Utgåvan av systemhanteraren systemd 243

Efter fem månaders utveckling presenteras utgivning av systemhanteraren systemd 243. Bland nyheterna kan nämnas integrationen av en hanterare för minnesbrist i systemet i PID 1, stöd för att bifoga egna BPF-program för filtrering av enheternas trafik, mängder av nya alternativ för systemd-networkd, övervakningsläge för bandbredden på nätverksgränssnitt, och standardanvändning av 22-bitars PID-nummer istället för 16-bitars på 64-bitars system, samt övergång till en enhetlig hierarki av cgroups, inklusive systemd-network-generator.

Huvudsakliga förändringar:

• I hanteraren PID 1 har det lagts till erkännande av kärnsgenererade signaler angående minnesbrist (Out-Of-Memory, OOM) för att överföra enheter som nått en minnesgräns till ett specifikt tillstånd med möjlighet till tvingad avslutning eller stopp.
• För unit-filer har nya parametrar introducerats: IPIngressFilterPath och
  IPEgressFilterPath, vilka möjliggör anslutning av BPF-program med godtyckliga hanterare för att filtrera inkommande och utgående IP-paket som genereras av processer relaterade till denna enhet. De föreslagna funktionerna möjliggör skapandet av en slags brandväggar för systemd-tjänster. Exempel på hur man skriver ett enkelt nätverksfilter baserat på BPF;
• I systemctl-verktyget har kommandot "clean" lagts till för att ta bort cache, runtime-filer, statusinformation och loggkataloger;
• I systemd-networkd har stöd lagts till för nätverksgränssnitt som MACsec, nlmon, IPVTAP och Xfrm;
• I systemd-networkd har separat konfigurering av DHCPv4- och DHCPv6-stacken genomförts via sektionerna "[DHCPv4]" och "[DHCPv6]" i konfigurationsfilen. En ny alternativ RoutesToDNS har lagts till för att lägga till en separat väg till DNS-servern, angiven i parametrarna som mottagits från DHCP-servern (så att trafiken till DNS skickas genom samma länk som den huvudväg som mottogs från DHCP). För DHCPv4 har nya alternativ lagts till: MaxAttempts - det maximala antalet förfrågningar om att hämta en adress, BlackList - en lista över blockerade DHCP-servrar, SendRelease - aktivering av sändning av DHCP RELEASE-meddelanden vid sessionens slut;
• I verktyget systemd-analyze har nya kommandon lagts till:
  • "systemd-analyze timestamp" - tolkning och omvandling av tid;
  • "systemd-analyze timespan" - tolkning och omvandling av tidsintervall;
  • "systemd-analyze condition" - tolkning och test av uttryck ConditionXYZ;
  • "systemd-analyze exit-status" - tolkning och omvandling av avslutningskoder från nummer till namn och vice versa;
  • «systemd-analyze unit-files» – visar en lista över alla filvägar för enheter och enhetsalias.
• Alternativen SuccessExitStatus, RestartPreventExitStatus och
  RestartForceExitStatus stöder nu inte bara numeriska returkoder utan även deras textidentifierare (till exempel «DATAERR»). Du kan se listan över kopplade koder till identifierare med kommandot «systemd-analyze exit-status»;
• Verktyget networkctl har fått kommandot «delete» för att ta bort virtuella nätverksenheter, samt alternativet «–stats» för att visa statistik över enheterna;
• I networkd.conf har inställningarna SpeedMeter och SpeedMeterIntervalSec lagts till för att periodiskt mäta bandbredden på nätverksgränssnitten. Statistiken som erhålls från mätningarna kan ses i utdata från kommandot ‘networkctl status’;
• En ny utility systemd-network-generator har lagts till för att generera filer
  .network, .netdev och .link baserat på IP-inställningar som skickas vid systemstart via kommandoraden för Linux-kärnan i Dracut-inställningsformat;
• Värdet sysctl «kernel.pid_max» på 64-bitarsystem sätts nu som standard till 4194304 (22-bitars PID istället för 16-bitars), vilket minskar risken för kollisioner vid tilldelning av PID, ökar gränsen för antalet samtidigt körda processer och har en positiv effekt på säkerheten. Denna förändring kan potentiellt leda till kompatibilitetsproblem, men i praktiken har det ännu inte rapporterats några sådana problem;
• Som standard har övergången till en enhetlig hierarki för cgroups-v2 genomförts under byggsteget (»-Ddefault-hierarchy=unified«). Tidigare var hybridläge standard (»-Ddefault-hierarchy=hybrid«);
• Beteendet hos systemanropfilter (SystemCallFilter) har ändrats, så att vid anrop av ett förbjudet systemanrop nu hela processen avslutas, istället för enskilda trådar, eftersom avslutning av enskilda trådar kan leda till oförutsägbara problem. Ändringarna gäller endast om kärnan Linux 4.14+ och libseccomp 2.4.0+ finns;
• Icke-privilegierade program har fått möjlighet att skicka ICMP Echo-paket (ping) genom att sätta sysctl «net.ipv4.ping_group_range» för hela gruppintervallet (för alla processer);
• För att snabba upp byggprocessen har genereringen av man-sidor stängts av som standard (för att bygga fullständig dokumentation, använd alternativet «-Dman=true» eller «-Dhtml=true» för HTML-format man-sidor). För att underlätta visningen av dokumentation har vi inkluderat två skript build/man/man och build/man/html för att generera och förhandsgranska relevanta handböcker;
• För att hantera domännamn med tecken från nationella alfabeten används som standard biblioteket libidn2 (för att återgå till libidn, använd alternativet «-Dlibidn=true»);
• Stöd för körbar fil /usr/sbin/halt.local har avbrutits, eftersom den inte blev tillräckligt spridd i distributionerna. För att organisera körning av kommandon vid avstängning rekommenderas det att använda skript i /usr/lib/systemd/system-shutdown/ eller definiera en ny enhet beroende av final.target;
• I det sista skedet av avstängningen ökar systemd nu automatiskt loggnivån i sysctl «kernel.printk», vilket löser problemet med visning av logghändelser som inträffade under de senaste stadierna av avstängningen, när de normala loggtjänsterna redan har avslutats;
• I journalctl och andra loggvisningsverktyg har varningar markerats med gult, och revisionsposterna med blått för att visuellt särskilja dem från mängden;
• I miljövariabeln $PATH kommer sökvägen till bin/ nu före vägen till sbin/, dvs. om samma namn för körbara filer finns i båda katalogerna, kommer filen från bin/ att köras;
• I systemd-logind har anropet SetBrightness() lagts till för säker ändring av skärmens ljusstyrka för varje session;
• Flaggan «--wait-for-initialization» har lagts till kommandot «udevadm info» för att vänta på att enhetens initiering ska slutföras;
• Vid systemstart skriver PID 1 ut namnen på enheterna på skärmen istället för beskrivningen av dem. För att återgå till det tidigare beteendet kan alternativet StatusUnitFormat användas i /etc/systemd/system.conf eller kernel-parametern systemd.status_unit_format;
• I /etc/systemd/system.conf har alternativet KExecWatchdogSec lagts till för watchdog i PID 1, vilket definierar tidsgränsen för omstart med hjälp av kexec. Den gamla inställningen
  ShutdownWatchdogSec har döpts om till RebootWatchdogSec och definierar tidsgränsen för operationer vid avstängning eller normal omstart;
• För tjänster har ett nytt alternativ lagts till ExecCondition, som låter dig ange kommandon som kommer att köras före ExecStartPre. Baserat på den kod som kommandot returnerar fattas beslut om enhetens fortsatta körning - om koden är 0 fortsätter enheten att starta, om den är mellan 1 och 254 avslutas den tyst utan att registrera ett fel, om den är 255 avslutas den med en felregistrering;
• En ny tjänst, systemd-pstore.service, har lagts till för att hämta data från sys/fs/pstore/ och spara dem i /var/lib/pstore för vidare analys;
• Nya kommandon har lagts till verktyget timedatectl för att konfigurera NTP-parametrar för systemd-timesyncd kopplade till nätverksgränssnitt;
• Visningen av lokaler som inte är UTF-8 har avbrutits i kommandot «localectl list-locales»;
• Fel vid tilldelning av variabler i sysctl.d/-filer ignoreras om variabelnamnet börjar med tecknet «-«;
• Tjänsten systemd-random-seed.service ansvarar nu helt för att initiera poolen av entropi för kärnans pseudorandomgenerator. Tjänster som kräver en korrekt initierad /dev/urandom måste starta efter systemd-random-seed.service;
• I bootloadern systemd-boot har en valfri möjlighet för support säkerställts seed-fil med en slumpmässig sekvens i EFI System Partition (ESP);
• Nya kommandon har lagts till verktyget bootctl: «bootctl random-seed» för att generera seed-filen i ESP och «bootctl is-installed» för att kontrollera installationen av bootloadern systemd-boot. I bootctl har även varningar för felaktig konfiguration av boot-poster introducerats (t.ex. när kärnans bild har raderats men boot-posten lämnats kvar);
• Automatisk val av växlingspartition har säkerställts när systemet går i viloläge. Partitionen väljs baserat på den prioritet som tilldelats den, och vid lika prioriteringar - mängden ledigt utrymme;
• I /etc/crypttab har alternativet keyfile-timeout lagts till för att ange väntetiden för enheten med krypteringsnyckeln innan förfrågan om lösenord för åtkomst till den krypterade partitionen visas;
• Alternativet IOWeight har lagts till för att ställa in vikt för in/ut-data för BFQ-schemaläggaren;
• I systemd-resolved har en strikt ('strict') driftsläge för DNS-over-TLS lagts till och möjligheten att cacha endast positiva DNS-svar ('Cache no-negative' i resolved.conf) har implementerats;
• För VXLAN i systemd-networkd har alternativet GenericProtocolExtension lagts till för att aktivera VXLAN-protokollets tillägg. För VXLAN och GENEVE har alternativet IPDoNotFragment lagts till för att ställa in fragmenteringsflaggan för utgående paket;
• I systemd-networkd har sektionen "[Route]" fått alternativet FastOpenNoCookie för att aktivera mekanismen för snabb öppning av TCP-anslutningar (TFO - TCP Fast Open, RFC 7413) kopplat till specifika rutter, samt alternativet TTLPropagate för att konfigurera TTL LSP (Label Switched Path). Alternativet "Type" stöder routningslägena local, broadcast, anycast, multicast, any och xresolve;
• I systemd-networkd har sektionen "[Network]" fått alternativet DefaultRouteOnDevice för automatisk konfiguration av standardrutt för den angivna nätverksenheten;
• I systemd-networkd har alternativ föreslagits för nätverksbroar: ProxyARP och
  ProxyARPWifi för att konfigurera proxy ARP-beteende, MulticastRouter för att ställa in routningsparametrar i multicast-läge, MulticastIGMPVersion för att ändra versionen av IGMP (Internet Group Management Protocol) för multicast;
• I systemd-networkd har alternativ för FooOverUDP-tunnlar lagts till: Local, Peer och PeerPort för att konfigurera IP-adresser för lokala och fjärrsidor samt nätverksportnummer. För TUN-tunnlar har alternativet VnetHeader lagts till för att konfigurera stöd för GSO (Generic Segment Offload);
• I systemd-networkd har sektionen [Match] i .network- och .link-filer fått alternativet Property, vilket möjliggör identifiering av enheter baserat på specifika egenskaper i udev;
• I systemd-networkd har alternativet AssignToLoopback lagts till för tunnlar, vilket styr bindningen av tunneln till loopback-enheten "lo";
• I systemd-networkd har aktiveringen av IPv6-stacken automatiserats om den blockeras via sysctl disable_ipv6 — IPv6 aktiveras om nätverksgränssnittet har IPv6-inställningar (statisk eller DHCPv6), annars ändras inte det redan angivna värdet för sysctl;
• I .network-filer har inställningen CriticalConnection ersatts av alternativet KeepConfiguration, vilket ger fler resurser för att definiera situationer ("yes", "static", "dhcp-on-stop", "dhcp") där systemd-networkd inte bör röra vid befintliga anslutningar vid uppstart;
• Säkerhetsbrist åtgärdad CVE-2019-15718, orsakad av avsaknad av åtkomstkontroll till systemd-resolveds D-Bus-gränssnitt. Problemet tillåter icke-behöriga användare att utföra operationer som endast är tillgängliga för administratörer, till exempel att ändra DNS-inställningar och styra DNS-förfrågningar till en falsk server;
• Säkerhetsbrist åtgärdad CVE-2019-9619, relaterad till avstängningen av pam_systemd för icke-interaktiva sessioner, vilket möjliggör förstöra ett aktivt sessions-id.

Källa: opennet.ru