Utgivning av systemhanteraren systemd 242

Efter två månaders utveckling har versionen 242 av systemcheferna systemd presenterats. Bland nyheterna märks stöd för L2TP-tunnlar, möjligheten att styra systemd-logind:s beteende vid omstart genom miljövariabler, stöd för utökade boot-partitioner XBOOTLDR för montering av /boot, möjlighet att starta med rotpartitionen i overlayfs, samt ett stort antal nya inställningar för olika typer av enheter.

Huvudsakliga förändringar:

• Stöd för L2TP-tunnlar har införts i systemd-networkd;
• I sd-boot och bootctl har stöd för XBOOTLDR-partitioner (Extended Boot Loader) genomförts, avsedda för montering i /boot, utöver ESP-partitioner som monteras i /efi eller /boot/efi. Kärnor, inställningar, initrd-bilder och EFI kan nu laddas både från ESP-partitioner och XBOOTLDR-partitioner. Denna ändring gör det möjligt att använda bootloadern sd-boot i mer konservativa scenarier där själva bootloadern ligger i ESP, medan de laddade kärnorna och relaterad metadata flyttas till en separat partition.
• Möjligheten att starta med alternativet "systemd.volatile=overlay" har lagts till, vilket möjliggör att placera rotpartitionen i overlayfs och organisera arbetet ovanför en endast läsbar rotkatalog med registrering av ändringar i en separat katalog i tmpfs (ändringar i denna konfiguration går förlorade efter omstart). På liknande sätt har optionen "—volatile=overlay" lagts till i systemd-nspawn för att använda liknande funktionalitet i containrar;
• I systemd-nspawn har optionen "—oci-bundle" lagts till, vilket möjliggör användning av runtime-paket för att säkerställa isolerad körning av containrar som uppfyller kraven i Open Container Initiative (OCI). Stöd för olika alternativ beskrivna i OCI-specifikationen har föreslagits för användning på kommandoraden och nspawn-enheterna, exempelvis för att utesluta delar av filsystemet kan inställningar som "—inaccessible" och "Inaccessible" användas, och för att konfigurera standardutmatningsströmmer har alternativ som "—console" och "—pipe" lagts till;
• Möjligheten att styra systemd-logind:s beteende genom miljövariabler har lagts till: $SYSTEMD_REBOOT_TO_FIRMWARE_SETUP,
  $SYSTEMD_REBOOT_TO_BOOT_LOADER_MENU och
  $SYSTEMD_REBOOT_TO_BOOT_LOADER_ENTRY. Med hjälp av dessa variabler kan egna omstartshanterare kopplas samman (/run/systemd/reboot-to-firmware-setup, /run/systemd/reboot-to-boot-loader-menu och
  /run/systemd/reboot-to-boot-loader-entry) или вообще отключить их (при выставлении значения в false);
• Till kommandot "systemctl reboot" har alternativet "—boot-load-menu=" lagts till.
  «—boot-loader-entry=», som gör det möjligt att välja ett specifikt alternativ i startmenyn eller en startläge efter omstart;
• Ett nytt sandbox-isoleringskommando «RestrictSUIDSGID=» har lagts till, som använder seccomp för att förhindra skapande av filer med SUID/SGID-flaggor;
• Standardinställningarna för begränsningar «NoNewPrivileges» och «RestrictSUIDSGID» tillämpas nu i tjänster med aktiverat läge för dynamisk generering av användaridentifierare («DynamicUser»);
• Den standardinställning för MACAddressPolicy=persistent som används i .link-filer har ändrats för att omfatta fler enheter. Gränssnitten för nätverksbroar, tunnlar (tun, tap) och aggregerade länkar (bond) identifierar sig själva endast med namnet på nätverksgränssnittet, så detta namn används nu som grund för att binda MAC- och IPv4-adresser. Dessutom har inställningen «MACAddressPolicy=random» lagts till, som kan användas för att binda MAC- och IPv4-adresser till enheter i slumpmässig ordning;
• De .device enhetsfiler som genereras av systemd-fstab-generator inkluderar nu inte motsvarande .mount enheter som beroenden i sektionen «Wants=». En enkel anslutning av en enhet leder nu inte till automatiskt startande av en monteringsenhet, men sådana enheter kan fortfarande startas av andra skäl, exempelvis som en del av local-fs.target eller som ett beroende av andra enheter som är beroende av local-fs.target;
• Stödet för masker («*» och så vidare) har lagts till i kommandona «networkctl list/status/lldp» för att filtrera specifika grupper av nätverksgränssnitt baserat på deras namn;
• Miljövärdet $PIDFILE ställs nu in med en absolut sökväg, som konfigureras i tjänster via parametern «PIDFile=;
• Det har lagts till offentliga DNS-servrar i antalet reserverade DNS-servrar som används om en primär DNS inte uttryckligen definieras, servrar Cloudflare (1.1.1.1). För att åsidosätta listan över reserverade DNS-servrar kan alternativet «-Ddns-servers=» användas;
• Vid upptäckten av en USB-enhetskontroller (USB Device Controller) säkerställs automatisk start av den nya hanteraren usb-gadget.target (när systemet körs på en USB-enhet);
• För enhetsfiler har inställningen «CPUQuotaPeriodSec=» implementerats, vilket definierar tidsperioden inom vilken kvoten för CPU-tid mäts, angiven via inställningen «CPUQuota=»;
• För enhetsfiler har inställningen «ProtectHostname=» implementerats, vilket förhindrar tjänster från att ändra information om värdnamnet, även med tillgängliga befogenheter;
• För enhetsfiler har inställningen «NetworkNamespacePath=» implementerats, vilket möjliggör koppling av namnrymder till tjänster eller socket-enheter genom att ange sökvägen till namnrymdens fil i den pseudofilsystemet /proc;
• Möjlighet att stänga av substitution av miljövariabler för processer som startas med inställningen «ExecStart=» har lagts till, genom att lägga till tecknet «:» före startkommandot;
• Nya flaggor «OnClockChange=» och
  «OnTimezoneChange=» har föreslagits för timers (enheter .timer), vilket möjliggör hantering av anrop av enheten vid ändring av systemtid eller tidszon;
• Nya inställningar «ConditionMemory=» och «ConditionCPUs=» har lagts till, vilka definierar villkor för anrop av enheten beroende på minnesstorlek och antal CPU-kärnor (till exempel kan resurskrävande tjänster startas endast om det finns tillräckligt med RAM);
• En ny enhet time-set.target har lagts till, som tar emot det lokalt inställda systemtiden utan att använda synkronisering med externa tidssynkserverar genom enheten time-sync.target. Den nya enheten kan användas av tjänster som bara behöver noggrannhet från osynkroniserade lokala klockor;
• I «systemctl start» och liknande kommandon har en valmöjlighet «—show-transaction» lagts till, som visar en sammanfattning av alla operationer som har lagts till i köer på grund av den begärda åtgärden;
• I systemd-networkd har en ny status ‘enslaved’ implementerats, som används istället för ‘degraded’ eller ‘carrier’ för nätverksgränssnitt som ingår i aggregerade länkar eller nätverksbryggor. För primära gränssnitt har ett tillstånd ‘degraded-carrier’ lagts till vid problem med en av de aggregerade länkarna;
• I enheterna .network har optionen «IgnoreCarrierLoss=» lagts till för att bevara nätverksinställningar vid sambandssvikt;
• Genom inställningen «RequiredForOnline=» i enheterna .network går det nu att ange det minimala accepterade tillståndet för länken som krävs för att föra nätverksgränssnittet till «online» och aktivera systemd-networkd-wait-online-handlaren;
• I systemd-networkd-wait-online har en option «—any» lagts till för att vänta på att vilket som helst av de angivna nätverksgränssnitten ska vara redo istället för alla, samt optionen «—operational-state=» för att definiera länktillståndet som indikerar beredskap;
• I .network-enheterna har inställningarna «UseAutonomousPrefix=» och «UseOnLinkPrefix=» lagts till, vilka kan användas för att ignorera prefix när man tar emot
  annonser från IPv6-router (RA, Router Advertisement);
• I .network-enheterna har inställningarna «MulticastFlood=», «NeighborSuppression=» och «Learning=» lagts till för att ändra parametrarna för nätverksbroar, samt inställningen «TripleSampling=» för att ändra TRIPLE-SAMPLING-läget för virtuella CAN-gränssnitt;
• I .netdev-enheterna har inställningarna «PrivateKeyFile=» och «PresharedKeyFile=» lagts till, med hjälp av vilka man kan ange privata och delade (PSK) nycklar för WireGuard-gränssnitt; VPN;
• I /etc/crypttab har alternativen same-cpu-crypt och submit-from-crypt-cpus lagts till, som styr schemaläggarens beteende vid migrering mellan CPU-kärnor för arbete relaterat till kryptering;
• I systemd-tmpfiles har hantering av låsfilen säkerställts innan operationer i kataloger med temporära filer utförs, vilket gör att man kan stänga av rensningen av föråldrade filer under en specifik åtgärd (till exempel när man packar upp ett tar-arkiv i /tmp kan mycket gamla filer dyka upp, vilka inte kan tas bort förrän åtgärden med dem avslutas);
• I kommandot «systemd-analyze cat-config» har möjligheten till analys av konfigurationer som sprids över flera filer säkerställts, till exempel användar- och systeminställningar, innehållet i tmpfiles.d och sysusers.d, regler för udev, och så vidare.
• I «journalctl» har alternativet «—cursor-file=» lagts till för att definiera en fil för att ladda och spara positionpekaren;
• I systemd-detect-virt har identifieringen av hypervisorn ACRN och WSL-subsystemet (Windows Subsystem for Linux) lagts till för efterföljande förgreningar med hjälp av villkorsoperatorn «ConditionVirtualization»;
• Under installationen av systemd (vid körning av «ninja install») har skapandet av symboliska länkar till filerna systemd-networkd.service, systemd-networkd.socket stoppats i katalogen /etc,
  systemd-resolved.service, remote-cryptsetup.target, remote-fs.target,
  systemd-networkd-wait-online.service och systemd-timesyncd.service. För att skapa dessa filer måste nu kommandot «systemctl preset-all» köras.

Källa: opennet.ru