+7 (495) 320-70-49
- Назад
- Телефоны
- +7 (495) 320-70-49
- Заказать звонок
info@proxmox.su
Москва, Бакунинская улица, 69с1
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

PSA -- Не обновляйте до systemd 247, Proxmox Виртуальная Среда

inxsible

Guest

18.12.2020 21:17:00

У меня есть несколько контейнеров LXC на Archlinux, и после обновления одного из них у меня пропала сеть после перезагрузки этого контейнера. Я запустил новый контейнер для отладки, обновил пакеты Archlinux, и systemd был обновлен до 247. В процессе расследования я обнаружил, что несколько служб systemd не работают. Код: [checkarch: ~]── - systemctl --version

systemd 247 (247.2-1-arch)

+PAM +AUDIT -SELINUX -IMA -APPARMOR +SMACK -SYSVINIT +UTMP +LIBCRYPTSETUP +GCRYPT +GNUTLS +ACL +XZ +LZ4 +ZSTD +SECCOMP +BLKID +ELFUTILS +KMOD +IDN2 -IDN +PCRE2 default-hierarchy=hybrid Код: [checkarch: ~]── - статус systemd-networkd
* systemd-networkd.service - Служба сети
Загружено: загружено (/usr/lib/systemd/system/systemd-networkd.service; включено; предустановлено производителем: включено)
Активно: неработает (Результат: код выхода) с пт 2020-12-18 16:02:11 UTC; 3ч 39мин назад
Запущено: * systemd-networkd.socket
Документы: man:systemd-networkd.service(8)
Процесс: 347 ExecStart=/usr/lib/systemd/systemd-networkd (код=вышел, статус=226/NAMESPACE)
Основной PID: 347 (код=вышел, статус=226/NAMESPACE)

18 дек 16:02:11 checkarch systemd[1]: systemd-networkd.service: Основной процесс вышел, код=вышел, статус=226/NAMESPACE
18 дек 16:02:11 checkarch systemd[1]: systemd-networkd.service: Неудача с результатом 'код выхода'.
18 дек 16:02:11 checkarch systemd[1]: Не удалось запустить службу сети.
18 дек 16:02:11 checkarch systemd[1]: systemd-networkd.service: Запланировано задание перезапуска, счетчик перезапусков равен 5.
18 дек 16:02:11 checkarch systemd[1]: Служба сети остановлена.
18 дек 16:02:11 checkarch systemd[1]: systemd-networkd.service: Запрос на запуск повторялся слишком быстро.
18 дек 16:02:11 checkarch systemd[1]: systemd-networkd.service: Неудача с результатом 'код выхода'.
18 дек 16:02:11 checkarch systemd[1]: Не удалось запустить службу сети. Никакие усилия не помогли запустить интерфейсы. В конце концов, я понял, что каждая служба systemd, которая не работает, нуждается в переопределении, чтобы разрешить монтирование /proc вместе с /sys Код: sudo systemctl edit systemd-networkd ИЛИ Код: sudo vim /etc/systemd/system/systemd-networkd.service.d/override.conf Добавьте следующее в override.conf Код: [Service]
BindReadOnlyPaths= /sys /proc Сохраните и затем перезапустите службу, и она должна запуститься. Проблема в том, что есть много служб, которые не работают, и вам, возможно, придется переопределить каждую из них в зависимости от ваших нужд. Я думаю, что причина этой проблемы в различии между хостом (proxmox) и гостем (archlinux). У меня есть другие компьютеры на Archlinux, которые не испытывали проблем во время обновлений. Так что лучше избегать обновления systemd на ваших контейнерах — особенно если дистрибутив контейнера является постоянно обновляемым. Надеюсь, это поможет!

nhand42 Guest	#2 0 04.01.2021 11:13:00 Повторяющаяся тема. Спасибо за обходное решение.

wbumiller

Guest

05.01.2021 10:51:00

Альтернатива переопределениям systemd заключается в том, чтобы позволить systemd делать свое дело (но я рекомендую это только для непользовательских контейнеров) через Код: # Добавить в /etc/pve/lxc/<arch ct ids>.conf
lxc.apparmor.raw: mount fstype=proc options=(nosuid,nodev,noexec,rw) -> /run/systemd/unit-root/proc/, (Обратите внимание на в конце запятую!) Подобные вещи, вероятно, будут происходить с каждым новым релизом systemd. Systemd продолжит использовать много комбинаций опций монтирования, и единственный способ разрешить их все — это либо разрешить слишком много (что вызывает проблемы с безопасностью...), либо явно перечислить все комбинации... (lxc в настоящее время генерирует большое количество правил на лету для привязанных монтирований, в частности, также в ответ на systemd, но полноценные монтирования proc пока еще не охвачены). По умолчанию некоторые правила монтирования ограничены определенными путями, поскольку доступ к некоторым частям этих файловых систем также ограничен, и это можно сделать только по пути, поэтому монтирование в другом месте требует особой осторожности. `/proc/sys/kernel`, например, запрещен правилами apparmor, так что в этом случае стоит это учитывать. Однако это проблема только с привилегированными контейнерами. В общем, это значит, что контейнеры arch время от времени потребуют дополнительных разрешений, поэтому я и рекомендую оставаться на непользовательских контейнерах и тем самым "переносить" некоторые меры безопасности с apparmor на реализацию именованных пространств пользователя ядра. У нас здесь нет много волшебства в качестве альтернативы.

inxsible

Guest

05.01.2021 16:06:00

Спасибо @wbumiller, ваше объяснение имеет смысл. Определенно лучше просто внести одно изменение в конфигурационный файл контейнера, чем переопределять каждую службу systemd, которая не работает. У меня есть непривилегированные контейнеры для каждой службы, которую я запускаю, и пока не было необходимости создавать привилегированные контейнеры. Я попробую это позже в одном из своих контейнеров и посмотрю, как это сработает.

inxsible

Guest

06.01.2021 16:36:00

Я убрал переопределения единиц systemd, которые у меня были в одном из контейнеров Archlinux, и заменил их на конфигурацию lxc.apparmor.raw, которую предложил @wbumiller. Могу подтвердить, что единицы systemd НЕ завершаются с ошибкой. Это все еще обходное решение, но теперь оно касается только конфигурационного файла контейнера, а не множества отдельных файлов systemd. Спасибо еще раз.

inxsible

Guest

03.08.2021 18:00:00

Обновление: Вечером я обновил свои контейнеры на Archlinux, и после перезагрузки нескольких из них у меня снова не было сети. Это было неожиданно, поскольку у меня уже была настройка apparmor в конфигурационных файлах для этих контейнеров, как и рекомендовал @wbumiller в нескольких сообщениях выше. Я сделал еще небольшие исследования и затем включил функцию Nesting, и вуаля, сеть снова заработала. Для теста я удалил конфигурацию lxc.apparmor.raw из конфигурационного файла и перезагрузил, чтобы проверить, будет ли сеть опять работать, и она работала. Получается, что последнее обновление (я обновил как proxmox, так и systemd контейнера) не совместимо с конфигурацией, которую я настроил в январе. Теперь единственное, что нужно, это установить функцию Nesting для этого контейнера в разделе Опции-->Функции-->Редактировать-->Nesting. Я продолжу следить за этим контейнером, прежде чем перезагружать остальные контейнеры. Если все будет работать в течение следующих нескольких дней, я включу Nesting для каждого из них и удалю конфигурацию монтирования apparmor из конфигурационных файлов. Как уже упоминалось, все мои контейнеры являются непривилегированными, так что я могу включать Nesting, но если вы используете привилегированные контейнеры, возможно, вам стоит подождать.

fabian Guest	#7 0 04.08.2021 09:02:00 также смотрите наш список разработчиков для текущей работы по улучшению удобства использования: https://lists.proxmox.com/pipermail/pve-devel/2021-August/049615.html

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры