Аспро: ЛайтШоп [тема: PSA -- Не обновляйте до systemd 247]

PSA -- Не обновляйте до systemd 247

Wed, 04 Aug 2021 09:02:00 +0300

PSA -- Не обновляйте до systemd 247 Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
также смотрите наш список разработчиков для текущей работы по улучшению удобства использования: https://lists.proxmox.com/pipermail/pve-devel/2021-August/049615.html
04.08.2021 09:02:00, fabian.

PSA -- Не обновляйте до systemd 247

Tue, 03 Aug 2021 18:00:00 +0300

PSA -- Не обновляйте до systemd 247 Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Обновление: Вечером я обновил свои контейнеры на Archlinux, и после перезагрузки нескольких из них у меня снова не было сети. Это было неожиданно, поскольку у меня уже была настройка apparmor в конфигурационных файлах для этих контейнеров, как и рекомендовал @wbumiller в нескольких сообщениях выше. Я сделал еще небольшие исследования и затем включил функцию Nesting, и вуаля, сеть снова заработала. Для теста я удалил конфигурацию lxc.apparmor.raw из конфигурационного файла и перезагрузил, чтобы проверить, будет ли сеть опять работать, и она работала. Получается, что последнее обновление (я обновил как proxmox, так и systemd контейнера) не совместимо с конфигурацией, которую я настроил в январе. Теперь единственное, что нужно, это установить функцию Nesting для этого контейнера в разделе Опции-->Функции-->Редактировать-->Nesting. Я продолжу следить за этим контейнером, прежде чем перезагружать остальные контейнеры. Если все будет работать в течение следующих нескольких дней, я включу Nesting для каждого из них и удалю конфигурацию монтирования apparmor из конфигурационных файлов. Как уже упоминалось, все мои контейнеры являются непривилегированными, так что я могу включать Nesting, но если вы используете привилегированные контейнеры, возможно, вам стоит подождать.
03.08.2021 18:00:00, inxsible.

PSA -- Не обновляйте до systemd 247

Wed, 06 Jan 2021 16:36:00 +0300

PSA -- Не обновляйте до systemd 247 Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Я убрал переопределения единиц systemd, которые у меня были в одном из контейнеров Archlinux, и заменил их на конфигурацию lxc.apparmor.raw, которую предложил @wbumiller. Могу подтвердить, что единицы systemd НЕ завершаются с ошибкой. Это все еще обходное решение, но теперь оно касается только конфигурационного файла контейнера, а не множества отдельных файлов systemd. Спасибо еще раз.
06.01.2021 16:36:00, inxsible.

PSA -- Не обновляйте до systemd 247

Tue, 05 Jan 2021 16:06:00 +0300

PSA -- Не обновляйте до systemd 247 Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Спасибо @wbumiller, ваше объяснение имеет смысл. Определенно лучше просто внести одно изменение в конфигурационный файл контейнера, чем переопределять каждую службу systemd, которая не работает. У меня есть непривилегированные контейнеры для каждой службы, которую я запускаю, и пока не было необходимости создавать привилегированные контейнеры. Я попробую это позже в одном из своих контейнеров и посмотрю, как это сработает.
05.01.2021 16:06:00, inxsible.

PSA -- Не обновляйте до systemd 247

Tue, 05 Jan 2021 10:51:00 +0300

PSA -- Не обновляйте до systemd 247 Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Альтернатива переопределениям systemd заключается в том, чтобы позволить systemd делать свое дело (но я рекомендую это только для непользовательских контейнеров) через Код: # Добавить в /etc/pve/lxc/.conf
lxc.apparmor.raw: mount fstype=proc options=(nosuid,nodev,noexec,rw) -> /run/systemd/unit-root/proc/, (Обратите внимание на в конце запятую!) Подобные вещи, вероятно, будут происходить с каждым новым релизом systemd. Systemd продолжит использовать много комбинаций опций монтирования, и единственный способ разрешить их все — это либо разрешить слишком много (что вызывает проблемы с безопасностью...), либо явно перечислить все комбинации... (lxc в настоящее время генерирует большое количество правил на лету для привязанных монтирований, в частности, также в ответ на systemd, но полноценные монтирования proc пока еще не охвачены). По умолчанию некоторые правила монтирования ограничены определенными путями, поскольку доступ к некоторым частям этих файловых систем также ограничен, и это можно сделать только по пути, поэтому монтирование в другом месте требует особой осторожности. `/proc/sys/kernel`, например, запрещен правилами apparmor, так что в этом случае стоит это учитывать. Однако это проблема только с привилегированными контейнерами. В общем, это значит, что контейнеры arch время от времени потребуют дополнительных разрешений, поэтому я и рекомендую оставаться на непользовательских контейнерах и тем самым "переносить" некоторые меры безопасности с apparmor на реализацию именованных пространств пользователя ядра. У нас здесь нет много волшебства в качестве альтернативы.
05.01.2021 10:51:00, wbumiller.

PSA -- Не обновляйте до systemd 247

Mon, 04 Jan 2021 11:13:00 +0300

PSA -- Не обновляйте до systemd 247 Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Повторяющаяся тема. Спасибо за обходное решение.
04.01.2021 11:13:00, nhand42.

PSA -- Не обновляйте до systemd 247

Fri, 18 Dec 2020 21:17:00 +0300

PSA -- Не обновляйте до systemd 247 Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
У меня есть несколько контейнеров LXC на Archlinux, и после обновления одного из них у меня пропала сеть после перезагрузки этого контейнера. Я запустил новый контейнер для отладки, обновил пакеты Archlinux, и systemd был обновлен до 247. В процессе расследования я обнаружил, что несколько служб systemd не работают. Код: [checkarch: ~]── - systemctl --version

systemd 247 (247.2-1-arch)

+PAM +AUDIT -SELINUX -IMA -APPARMOR +SMACK -SYSVINIT +UTMP +LIBCRYPTSETUP +GCRYPT +GNUTLS +ACL +XZ +LZ4 +ZSTD +SECCOMP +BLKID +ELFUTILS +KMOD +IDN2 -IDN +PCRE2 default-hierarchy=hybrid Код: [checkarch: ~]── - статус systemd-networkd
* systemd-networkd.service - Служба сети
Загружено: загружено (/usr/lib/systemd/system/systemd-networkd.service; включено; предустановлено производителем: включено)
Активно: неработает (Результат: код выхода) с пт 2020-12-18 16:02:11 UTC; 3ч 39мин назад
Запущено: * systemd-networkd.socket
Документы: man:systemd-networkd.service(8)
Процесс: 347 ExecStart=/usr/lib/systemd/systemd-networkd (код=вышел, статус=226/NAMESPACE)
Основной PID: 347 (код=вышел, статус=226/NAMESPACE)

18 дек 16:02:11 checkarch systemd[1]: systemd-networkd.service: Основной процесс вышел, код=вышел, статус=226/NAMESPACE
18 дек 16:02:11 checkarch systemd[1]: systemd-networkd.service: Неудача с результатом 'код выхода'.
18 дек 16:02:11 checkarch systemd[1]: Не удалось запустить службу сети.
18 дек 16:02:11 checkarch systemd[1]: systemd-networkd.service: Запланировано задание перезапуска, счетчик перезапусков равен 5.
18 дек 16:02:11 checkarch systemd[1]: Служба сети остановлена.
18 дек 16:02:11 checkarch systemd[1]: systemd-networkd.service: Запрос на запуск повторялся слишком быстро.
18 дек 16:02:11 checkarch systemd[1]: systemd-networkd.service: Неудача с результатом 'код выхода'.
18 дек 16:02:11 checkarch systemd[1]: Не удалось запустить службу сети. Никакие усилия не помогли запустить интерфейсы. В конце концов, я понял, что каждая служба systemd, которая не работает, нуждается в переопределении, чтобы разрешить монтирование /proc вместе с /sys Код: sudo systemctl edit systemd-networkd ИЛИ Код: sudo vim /etc/systemd/system/systemd-networkd.service.d/override.conf Добавьте следующее в override.conf Код: [Service]
BindReadOnlyPaths= /sys /proc Сохраните и затем перезапустите службу, и она должна запуститься. Проблема в том, что есть много служб, которые не работают, и вам, возможно, придется переопределить каждую из них в зависимости от ваших нужд. Я думаю, что причина этой проблемы в различии между хостом (proxmox) и гостем (archlinux). У меня есть другие компьютеры на Archlinux, которые не испытывали проблем во время обновлений. Так что лучше избегать обновления systemd на ваших контейнерах — особенно если дистрибутив контейнера является постоянно обновляемым. Надеюсь, это поможет!
18.12.2020 21:17:00, inxsible.