice, na kojem vrijedi korisnički ugovor (EULA) koji zabranjuje redistribuciju podataka, što ne dopušta korištenje tih paketa za stvaranje derivatnih distribucija. Izvorni kodovi ostaju dostupni u repozitoriju CentOS Stream, ali nisu u potpunosti sinkronizirani s RHEL-om i ne sadrže uvijek najnovije verzije paketa koje se podudaraju s paketima iz RHEL-a. Rocky Linux, Oracle i SUSE reproduciraju izvorne kodove rpm paketa izdanja RHEL u okviru projekta OpenELA.

Ključne promjene u RHEL 9.4:

• Osigurana je potpuna podrška za tehnologiju stvaranja izoliranih enklava Intel SGX (Software Guard Extensions). Podržane su verzije SGX 1 i 2, koje omogućuju korištenje mehanizama FLC (Flexible Launch Control) i EDMM (Enclave Dynamic Memory Management) za promjenu prava pristupa određenim stranicama memorije enklave, dinamičko dodavanje/uklanjanje stranica memorije u enklavu i proširenje enklave.
• U stabilne verzije prebačen je drajver IDXD (Data Streaming Accelerator) za korištenje akceleratora prijenosa podataka ugrađenih u Intel CPU. Ranije su SGX i IDXD bili klasificirani kao eksperimentalne funkcije (Technology Preview).
• Implementacija podsustava eBPF usklađena je s jezgrom Linux 6.6 (u prethodnom izdanju korištena je implementacija eBPF iz jezgre Linux 6.3).
• U bootloader GRUB i sloj shim dodana je mogućnost primjene mehanizama zaštite memorije DEP (Data Execution Prevention), NX (No Execute) i XD (Execute Disable) za zabranu izvršavanja instrukcija u određenim područjima memorije prije početka pokretanja sustava.
• Uključene su nove verzije kompajlera i alata za programere: GCC Toolset 13, LLVM Toolset 17.0.6, Rust Toolset 1.75.1 i Go Toolset 1.21.7.
• Dodani su pojedinačni paketi (Application Streams) s novim verzijama Python 3.12, Ruby 3.3, PHP 8.2, nginx 1.24, MariaDB 10.11, PostgreSQL 16.
• Ažurirane su verzije Git 2.43.0, Git LFS 3.4.1, Valgrind 3.22, SystemTap 5.0, elfutils 0.190, cmake 3.26. Dodani su novi paketi maven-openjdk21 i libzip-tools.
• Ažurirani su paketi povezani s sigurnošću: GnuTLS 3.8.3, nettle 3.9.1, p11-kit 0.25.3, libkcapi 1.4.0, stunnel 5.71, audit 3.1.2, SSG (SCAP Security Guide) 0.1.72, openCryptoki 3.22.0, ipa 4.11.
• Ažurirani su poslužiteljski i sustavni paketi: chrony 4.5, linuxptp 4.2, Rsyslog 8.2310, iptables 1.8.10, nftables 1.0.9, firewalld 1.3, stratis-cli 3.6.0, boom 1.6.0, 389-ds-base 2.4.5, samba 4.19.4, Podman 4.9.
• Alat za rad u korisničkom prostoru SELinuxa (libsepol, libselinux, libsemanage, policycoreutils, checkpolicy, mcstrans) ažuriran je na verziju 3.6, koja u jezik CIL (Common Intermediate Language) dodaje podršku za pravila „deny“ i ključne riječi „notself“ i „other“. Dodana je izvršna datoteka getpolicyload koja prikazuje broj ponovnih učitavanja pravila SELinuxa. Pod zaštitu SELinuxa prebačeni su servisi nvme-stas, rust-afterburn, rust-coreos-installer i bootc, koji su ranije radili u režimu unconfined_service_t. Dodana su SELinux pravila za SAP HANA. Dodana je nova usluga chronyd-restricted, zaštićena putem SELinuxa. Dodan je paket grafana-selinux za pokretanje grafana s zaštitom SELinux.
• Registrar i verifikator Keylime, korišteni za potvrdu autentičnosti i kontinuirano praćenje integriteta vanjskih sustava, sada se mogu pokrenuti unutar kontejnera, izoliranih od glavnog sustava.
• U sustavu logiranja Rsyslog omogućena je promjena postavki enkripcije za TLS/SSL i dodane su dodatne opcije za resetiranje privilegija.
• U OpenSSL-u omogućeno je smještanje datoteka s postavkama TLS-u u poseban direktorij /etc/pki/tls/openssl.d, što omogućava predefiniranje parametara dodatnih kriptografskih modula bez promjene glavne datoteke konfiguracije OpenSSL.
• U SSSD-u (System Security Services Daemon) omogućeno je uključivanje i postavljanje autentifikacije bez lozinke, koristeći senzore biometrijskih podataka koji podržavaju specifikaciju FIDO2, poput uređaja YubiKey.
• Dodana je eksperimentalna komanda „podman build farm“ za izradu kontejnerskih slika odjednom za više arhitektura. U Podmanu je dodana potpuna podrška za SQLite backend i omogućena je upotreba modula containers.conf za selektivno učitavanje postavki. U Containerfile-u su dopuštene višeredne upute HereDoc. Mrežni sloj CNI (Container Network Interface) proglašen je zastarjelim. Komandom „podman machine“ omogućeno je proslijediti USB uređaje u virtualne strojeve QEMU.
• U IdM (Upravljanje identitetama) omogućena je obaveza korišćenja dvofaktorske autentifikacije za LDAP klijente, koristeći jednokratne lozinke (OTP). Stabilizovan je API IdM koji je ranije bio predstavljen kao eksperimentalni. U 389 Directory Server dodata je podrška za HAProxy protokol, što omogućava ispravno određivanje IP adresa klijenata koji se povezuju putem proxy-ja.
• U skupnom alatu slika RHEL omogućena je specifikacija proizvoljnih točaka montaže i izrada različitih načina particioniranja (auto-lvm, lvm, raw).
• Do verzije 1.0.0 ažurirana je implementacija protokola synce4l, koja pruža podršku tehnologiji sinhronizacije frekvencije SyncE (Sinhroni Ethernet), podržanoj u nekim mrežnim karticama i mrežnim prekidačima, i omogućava povećanje efikasnosti razmene podataka u aplikacijama RAN (Mreža radio pristupa) zbog preciznije sinhronizacije vremena. Dodata je podrška za interfejs DPLL (Digital Phase Locked Loop) koji pruža jezgro.
• U podsistem nftables prenesena je mogućnost provere polja unutrašnjih zaglavlja paketa koji se prenose kroz tunel. U alat nft dodana je mogućnost korišćenja komande „nft reset“ za resetovanje stanja pravila nftables, kao što su brojači paketa i vrednosti kvota. U firewalld prestalo je uklanjanje pravila dodatih putem iptables, ako se u firewalld koristi backend nftables i ne postoje pravila kreirana s opcijom „—direct“.
• U alatu ss, koji dolazi s paketom iproute2, dodana je opcija '--bound-inactive' za prikaz neaktivnih TCP mrežnih soketa koji su vezani uz IP-adresu i mrežnom portu (pozvan je bind), ali nisu povezani (pozvan je connect) ili nisu prevedeni u stanje iščekivanja veze (pozvan je listen).
• U NetworkManageru dodana je mogućnost promene broja kanala (redovi paketa vezani za rukovodioce prekida) za mrežne interfejse i podešavanje SwitchDev režima, koji omogućava delegiranje operacija preusmeravanja okvira i obrade mrežnih paketa specijalizovanim hardverskim čipovima. Dodata je podrška za mrežne interfejse MACsec. Za bežične veze omogućena je dodela posebne stalne MAC adrese (režim stable-ssid).
• U Nmstate omogućeno je kreiranje YAML datoteke za vraćanje na prethodno stanje podešavanja. Za upravljanje prioritetima u agregiranim mrežnim interfejsima (bond) dodana je osobina priority. Dodani su dodatni atributi za VLAN: registration-protocol, mvrp, reorder-headers i loose-binding. Omogućena je konfiguracija VLAN oznaka na mrežnim uređajima koji podržavaju SR-IOV (Single Root I/O Virtualization).
• Vraćen je modul jezgre s implementacijom TCP Illinois algoritma za kontrolu preopterećenja, koji u prosjeku omogućava veći protok i pravedniju raspodjelu resursa.
• Proširene su mogućnosti alata rteval, rtla i cyclicdeadline. U rteval dodana je opcija korištenja oznaka «+» i «-» za pridruživanje i odvajanje CPU jezgri iz popisa praćenih jezgri (measurement-cpulist). Alat rtla ažuriran je na verziju koja odgovara Linux kernelu 6.6. Dodana je opcija «rtla -C» za pridruživanje dodatnim cgroupovima. U alat cyclicdeadline dodana je mogućnost vizualizacije kašnjenja u obliku histogram.
• Dodana je mogućnost postavljanja maksimalne veličine datotečnog sustava prilikom dinamičkog povećanja veličine datotečnog sustava uslugom stratisd, što omogućava izbjegavanje smanjenja performansi nakon nekontroliranog povećanja veličine XFS.
• U alat lvconvert dodana je podrška za pretvaranje standardnih logičkih volumena (LV) u varijantu koja dozvoljava dinamičko dodjeljivanje prostora za pohranu (thin provisioning).
• U multipathd dodana je podrška za obradu FPIN-Li (Fabric Performance Impact Notification) događaja radi optimizacije pristupa NVMe pohranjivačima. U odjeljak s unaprijed definiranim postavkama u multipath.conf dodane su opcije max_retries i auto_resize. Za Device-mapper-multipath dodane su postavke za korištenje HPE Alletra 9000 NVMeFC skupa i podršku za ANA (Asymmetric Namespace Access) način rada u NVMeoFC.
• Prevedena je mogućnost pokretanja s NVMe/FC (Non-volatile Memory Express (NVMe) preko Fibre Channel) adaptera u stabilnu verziju.
• U web konzoli pojednostavljeno je upravljanje pohranama i promjena veličine particija. Dodana je podrška za generiranje shell skripti i Ansible scenarija za konfiguraciju kdump. U odjeljku Virtual Machines implementirana je mogućnost dodavanja otvorenih SSH ključeva i povezivanja s već formatiranim blokovima uređaja. Za povezivanje s virtualnim strojevima umjesto SPICE protokola korišten je VNC.
• Dodane su nove sistemske uloge za pokretanje, upravljanje i konfiguraciju fapolicyd i Microsoft SQL Server 2022. Dodana je uloga snapshot za kreiranje i upravljanje LVM snapshotima. U ulogu sshd dodana je mogućnost autentifikacije putem certifikata.
• Stabilizirana je podrška za virtualizaciju na ARM64 sustavima s korištenjem KVM hipervizora.
• Dodana je podrška za migraciju virtualnih strojeva u Multi-FD (multiple file descriptors) režimu, gdje se tijekom premještanja virtualnog stroja postavlja nekoliko paralelnih veza, što omogućava ubrzanje prijenosa podataka u prisutnosti visok brze mrežne veze (20 Gbps i više).
• Povećana je učinkovitost live-migracije u Postcopy režimu, pri čemu se virtualno okruženje pokreće skoro odmah, dok se svi nedostajući podaci učitavaju kada se pozivaju neiskopirane stranice memorije.
• Dodana je alatka toolbx koja omogućava pokretanje dodatnog izoliranog okruženja, koje može biti uređeno na proizvoljan način pomoću običnog paketnog menadžera DNF i koristi se za instalaciju eksperimentalnih paketa bez utjecaja na glavnu sistem.
• Dodana je podrška za opcije komandne linije Linux jezgra: accept_memory, ia32_emulation, arm64.nomops, cgroup_favordynmods, early_page_ext, fw_devlink.sync_state, kunit.enable, mtrr=debug, rcupdate.rcu_cpu_stall_cputime, rcupdate.rcu_exp_stall_task_details, spec_rstack_overflow i workqueue.unbound_cpus.
• Dodane su nove sysctl opcije: io_uring_group i numa_balancing_promote_rate_limit_MBps.
• Korištenje io_uring mehanizma je po defaultu onemogućeno za sve procese (sysctl io_uring_disabled=2).
• Proširena je podrška za hardver. Dodani su drajveri za podršku tehnologijama Intel QuickAssist Technology, Intel TPMI, Intel Uncore Frequency, AMD HSMP, AMD XCP, AMD Platform Management i Mellanox PMC. Dodan je drajver octeon_ep za kontrolere Marvell Octeon PCIe Endpoint Network Interface Controller.
• Nastavljena je pružanje eksperimentalne (Technology Preview) podrške:
  • VPN WireGuard,
  • kTLS (TLS na razini jezgre),
  • interfejsa asinkronog ulaza/izlaza io_uring,
  • DAX (Direct Access) za ext4 i XFS,
  • AMD SEV i SEV-ES u hipervizoru KVM,
  • servisa systemd-resolved,
  • mehanizma Sigstore za verifikaciju kontejnera putem digitalnih potpisa,
  • protokola PRP (Parallel Redundancy Protocol) i HSR (High-availability Seamless Redundancy),
  • hardverskog ubrzanja IPsec kroz prebacivanje operacija enkapsulacije paketa na stranu mrežne kartice,
  • protokola za upravljanje sertifikatima ACME, koji se primenjuje u Let’s Encrypt,
  • SRv6 (Segment Routing over IPv6,
  • paketa s grafičkim editorom GIMP 2.99.8,
  • postavki MPTCP (Multipath TCP) putem NetworkManager,
  • DNSSEC u IdM,
  • virtio-mem,
  • Socket API za TuneD,
  • Soft-iWARP (Internet Wide-area RDMA Protocol),
  • GNOME za ARM64 i IBM Z.

Izvor: opennet.ru