Utgivning av systemhanteraren systemd 242

Efter två månaders utveckling har systemhanteraren systemd 242 släppts. Bland nyheterna kan man nämna stöd för L2TP-tunnlar, möjlighet att styra systemd-loginds beteende vid omstart genom miljövariabler, stöd för utökade startpartitioner XBOOTLDR för montering av /boot, möjlighet att starta med rotpartitionen i overlayfs, samt ett stort antal nya inställningar för olika typer av enheter.

Huvudsakliga förändringar:

• I systemd-networkd har stöd för L2TP-tunnlar lagts till;
• I sd-boot och bootctl har stöd för XBOOTLDR-partitioner (Extended Boot Loader) implementerats, som är avsedda för montering i /boot, utöver ESP-partitioner som monteras i /efi eller /boot/efi. Kärnor, inställningar, initrd-avbilder och EFI kan nu laddas både från ESP-partitioner och från XBOOTLDR-partitioner. Denna förändring tillåter användning av laddaren sd-boot i mer konservativa scenarier där själva laddaren är placerad i ESP och de laddade kärnorna och deras metadata är placerade i en separat partition;
• Möjlighet att starta med vidarebefordran av alternativet "systemd.volatile=overlay" har lagts till, vilket möjliggör att placera rotpartitionen i overlayfs och organisera arbetet ovanför en skrivskyddad bild av rotkatalogen med skrivning av ändringar till en separat katalog i tmpfs (ändringar i en sådan konfiguration går förlorade efter omstart). På liknande sätt har en "--volatile=overlay"-parameter lagts till i systemd-nspawn för att använda liknande funktionalitet i containrar;
• I systemd-nspawn har en "--oci-bundle"-parameter lagts till, vilket möjliggör användning av runtime-paket för att säkerställa isolerad körning av containrar som uppfyller kraven i Open Container Initiative (OCI) specifikationen. För användning i kommandoraden och nspawn-enheter har stöd för olika alternativ föreslagits, beskrivna i OCI-specifikationen, till exempel för att utesluta delar av filsystemet kan inställningarna "--inaccessible" och "Inaccessible" användas, och för att ställa in standardutgångar har alternativ som "--console" och "--pipe" lagts till;
• Möjlighet att styra systemd-loginds beteende genom miljövariabler har lagts till: $SYSTEMD_REBOOT_TO_FIRMWARE_SETUP,
  $SYSTEMD_REBOOT_TO_BOOT_LOADER_MENU och
  $SYSTEMD_REBOOT_TO_BOOT_LOADER_ENTRY. Genom dessa variabler kan man ansluta sina egna hanterare för omstartsprocessen (/run/systemd/reboot-to-firmware-setup, /run/systemd/reboot-to-boot-loader-menu och
  /run/systemd/reboot-to-boot-loader-entry) или вообще отключить их (при выставлении значения в false);
• I kommandot "systemctl reboot" har alternativ som "--boot-load-menu=" lagts till.
  «—boot-loader-entry=», vilket möjliggör att välja ett specifikt alternativ från startmenyn eller startläge efter omstart;
• En ny sandlåda-isoleringskommando «RestrictSUIDSGID=» har lagts till, som använder seccomp för att förbjuda skapandet av filer med SUID/SGID-flaggor;
• Standardbegränsningarna «NoNewPrivileges» och «RestrictSUIDSGID» tillämpas nu som standard i tjänster som har aktiverad dynamisk användargenerering («DynamicUser»);
• Den standardkonfiguration som används i .link-filerna, MACAddressPolicy=persistent, har ändrats för att täcka fler enheter. Gränssnitten för nätverksbryggor, tunnlar (tun, tap) och aggregerade länkar (bond) identifierar sig inte annat än med sitt nätverksgränssnittnamn, så detta namn används nu som bas för bindning av MAC- och IPv4-adresser. Dessutom har inställningen «MACAddressPolicy=random» lagts till, vilket kan användas för att binda MAC- och IPv4-adresser till enheter i slumpmässig ordning;
• De enhetsfiler «.device» som genereras via systemd-fstab-generator inkluderar nu inte motsvarande «.mount»-enheter som beroenden i avsnittet «Wants=». En enkel anslutning av en enhet resulterar nu inte i en automatisk start av enhet för montering, men sådana enheter kan fortfarande startas av andra anledningar, till exempel som en del av local-fs.target eller som beroende av andra enheter som är beroende av local-fs.target;
• Stöd för maskeringar («*» osv.) har lagts till i kommandona «networkctl list/status/lldp» för att filtrera specifika grupper av nätverksgränssnitt baserat på deras namn;
• Miljövaret $PIDFILE ställs nu in med en absolut sökväg, konfigurerad i tjänsterna via parametern «PIDFile=;
• Offentliga DNS-servrar har lagts till i antalet reserv DNS-servrar som används om ingen huvud-DNS definieras explicit; servrar Cloudflare (1.1.1.1). För att åsidosätta listan av reserv DNS-servrar kan alternativet «-Ddns-servers=» användas;
• Vid upptäckten av en USB-enhetskontroller (USB Device Controller) säkerställs automatisk start av den nya hanteraren usb-gadget.target (när systemet körs på en USB-periferienhet);
• För enhetsfilerna har inställningen «CPUQuotaPeriodSec=» implementerats, vilket definierar en tidsperiod som mäts i förhållande till den processortidskvot som anges via inställningen «CPUQuota=»;
• För unit-filer har inställningen «ProtectHostname=» implementerats, vilket förhindrar tjänster från att ändra värdnamnsinformationen, även om de har de nödvändiga behörigheterna;
• För unit-filer har inställningen «NetworkNamespacePath=» implementerats, vilket gör det möjligt att koppla namnrymden till tjänster eller socket-enheter genom att ange sökvägen till namnrymdens fil i den pseudofilsystemet /proc;
• Möjligheten att inaktivera substitution av miljövariabler för processer som startas med inställningen «ExecStart=» har lagts till genom att lägga till symbolen «:» före startkommandot;
• För timerar (enheter .timer) har nya flaggor «OnClockChange=» och
  «OnTimezoneChange=» erbjudits, vilka gör det möjligt att styra anropet av enheten vid ändring av systemtiden eller tidszon;
• Nya inställningar «ConditionMemory=» och «ConditionCPUs=» har lagts till, som definierar villkor för att anropa enheten beroende på minnesstorlek och antal CPU-kärnor (till exempel kan resurskrävande tjänster startas endast om den nödvändiga mängden RAM finns);
• En ny enhet time-set.target har lagts till, som tar det lokalt inställda systemtiden, utan att använda synkronisering med externa tidsserverar genom enheten time-sync.target. Den nya enheten kan användas av tjänster som klarar av att använda osynkroniserade lokala klockor;
• I «systemctl start» och liknande kommandon har alternativet «—show-transaction» lagts till, vilket visar en sammanställning av alla arbeten som lagts till i kön på grund av den begärda operationen;
• I systemd-networkd har en ny status ‘enslaved’ definierats, som används istället för ‘degraded’ eller ‘carrier’ för nätverksgränssnitt som ingår i aggregerade länkar eller nätverksbroar. För primära gränssnitt har tillståndet ‘degraded-carrier’ lagts till i fall av problem med en av de sammansatta länkarna;
• I .network-enheter har alternativet «IgnoreCarrierLoss=» lagts till för att bevara nätverksinställningar vid förlust av anslutning;
• Genom inställningen «RequiredForOnline=» i .network-enheter kan nu det minimi tillåtna tillståndet för länken definieras, vilket är nödvändigt för att överföra nätverksgränssnittet till «online» och aktivera systemd-networkd-wait-online-handlaren;
• I systemd-networkd-wait-online har alternativet «—any» lagts till för att vänta på att vilken som helst av de angivna nätverksgränssnitten ska bli redo istället för alla, samt alternativet «—operational-state=» för att definiera länktillståndet som indikerar beredskap;
• I .network-enheter har inställningarna «UseAutonomousPrefix=» och «UseOnLinkPrefix=» lagts till, som kan användas för att ignorera prefixes vid mottagning
  av IPv6-routerannonser (RA, Router Advertisement);
• I .network-enheter har inställningarna «MulticastFlood=», «NeighborSuppression=» och «Learning=» lagts till för att ändra parametrarna för nätverksbroarbete, samt inställningen «TripleSampling=» för att ändra TRIPLE-SAMPLING-läget för virtuella CAN-gränssnitt;
• I .netdev-enheter har inställningarna «PrivateKeyFile=» och «PresharedKeyFile=» lagts till, genom vilka man kan ange privata och delade (PSK) nycklar för WireGuard-gränssnitt; VPN;
• I /etc/crypttab har alternativen same-cpu-crypt och submit-from-crypt-cpus lagts till, som styr planerarens beteende vid migration mellan CPU-kärnor av arbeten relaterade till kryptering;
• I systemd-tmpfiles har bearbetning av låsfilen säkerställts före utförande av operationer i kataloger med temporära filer, vilket gör att uppgifterna kan pausas för rensning av gamla filer (t.ex. kan mycket gamla filer avtäcka vid uppackning av en tar-arkiv i /tmp, som inte får tas bort förrän åtgärderna är avslutade);
• I kommandot «systemd-analyze cat-config» har möjlighet till analys av konfiguration som är uppdelad på flera filer säkerställts, till exempel användar- och systemförinställningar, innehållet i tmpfiles.d och sysusers.d, udev-regler och så vidare.
• I «journalctl» har alternativet «—cursor-file=» lagts till för att ange en fil för att läsa till och spara positionspekarens position;
• I systemd-detect-virt har identifiering av hypervisor ACRN och WSL (Windows Subsystem for Linux) lagts till för efterföljande gren av senare med hjälp av villkorsoperatorn «ConditionVirtualization»;
• Vid installation av systemd (vid körning av «ninja install») har skapandet av symboliska länkar i katalogen /etc tillfälligt stoppats för filerna systemd-networkd.service, systemd-networkd.socket,
  systemd-resolved.service, remote-cryptsetup.target, remote-fs.target,
  systemd-networkd-wait-online.service och systemd-timesyncd.service. För att skapa dessa filer måste kommandot «systemctl preset-all» nu utföras.

Källa: opennet.ru