Dotaz: Po upgradu OS nestartuje shorewall: ERROR: iptables-restore Failed

[tazatel]

Ahoj. Po upgradu centosu 7 mi nechce startovat shorewall (btw. shorewall nebyl mezi updatovanými). Jako první jsem vyloučil selinux (vypnul jsem). Nicméně po rebootu mám v logu shorewallu:

ERROR: iptables-restore Failed. Input is in /var/lib/shorewall/.iptables-restore-input

A to bez další specifikace či uvedení řádku, v čem má iptables-restore problém. Zvláštní je, že po nabootování lze shorewall nastartovat či restartovat normálně. Problém je jen se spouštěním při bootu. Na tomhle serveru nemám moc prostor k experimentování a hledání příčiny. Nesetkal jste se s tím někdo?

Odpovědi

[Michal Kubeček]

Zkoušel jste spustit iptables-restore s tím souborem ručně?

[tazatel]

Ano. Bez problému se pravidla načtou během zlomku vteřiny.

[tazatel]

Tak jsem se dobral k tomu, že to nestartuje z důvodu, že "another app is currently holding xtables lock". Zkusil jsem dát iptables-restore do systemd unity execstartu za start shorewallu a to projde, takže problém je pokud se to pouští uvnitř shorewallu a jen při bootu. Problém bude asi v tom, že zároveň s tím se spouští shorewall6, který těsně před tím vytvoří zámek. Nějak nevím, proč se to objevilo až teď. Zkusím najít nejméně hloupý workaround a postnu to sem, kdyby měl někdo stejný problém.

[petr_p]

Program iptables má kvůli tomuto parametr --wait. Nicméně iptables-restore ne. Těžko říci, jestli to je záměr, nebo chyba.

[tazatel]

iptables-restore má také parametr -w, minimálně na posledním CentOSu 7.

[tazatel]

Tak nejméně bolestivé je následující:
Vytvořit adresář /etc/systemd/system/shorewall6.service.d, v něm soubor override.conf s obsahem:

[Unit]
After=shorewall.service

Reloadnout systemd a reenablovat shorewall6.

[petr_p]

Asi jej do RHELu aktivně přidali, protože v upstreamu se objevil až po vydání 1.6.1, což je momentálně poslední verze.

[tazatel]

JJ, koukal jsem do changelogu, že je to relativně nedávno přidané.

[pavele]

Zkusil jsi start s původním kernelem?