Lidhja e shpërndarjes Red Hat Enterprise Linux 9.4

Kompania Red Hat publikoi versionin e distribucionit Red Hat Enterprise Linux 9.4. Imazhet e gatshme të instalimit janë të disponueshme për përdoruesit e regjistruar në Red Hat Customer Portal (për të vlerësuar funksionalitetin gjithashtu mund të përdoren imazhet iso të CentOS Stream 9 dhe ndërtimet falas të RHEL për zhvilluesit). Ky lëshim është formuar për arkitekturën x86_64, s390x (IBM System z), ppc64le dhe Aarch64 (ARM64).

Dega RHEL 9 po zhvillohet me një proces më të hapur zhvillimi dhe përdor si bazë paketat e CentOS Stream 9. CentOS Stream pozicionohet si një projekt upstream për RHEL, duke u dhënë mundësinë pjesëmarrësve të tretë të kontrollojnë përgatitjen e pakove për RHEL, të propozojnë ndryshime të tyre dhe të ndikojnë në vendimet e marra. Në përputhje me ciklin 10-vjeçar të mbështetjes së distribucionit, RHEL 9 do të mbahet deri në vitin 2032.

Kodi burimor i paketave rpm të RHEL 9.4 nuk është vendosur në repozitorin publik git.centos.org dhe ofrohet klientëve të kompanisë vetëm nëpërmjet një seksioni të mbyllur të sajtit, ku vepron një marrëveshje përdorimi (EULA) që ndalon ripërhapjen e të dhënave, çka nuk lejon përdorimin e këtyre paketeve për krijimin e distribucioneve të derivuara. Kodi burimor mbetet i disponueshëm në repozitorin CentOS Stream, por ai nuk është shkëncuer plotësisht me RHEL dhe nuk përmban gjithmonë versionet më të fundit të paketave që përkojnë me ato nga RHEL. Rocky Linux, Oracle dhe SUSE reprodukojnë kodin burimor të paketave rpm të lëshimeve RHEL në kuadër të projektit OpenELA.

Ndryshimet kryesore në RHEL 9.4:

• Është siguruar mbështetje e plotë për teknologjinë e krijimit të enklavave të izoluara Intel SGX (Software Guard Extensions). Përkrahjen versionet SGX 1 dhe 2, të cilat lejojnë përdorimin e mekanizmave FLC (Flexible Launch Control) dhe EDMM (Enclave Dynamic Memory Management) për të ndryshuar të drejtat e qasjes në faqe të veçanta të memories së enklavës, për të shtuar/zhbërë dinamikisht faqe të memories në enklavë dhe për të zgjeruar enklavën.
• Drejtuesi IDXD (Data Streaming Accelerator) është transferuar në kategorinë e stabilizuar për të angazhuar shpejtuesit e transferimit të të dhënave, të integruar në CPU-në Intel. Më parë, SGX dhe IDXD ishin klasifikuar si mundësi eksperimentale (Technology Preview).
• Zbatimi i nën-sistemit eBPF është sinkronizuar me kernelin Linux 6.6 (në lëshimin e kaluar ishte përdorur zbatimi eBPF nga kernel Linux 6.3).
• Në bootloaderin GRUB dhe në ndërfaqen shim është shtuar mundësia e përdorimit të mekanizmave të mbrojtjes së memories DEP (Data Execution Prevention), NX (No Execute) dhe XD (Execute Disable) për të ndaluar ekzekutimin e instruksioneve në zona të caktuara të memories para fillimit të ngarkimit të sistemit.
• Janë përfshirë versione të reja të kompilatorëve dhe mjeteve për zhvilluesit: GCC Toolset 13, LLVM Toolset 17.0.6, Rust Toolset 1.75.1 dhe Go Toolset 1.21.7.
• Janë shtuar paketa të veçanta (Application Streams) me versione të reja të Python 3.12, Ruby 3.3, PHP 8.2, nginx 1.24, MariaDB 10.11, PostgreSQL 16.
• Janë përmirësuar versionet e Git 2.43.0, Git LFS 3.4.1, Valgrind 3.22, SystemTap 5.0, elfutils 0.190, cmake 3.26. Janë shtuar paketa të reja maven-openjdk21 dhe libzip-tools.
• Janë përmirësuar paketat që lidhen me sigurinë: GnuTLS 3.8.3, nettle 3.9.1, p11-kit 0.25.3, libkcapi 1.4.0, stunnel 5.71, audit 3.1.2, SSG (SCAP Security Guide) 0.1.72, openCryptoki 3.22.0, ipa 4.11.
• Janë përmirësuar paketat server dhe sisteme: chrony 4.5, linuxptp 4.2, Rsyslog 8.2310, iptables 1.8.10, nftables 1.0.9, firewalld 1.3, stratis-cli 3.6.0, boom 1.6.0, 389-ds-base 2.4.5, samba 4.19.4, Podman 4.9.
• Работающий в пространстве пользователя инструментарий SELinux (libsepol, libselinux, libsemanage, policycoreutils, checkpolicy, mcstrans) обновлён до версии 3.6, в которой в язык CIL (Common Intermediate Language) добавлена поддержка правил «deny» и ключевых слов «notself» и «other». Добавлен исполняемый файл getpolicyload для отображения числа перезагрузок правил SELinux. Под защиту SELinux переведены сервисы nvme-stas, rust-afterburn, rust-coreos-installer и bootc, которые раньше выполнялись в режиме unconfined_service_t. Добавлены правила SELinux для SAP HANA. Добавлен новый сервис chronyd-restricted, защищённый при помощи SELinux. Добавлен пакет grafana-selinux для запуска grafana с защитой SELinux.
• The Keylime registrar and verifier, used for verifying the authenticity and continuous integrity tracking of external systems, can now be run inside containers isolated from the main system.
• In the Rsyslog logging system, the ability to change encryption settings for TLS/SSL has been provided, along with additional options to drop privileges.
• OpenSSL now allows placing TLS configuration files in a separate directory /etc/pki/tls/openssl.d, enabling the overriding of additional cryptographic module parameters without changing the main OpenSSL configuration file.
• In SSSD (System Security Services Daemon), the option to enable and configure passwordless authentication using biometric sensors supporting the FIDO2 specification, such as YubiKey devices, has been introduced.
• Добавлена экспериментальная команда «podman build farm» для создания образов контейнеров сразу для нескольких архитектур. В Podman добавлена полная поддержка бэкенда на базе SQLite и предоставлена возможность использования модулей containers.conf для выборочной загрузки настроек. В Containerfile разрешены многострочные инструкции HereDoc. Объявлен устаревшим сетевой стек CNI (Container Network Interface). При помощи команды «podman machine» реализована возможность проброса USB-устройств в виртуальные машины QEMU.
• Në IdM (Menaxhimi i Identitetit) është ofruar mundësia e aktivizimit të autentifikimit dy-faktorial të detyrueshëm për klientët LDAP, duke përdorur fjalëkalime njëherësh (OTP). API i IdM është stabilizuar, i cili më parë ishte paraqitur si eksperimentale. Në 389 Directory Server është shtuar mbështetja për protokollin HAProxy, duke lejuar përcaktimin e saktë të adresave IP të klientëve që lidhen përmes proxy.
• Në krijuesin e imazheve RHEL është ofruar mundësia e përcaktimit të pikave të montimit të rastësishme dhe krijimin e mënyrave të ndryshme të ndarjes në seksione (auto-lvm, lvm, raw).
• deri në versionin 1.0.0 është përmirësuar zbatimi i protokollit synce4l, që siguron mbështetje për teknologjinë e sinkronizimit të frekuencës SyncE (Ethernet i Sinkronizuar), e mbështetur në disa karta rrjeti dhe switch-e rrjeti, duke rritur efikasitetin e shkëmbimit të të dhënave në aplikacionet RAN (Rrjeti i Qaccessit Radio) përmes një sinkronizimi më të saktë të kohës. Është shtuar mbështetje për ndërfaqen DPLL (Digital Phase Locked Loop) të ofruar nga bërthama.
• В подсистему nftables перенесена возможность проверки полей внутренних заголовков пакетов, передаваемых через туннели. В утилиту nft добавлена возможность использования команды «nft reset» для сброса состояний правил nftables, таких как счётчики пакетов и значения квот. В firewalld прекращено удаление правил, добавленных через iptables, если в firewalld используется бэкенд nftables и отсутствуют правила, созданные с опцией «—direct».
• Në utilitarin ss, i përfshirë në paketën iproute2, është shtuar opsioni "—bound-inactive" për të treguar soketët e papërdorur të rrjetit TCP, që janë lidhur me adresën IP dhe portit rrjetësor (është bërë thirrje për bind), por nuk janë lidhur (thirrja connect) apo nuk janë kaluar në modalitetin e pritjes së lidhjes (thirrja listen).
• Në NetworkManager është shtuar mundësia për të ndryshuar numrin e kanaleve (radhët e paketeve, të lidhura me trajtuesit e ndërprerjes) për ndërfaqet rrjetësore dhe për të konfiguruar modalitetin SwitchDev, duke lejuar delegimin e operacioneve për ridrejtimin e kadrove dhe trajtimin e paketave rrjetësore në çipat e specializuar të harduerit. Është shtuar mbështetje për ndërfaqet rrjetësore MACsec. Për lidhjet pa tel është ofruar mundësia e caktimit të një adrese MAC të përhershme të veçantë (modaliteti stable-ssid).
• Në Nmstate është siguruar krijimi i një skedari YAML për rikthimin në gjendjen e mëparshme të konfigurimeve. Për menaxhimin e prioriteve në ndërfaqet rrjetësore të agreguara (bond) është shtuar një pronë priority. Janë shtuar atribute të tjera për VLAN: registration-protocol, mvrp, reorder-headers dhe loose-binding. Është ofruar mundësia për të konfiguruar etiketat VLAN në pajisjet rrjetësore me mbështetje për SR-IOV (Virtualizimi i I/O të Rrënjës njëherëshe).
• Kthehet moduli thelbësor me implementimin e algoritmit të kontrollit të ngarkesës TCP Illinois, i cili mesatarisht mundëson një kapacitet më të lartë kalimi dhe një shpërndarje më të drejtë të burimeve.
• Расширены возможности утилит rteval, rtla и cyclicdeadline. В rteval добавлена возможность использования префиксов «+» и «-» для прикрепления и открепления ядер CPU из списка отслеживаемых ядер (measurement-cpulist). Утилита rtla обновлена до состояния, соответствующего ядру Linux 6.6. Добавлена опция «rtla -C» для прикрепления к потокам дополнительных cgroup. В утилиту cyclicdeadline добавлена возможность визуализации задержек в виде гистограммы.
• Është shtuar mundësia për të caktuar madhësinë maksimale të FS gjatë rritjes dinamike të madhësisë së FS nga shërbimi stratisd, çka lejon shmangien e rënies së performancës pas një rritjeje të pakontrolluar të madhësisë XFS.
• Në utilitarin lvconvert është shtuar mbështetje për konvertimin e volumeve logjike standarde (LV) në një variant që lejon alokimin dinamik të hapësirës në ruajtje (thin provisioning).
• Në multipathd është shtuar mbështetje për trajtimin e ngjarjeve FPIN-Li (Fabric Performance Impact Notification) për optimizimin e qasjes në memorie NVMe. Në seksionin e konfigurimeve të përdorura si parazgjedhje në multipath.conf janë shtuar parametrat max_retries dhe auto_resize. Për Device-mapper-multipath janë shtuar cilësime për përdorimin e grupeve HPE Alletra 9000 NVMeFC dhe mbështetje për modulet ANA (Asymmetric Namespace Access) në NVMeoFC.
• Për mundësinë e ngarkesës nga adaptuesit NVMe/FC (Non-volatile Memory Express (NVMe) mbi Fibre Channel) është kaluar në versionin stabil.
• Në web console është lehtësuar menaxhimi i ruajtjeve dhe ndryshimi i madhësive të ndarjeve. Është shtuar mbështetje për gjenerimin e shell-skripteve dhe skenarëve Ansible për konfigurimin e kdump. Në seksionin Virtual Machines është realizuar mundësia e shtimit të çelësve të hapur SSH dhe lidhjes së pajisjeve bllokuese të formatuara tashmë. Për lidhjen me makinat virtuale është përdorur VNC në vend të protokollit SPICE.
• Shtohen role të reja sistemore për fillimin, menaxhimin dhe konfigurimin e fapolicyd dhe Microsoft SQL Server 2022. Rol snapshot është shtuar për krijimin dhe menaxhimin e snapshot-eve LVM. Në rolin sshd është shtuar mundësia e autentikimit me certifikata.
• Është stabilizuar mbështetja për virtualizimin në sistemet ARM64 duke përdorur hipervizorin KVM.
• Shtuar mbështetje për migrimin e makinave virtuale në modalitetin Multi-FD (multiple file descriptors), ku gjatë transfertës së një makine virtuale krijohen disa lidhje paralele, duke e përshpejtuar transferimin e të dhënave në prani të një lidhjeje rrjeti me shpejtësi të lartë (20 Gbps dhe më lart).
• Përmirësimi i performancës së migrimit të drejtpërdrejtë në modin Postcopy, ku mjedisi virtual nis pothuajse menjëherë, ndërsa të dhënat që mungojnë ngarkohen kur kërkohen faqet e kopjuara të memories.
• Shtohet utilitari toolbx, i cili lejon nisjen e një mjedisi të izoluar të shtesë që mund të konfigurohet në mënyrë të rastësishme duke përdorur menaxherin e zakonshëm të paketave DNF dhe të përdoret për të instaluar paketa eksperimentale pa ndikuar në sistemin kryesor.
• Shtohet mbështetje për parametrat e komandës së radhës në bërthamën Linux: accept_memory, ia32_emulation, arm64.nomops, cgroup_favordynmods, early_page_ext, fw_devlink.sync_state, kunit.enable, mtrr=debug, rcupdate.rcu_cpu_stall_cputime, rcupdate.rcu_exp_stall_task_details, spec_rstack_overflow dhe workqueue.unbound_cpus.
• Shtohen parametrat e rinj sysctl: io_uring_group dhe numa_balancing_promote_rate_limit_MBps.
• Përdorimi i mekanizmit io_uring është i ndaluar për të gjitha proceset sipas paracaktimit (sysctl io_uring_disabled=2).
• Mbështetje e zgjeruar për pajisjet. Shtohet makina për mbështetje të teknologjive Intel QuickAssist Technology, Intel TPMI, Intel Uncore Frequency, AMD HSMP, AMD XCP, AMD Platform Management dhe Mellanox PMC. Shtohet makina octeon_ep për kontrollet Marvell Octeon PCIe Endpoint Network Interface Controller.
• Është vazhduar ofrimi i mbështetjes eksperimentale (Teknologji Preview):
  • VPN WireGuard,
  • kTLS (TLS në nivelin e bërthamës),
  • interfaci i hyrjes asinkrone io_uring,
  • DAX (Qasje e Drejtë) për ext4 dhe XFS,
  • AMD SEV dhe SEV-ES në hipervizorin KVM,
  • shërbimin systemd-resolved,
  • mekanizmin Sigstore për verifikimin e konteinerëve përmes nënshkrimeve dixhitale,
  • protokollet PRP (Protokolli i Redundancës Paralel) dhe HSR (Redundanca e Sigurt e Paeveri),
  • akcelerimi harduerik i IPsec përmes kalimit të operacioneve të inkapsulimit të paketave në anën e kartës rrjetësore,
  • protokoli i menaxhimit të certifikatave ACME, i përdorur në Let’s Encrypt,
  • SRv6 (Routing i Segmentit mbi IPv6,
  • paketit me redaktorin grafik GIMP 2.99.8,
  • cilësimet MPTCP (Multipath TCP) përmes NetworkManager,
  • DNSSEC në IdM,
  • virtio-mem,
  • Socket API për TuneD,
  • Soft-iWARP (Protokolli Internet Wide-area RDMA),
  • GNOME për ARM64 dhe IBM Z.

Burimi: opennet.ru