Podpora NAT v systemd

Lennart Poettering oznámil na Google+, že do systemd-nspawn a systemd-networkd přidal (commit, commit) podporu NAT (Network Address Translation). [Phoronix]

14.1.2015 22:00 | Ladislav Hagara | Zajímavý článek

Komentáře

[Lol Phirae]

Ještě větší magor, než jsme doufali...

[M]

+1

[Sixkill]

:)

[...]

mrdam na to. jdu vyvijet pro PS4 + steam.

[j]

+∞

[Sten]

Nebylo by jednodušší do systemd zakomponovat NetworkManager?

[mimi.vx]

od toho je tam networkd ...

[xkucf03]

Nikde tam nevidím podporu IPv6. Nebo jsem něco přehlédl?

[Sten]

Nepřehlédl. Lennart tam přidal podporu pro maškarádu a port forwarding. Ani jedno NAT66 neumí.

[knedla]

tak diskusia ci IPv6 potrebuje Nat je ..... na dlho :D

[pavlix]

Neměl Franta spíše namysli podporu IPv6 v kontejnerech?

[...]

tak diskuze by se mohla klidne stocit k tomu, ze nikdy nebudu platit zadnemu poskytovateli za pripojeni, ktere nema maskaradu nebo aspon isp-nat ciste z ideologickych duvodu.

[tomvec]

Ještě Bulánky a bude to kompletní...

[JZD]

To není možné. Bulánci stále nejedou?

[frdrx]

Nechápu co má kdo co namítat. Kdo provozuje containers to musí uvítat.

[M]

Nojo a co ti co containers neprovozují. Ti to taky musí uvítat?

[Václav "Darm" Novák]

Ti to můžou v klidu ignorovat.

[Rezza]

No ale cil je ten, ze vsichni budou kontejnery pouzivat :). Vsechno bude v kontejnerech!

[R]

Do kontajnera patri Systemd.

[lnykryn]

Tam samozřejmě poběží taky ;)

[Jendа]

Není mi jasné, to je NAT v userspace? Jak se to provozuje?

[Sten]

Ne, je to podpora pro nastavení iptables.

[xkucf03]

Je to mimo téma, ale: obecně věci kolem síťování si v userspace provozovat můžeš – viz VDE.

[Jardík]

Na phoronixu jsem narazil na hezkej obrázek: obr. zdroj.

[Ovoce]

Haha.

Jinak flame na 55 příspěvků během dopoledne - all acording to keikaku?

[Roslav]

Asi prva uzitocna vec, co vznikla z hnevu na systemd... Ale paci sa mi :D

[rastos]

Počkaj až uvidíš toto https://www.youtube.com/watch?v=VSbNumR9Z8k

[Olaf]

Na systemd mám neutrální názor, akorát včera jsem si všiml, že na webovém serveru (openSUSE) systemd vygeneroval v krátkém časovém intervalu cca 2500-3000 sessions (user root). Bug, chybka, nebo průnik? Ať tak či tak, dobré to nebylo.

[coder]

Zakaž logování do journálu a máš klid

[ikar]

+1

Zakázat logování do journalu je nezbytnost, pokud někdo používá systemd na serverech

[hermelin]

Nejsem zaprisahlym odpurcem systemd - zakladni myslenka spoustet sluzby pri bootu cisteji nez je pomoci skriptu je urcite chvalihodna. Ale proboha co je to za postizeny mysleni dat do systemd cron, ntp, syslog, udev, at, login atd atd . At udelaji rovnou distribuci Systemd linux. Tohle je proste hnus, ktery navic zacina zamorovat i hlavni distribuce.

[little.owl]

systemd je framework, ktery integruje/nahrazuje plno systemovych komponent, a tento proces bude pokracovat.

[Ivan]

Na jednu stranu se ted objevuji ruzne replay attack-y pro NTP anebo DNS, takze by asi davalo smysl nektere tyhle veci prepsat. Nektery ten stary kod zase neni tak kvalitni.

Na druhou stranu si pamatuju, ze kdyz jsem dopisoval neco do ISC DHCPD, tak tam bylo par hnusnych hacku, aby to vubec fungovalo s implementacemi, ktere nedodrzuji standarty. Neco podobneho ma i OpenSSL. A v tom prave vidim bunus toho stareho SW, nekdo uz investoval hrozne moc casu aby osetril pripady, ktere by nikdo nikoho nenapadly. Ted si tim budeme muset projit znovu, akorat to bude narocnejsi, protoze nova implementace je mnohem komplexnejsi.

[pavlix]

Přeju příjemnou zábavu.

[little.owl]

Tak horke to nebude, ale o tom, ze tam budou porodni prusery nepochybuji. Nova implementace nemusi byt mnohem komplexnejsi.

[Pavel Půlpán]

Aneb jak nahradit spoustu dlouhe roky funkcnich a stabilnich demonu jednim modularnim molochem...

[...]

vic zakladnich nedelitelnych komponent vic NSA.

[Jirka]

Na "pouhé" systemd je Lennarta škoda, měl by zkusit vytvořit celej operační systém. To ho zaměstná na dostatečně dlouhou dobu, bude tam moct nacpat úplně všechno, co ho napadne, linuxová komunita bude moci opět volně dýchat a používat léty prověřené postupy a příručky.

A teď do mě!

[R]

Vsak on uz cely operacny system robi, akurat len userspace bez jadra. Zatial.

[Ivan]

Ono to vypada, ze to nema zadnej cil a nikdy to nebude dokonceny. Jak asi bude vypadat systemd za 10 let? Kolik asi bude mit aktivne pouzivanych verzi?

[...]

za deset let uz nebude nikdo picovat, ani kdyby systemd obsahoval dosemu a emulatory 8bitu.

[pavlix]

Stejně jako se teď nijak zvlášť nenadává na všelijaké sračky v kernelu, libc a podobných.

[...]

Lennart nechce svoj operacny system. On chce tvoj operacny system.

[Jirka]

Trefa do černého.

[...]

sem zvedavy, kdy zacne Lennart tlacit na vyrobce HW, aby stare verze distra bez systemd nedokazaly na aktualnim HW nabootovat.

[Delaunay]

+2

[yindi]

Jsem zaprisahly odpurce Systemd a nevadi mi to. Nestydim se za to.

Vim proc ho nepotrebuji:

• Stare nastavovani mi funguje bez vetsich zadrhelu.
• Pokud si chci neco vymenit, koncepcne to neni problem.
• Boot time na laptopech i serverech vzdy odpovida danemu HW - kdyz ne, zpravidla je neco spatne nastavene.
• V mych pocitacich bezicich na linuxu se mi bezne stava, ze mam uptime v radu desitek i stovky dnu. Vcetne laptopu, ktery jen uspavam.

Subjektivne:

• Kdyz ctu PR na SystemD nemohu se zbavit dojmu, ze nekdo manipuluje, jen to proste neumi, jakoby vychodil jen prvni semestr medialnich studiji.

Zkusenost:

• Kvuli systemd jsem prestal pouzivat distribuce od Redhatu a jsem happy a nemam worry - a to je pro mne dulezite.
• SystemD jsem se snazil uz od pocatku zkoumat a brat pozitivne, ale administratorska zkusenost, hodiny zkoumani "co s tim je", stahovani zdrojaku a snahy pochopit "k cemu?" a "proc?" to ci ono..., mi velela "Na to kurva svou zivotni energii mrhat nebudu!"

[PanZvedavy]

a zvolena alternativa(bez systemd?) k distribucim od redhatu?

[j]

Nevim jak yindi, ja pouzivam zatim Gentoo, vypada to, ze by se jeste nejakou dobu mohlo temhle sragoram ubranit. Jako bonus pak nemusim resit rozesranej system s kazdou aktualizaci (debian).

[little.owl]

Gentoo jako produkcni system?

[pet]

A proč ne? My to dodáváme už léta a jede na tom celá firma včetně administrativy a nemáme vůbec žádný problém.

[j]

Uplne s klidem ... narozdil od binarniho distra se to nebojim patchout. Vali se mi tu nekde nejakej starej (minimalne 2-3 verze zpet) deb. "Nejak" to funguje, a nikdo na to radsi nesaha, protoze to stejne upgrade nepobere a tak maximalne se to cely podela.

[R]

Stare Debiany som upgradoval viackrat a vzdy sa to podarilo. Samozrejme, ze sa niekedy objavili problemy - ale vacsinou to boli nejake prasaciny, ktore tam niekto urobil a nevedel som o nich. Napriek tomu bol vzdy upgrade do par hodin hotovy.

Niekolko rokov neupgradovane Gentoo - to je praca pre vraha na niekolko dni.

[PanZvedavy]

mno gentoo neni alternativa k centos. Ja mam zatim vsude centos 6, ale samozrejme jak to starne, tak je to cim dal horsi s aktualnosti sw. Co jsem zkousel centos7 i s tim jejich systemd, tak me to presvedcilo ze nejpozdeji do 1-2 let budu muset najit nahradu a vsechno to predelat.

Kdyz ten vyvoj u linuxu posledni dobou pozoruji, tak je taky mozny, ze za ty 2 roky se vratim zpet na FreeBSD a nebudu mit moc jinou moznost.
Momentalne to vypada tak, ze se stavajicim vyvojem systemd bude mit linux za chvili 2 jadra. Jak bude dlouho trvat nez nekoho napadne do systemd narvat i kompletni userland?

[little.owl]

mno gentoo neni alternativa k centos.

A FreeBSD je?

[PanZvedavy]

s Fbsd to bylo mysleno spis vseobecne...

[pavlix]

mno gentoo neni alternativa k centos

Zvláštní, zrovna pro jedno použití právě mezi těmito dvěma vybírám.

[PanZvedavy]

zvlastni, pak je chyba na me strane...ja mel za to, ze gentoo je distro, ktery konstantne roluje nejnovejsi verze vseho moznyho a tudiz neni vhodny pro produkcni stroje, kde je alfou-omegou stabilita. Ale mozna je to jinak...

[Václav "Darm" Novák]

Proč by to měl být problém když máš kde otestovat updaty před nasazením? Nikdo nikoho nenutí updatovat neustále všechny balíky.

[mirec]

Na server by som to síce nenasadil ale na desktope sa mi zdá stabilné až až. Gentoo nie je arch. Najnovšie verzie bývajú maskované a stabilné gentoo je pekne testované.

[pavlix]

zvlastni, pak je chyba na me strane...

Zjevně.

ja mel za to, ze gentoo je distro, ktery konstantne roluje nejnovejsi verze vseho moznyho

Nejsem si zcela jistý, jak tuto větu interpretovat, takže na to těžko můžu nějak navázat.

[j]

A ja mel za to, ze co a na jakou verzi updatne, rozhoduje admin. Me prozmenu vadi, ze v binarnim distru budu mit 10let starou vykopavku, ktera se nedohodne s aktualnima klientama.

Gento takhle pouzivam na ostrych strojich minimalne 8 let, nijak zvlast to neresim, a jeste se mi nic nepodelalo. Jediny co je treba, aktualizovat v rozumnym intervalu. Jinak je to zkratka pracnejsi. Navic prave diky tomu, ze nove verze softu vychazeji prubezne, nemusim pak mesic resit, jak co prekonfigurovat s novou verzi naprosto vseho.

[AraxoN]

+1

Máme na serveroch výlučne Gentoo. Najstarší bol inštalovaný vo februári 2006 a dodnes funguje. Ba čo viac, je úplne aktuálny - aktuálne jadro, grub, init, knižnice, balíčky, démony, všetko.

Mali sme predtým rpm aj deb-based systémy a aj pri pravidelných aktualizáciách sa rozsypali za pár rokov. Najneskôr po skončení podpory danej vetvy a následnom neúspešnom upgrade.

[...]

kdyz nectes prirucky, tak nevis, ze mas na libc zavislosti pouzit aptitute a pak dist-upgrade, ale pozde bych honit.

[...]

bych -> bycha ... kurnik uz s tou cestinou

[j]

A co mas na centosu tak uzasnyho? Taky se mi tu vali. A presne stejne jako zminej deb, radsi na to nikdo nesaha. V tomto pripade okoreneno o to, ze na tom bezi cosi, co ma definovany verze cehosi (z hlavy nedam, ale urcite minimalne kernel) a patch by tudiz ved k tomu, ze to prestane fungovat.

[little.owl]

A co mas na centosu tak uzasnyho?

Ze je to klon RHEL.

[j]

A ???

[Sten]

Debian má také rolling updates, ve větvi testing

[pavlix]

Větev testing se mi nezdá jako rolling.

[frdrx]

Možná "delayed rolling", jestli takový pojem už někde existuje.

[pavlix]

Taky fakt.

[neklan]

No Debian 7 s nami jeste par let bude, pro me naprosto dostacujici. Co bude, az jeho podpora skonci? To se uvidi.

[ZiGi]

ja mam debian 8 a systmd tam nie je povinny, dokonca ani systemd-shim.

aj ked je pravda, ze v polednej dobe zacal strajkovat LXDE - na zaciatku vypise ze nema session, a pri odhlasovani chyba vypnut/reboot pocitac ...

[Bedňa]

a pri odhlasovani chyba vypnut/reboot pocitac ...

Môžeš použiť toto, ja osobne používam YAD, ale ten si musíš skompilovať.

[Nobody]

Slackware, to je jasne.

[vladky]

Suhlasim, dufam len ze sa Patrikovi podari udrzat dlhodobo slack bez systemd. Inak nejako sa vlecie vydanie noveho release.

[...]

SE DIVIS?

[j]

Prave mam pred sebou takovej pidiserver, jen raidovej radic nabiha asi dve minuty, celej proces startu, nez vubec zacne startovat OS, trva asi 5 minut. Resit, jestli bude OS startovat 10s nebo 30s? lol lol lol.

Pak mam pormerne neslusne naroky, kdy ocekavam, ze mi system nebude startovat nic, co nepotrebuju, a rozhodne mi nebude startovat zadne sitove sluzby, natoz pred startem firewallu. Zaroven mam tu drzost, ze pozaduji, abych si moh rozbity system trivilne jednoduse a klidne na prasaka opravit, protoze vim, ze ani support za miliony mi to neopravi v akceptovatelnem casovem horizontu (= desitky minut az jednotky hodin).

[pet]

> Prave mam pred sebou takovej pidiserver, jen raidovej radic nabiha asi dve minuty, celej proces startu, nez vubec zacne startovat OS, trva asi 5 minut.

Že by HP?

[drunkezz]

+1

[j]

To mas jedno, toho konkretne je nejakej fujitsu, ale mam tu i IBM, a DELL a je to vsude stejny, jen u vetsich stroju to trva o poznani dyl. Delli 5Ucka klido 15+ minut. Fakt by me zajimalo, jestli pocitaj erupce na slunci nebo atomovou bombu.

[martin]

chces politovat?

[mirec]

Ja som včera vďaka systemd preinštaloval systém. Akosi upgrade systemd nevyšiel (mám staršie jadro ktoré nemôžem kvôli driverom upgradnúť) a celé to krásne zostalo visieť kvôli podpore jadra. Človek by aspoň čakal, že keď už to nechce bootovať tak aspoň sa spustí shell, ale nie, nekonečne čaká na ttyS0 na ktorom nabieha konzola (to je dávno inicializované len si to nevie od jadra zistiť, vlastne je to inicializované ešte pred initom). Ach zlatý inittab ktorý jednoducho spustí getty a o viacej sa nestará.

[Jakub Galgonek]

Nebyla ta přeinstalace zbytečně unáhlená? Stačilo snad jen provést downgrade systemd, ne? Možností, jak to provést, by se jistě našlo několik (napadá mne použít liveCD anebo boot přímo do shellu).

[mirec]

Ako sa bootuje priamo do shellu (mám komerčný bootloader ktorý nemá možnosť editovať commandline a žiaden open source neexistuje)? Bootovať môžem z jediného zariadenia, lenže na tom zostal systém ktorý kôvli systemd nespustí ani shell. Nevidím tu moc možnosti na záchranu.

[pavlix]

Ako sa bootuje priamo do shellu (mám komerčný bootloader ktorý nemá možnosť editovať commandline a žiaden open source neexistuje)?

To bych viděl jako větší problém než celé systemd. Jak to myslíš, že neexistuje žádný open source boot loader, třeba by šel nějaký natáhnout z toho komerčního.

[mirec]

Šiel by. Lenže image systému sa bootoval len z komerčného bordelu a kým som to zmenil tak sa mi systém posral aktualizáciou systemd. Teda no už ani komerčný bordel to nie je lebo výrobca to dal na github, lenže zdrojáky sú hrozne napísané, komentáre v čínštine.

[Peter Golis]

Takže systemd je vinný za to, že si nedokázal spojazdniť iný zavádzač systému ako binárny zavádzač garantovaný výrobcom. To znie zaujímavo. Nalmä ak zoberieme do úvahy, že allwinner naštartuje bez problémov nielen z internej flash, ale aj s zľahka predžutej SD karty. Ak sa smiem spýtať, čo to bolo za železo?

[Bedňa]

Čo nerozumieš na vete

Ja som včera vďaka systemd preinštaloval systém. Akosi upgrade systemd nevyšiel

Jako mne systend už dávno žili netrhá, žijem bez neho a asi to už bez neho aj doklepem. Rovnako ignorujem Wayland a nikdy u mňa nebude doma. Mám rock stable desktop a nebudem to za svoj život už meniť. Opravári umreli, dnes čo je nové je cool. Zajtra bude colô iné a potom je tu skupina ľudí v ktorej nieje moderné nadávať na Xorg, ale ich opravovať a inovovať, to ale nieje cool.

[Peter Golis]

Vetu
Lenže image systému sa bootoval len z komerčného bordelu a kým som to zmenil tak sa mi systém posral aktualizáciou systemd.
si prehliadol asi iba omylom. Zdroj problému je v tom, že nevedel spustiť single keďže tam napchal bootloader ktorý nepoznal.
Ja si žijem s systemd bez problémov od leta 2013. Už je rok 2015. Rôznych initov som zažil požehnane, takže niekto čo nevie k čomu sa vyjadruje ma nerozhádže.

[.]

Kreativní výklad. Už nikam nic nepiš a snad ani nemluv.

[Bedňa]

Nečítam medzi riadkami, len to čo píše Mirec, skolaboval mu init a bez viery v daný init uveríš že je to prvý init ktorý dokáže havarovať.

[Peter Golis]

Kdesi som už písal, že som tých initov zažil požehnane. Teraz k tomu doplním len jedno: systemd je jediný init čo mi ešte nezhavaroval. Ale používam ho krátko, len približne rok a pol.

[Bedňa]

Pretože si tunim desktop, tak u mňa z nepochopiteľných dôvodov kolaboval, už som to tu spomínal, že to bolo tak náhodné, že aj nahlásenie chyby bolo problematické, tak som sa naň komplet vykašľal a bez emócií ma už len míňa.

[Peter Golis]

Pokiaľ priveľmi priškrtíš akúkoľvek konfiguráciu až za únosnú úroveň, tak celok bez problémov zhavaruje. Ale viniť za takýto užívateľský zásah do konfigurácie modulu eliminujúci kompatibilitu modulov ten modul ktorému si to spôsobil sám je trošku problematické.

[Bedňa]

Je to tak a pokiaľ sa stane pravdou to čo sa rozhodlo v Debian komunite, tak s tým bude ešte viac problémov pretože prakticky neexistuje predvolený init a bez pevne daných závislostí to bude robiť problémy. Ossobne si nesťažujem, ale budú problémy ak niekto bez overenia automaticky predpokladá závislosť ktorá tam ešte v unstable bola a teraz už nieje.

[Peter Golis]

Ak ti to vadí, tak používaj init=/bin/sh.

[...]

kdyz uz, tak sash nebo staticky linkovany busybox.

[mirec]

Dokázal som ho spojazdniť, ale nevidel som v tom dôvod. Nikdy sa mi systém s klasickým busybox initom nerozsypal. Ale to je jedno, aj tak som na tom skúšal akurát tizen s waylandom, takže som to preinštaloval 5 minút po tom čo sa mi ho podarilo dostať na NAND. A ehm SD slot nemám. Mikro SD áno ale niekde som ju asi stratil. Sakra prečo ich musia robiť tak malé?

[Peter Golis]

Takže ak to chápem správne, tak si migroval z busyboxu na plnohodnotný systém za jazdy. Keďže si občas prečítam tvoje blogy (to železo ma zaujíma), tak odhadujem že to bolo bez správcu balíčkov a bez prípravy. Také niečo zákonite musí zhavarovať a lepšou cestou je odskúšať bootstrap nanečisto z SD karty. Inak MicroSD karty sa stále predávajú s redukciou na SD kartu a púzdrom aby to človek nestratil.
Ak sa smiem spýtať, za ktorú túto chybu môže SystemD?

[mirec]

Nie, pracovne používam busybox. Tizen som skúšal tak, že som celý NAND prepísal. Ten pekne naštartoval, dokonca naštartoval aj wayland a skúšal som doinštalovať browser. Zypper chcel aktualizovať systemd tak som to odklepol a už nenabootoval lebo nový systemd so starým jadrom nefunguje a nemá ani žiaden fallback. A za ktorú chybu môže systemd? No začal by som tým, že nepovažujem za kokrektné správanie nespustiť nič ak kernel nepodporuje nejakú vlastnosť. Redukcie z mikro SD na klasickú mám (asi 5 kusov), ale nechce sa mi to stále zakladať.

[Peter Golis]

Také chovanie je v každom inite bez výnimky.

[dustin]

nepovažujem za kokrektné správanie nespustiť nič ak kernel nepodporuje nejakú vlastnosť

Tohle jsou přesně ty věci, které budou trvat pár let, než se na ně narazí a vychytají. Stejné jako to bylo s pulseaudiem. IMO je záměr vcelku rozumný, ale realizace zatím příliš syrová na běžné nasazení.

[mirec]

Hmm, pulseaudio je vychytané??? Ako neviem čo ostatní useri ale mne neustále prepisuje konfiguráky v /home/mirec/ konfigurákmi s rootovskými právami (aj keď som ich mal správne pod mojim účtom) a potom mi pod mojim účtom nefunguje pulseaudio. A ešte mi dosť často nejde mikrofón ale prehrávanie funguje (vtedy zase pomôže len vymazanie konfigurákov ktoré si to samo generuje).

[Peter Golis]

Na akej distrobúcii? Asi by bolo vhodné nahlásiť bug správcovi.

[mirec]

Nie je to problémom distribúcie. Videl som tento bug hlásený na viacerých bugzillach, vyzerá to ako upstream problém ktorý sa prejavuje ktovie kedy. Vyriešiť sa to dá napr. spustením ako daemon ale to sa mi vôbec nechce, zvuk používam max tak na skype.

[little.owl]

Co je to za HW platformu, pripadne board?

[mirec]

ARM (konkrétne allwinner) + NAND (kvôli tomu tam nie je ako bootloader u-boot).

[little.owl]

OK, to ze proprietarni primarni booloader je v takovem pripade uzamceny se stava, podobne zkusenosti mam ted s EVM od Nvidia. Resim to pouzitim uboot jako sekundarni bootloader, protoze kernel je behem vyvoje rozsypany pomerne casto a clovek se zbytecne pak dostava do neprijemnych situaci.

[Jakub Galgonek]

A jak jsi tam tedy vlastně spustil tu reinstalaci?

[mirec]

Cez FEL.

[ing. králik]

Paráda! To jsem rád! Ještě antivirák, defragmentaci disku a tiskovou frontu a je to! Je tak dál. Jen nechápu proč do toho nedají X-ka. To mě fakt štve!

[Josef Kufner]

X tam nedají, neboť tam za chvilku půjde Mir.

[lnykryn]

Než NAT mi z nových fičutr přijde zajímavější, že krom podpory GPT imagu teď systemd zvládá i MBR image a docker kontejnery.

[dustin]

Obávám se, že to "zvládá" bude platit až za pár let, až se z toho čerstvého kódu vychytají chyby. Jako u každého jiného projektu.

[stalin]

asi jako leonartovo pulseaudio, ktere ve verzi 4.0 nedokaze prehrava pres sit bez zaseku a skrceni co trha usi.

[Peter Golis]

Takže nahradil /usr/lib/systemd/iptables*.service? Trochu sa mi to bilo s fail2ban.service.

[Iggins]

A bude soucasti systemd i demon na rizeni vibraci dalkoveho analniho koliku?

[Slavko]

Chýba ešte systemd-gmail a systemd-facebook a bude to dokonalé. A potom (dúfam) ešte niekto pridá systemd-sharebanking a už sa to stane také božské, že si to budem môcť dovoliť prirovnať k Windows.

Ja týmto ďakujem všetkým, ktorí sa pričinili k tomu, že ešte stále existujú distrá bez systemd!

[stalin]

zapomel jste systemd-svchost