systemd 229

Vyšla verze 229 system manageru systemd. Hlavní novinkou je pravděpodobně podpora dnssec v systemd-resolved. Mezi další zajímavosti patří miniaturní init určený pro aplikační kontejnery, kde spuštěná služba není schopna běžet jako pid 1, nebo rozšíření journalctl, kde journalctl /dev/sda vypíše všechny logy k danému zařízení a k jeho rodičům.

11.2.2016 21:58 | lnykryn | Nová verze

Komentáře

[Sid]

Uz je to tu 15 minut a nic... Takto tych 300+ komentarov nedosiahneme.

[Jardík]

Super, už to kompiluju a nemůžu se dočkat.

[Zopper]

Už jedou?

[skunkOS]

Pouze s fglrx, jinak nic.

[olin]

Jako jestli už na tom běží Bulánci?

[pepe_]

Bulánci fungujou (zkusil sem na wine 1.8.1 ) a jednou.

[Xerces]

Tak on už je to system manager, hmmm.

[pet I.]

Jojo, roste to, za chvíli to bude doufám už operační systém a přestane to prudit v Linuxu

[pavlix]

Operační systém to brzo bude, ale o kernel bych se nebál, ten to bude ještě nějakou dobu potřebovat. :)

[Honz]

Kdy jede autobus...?

[Adam Pribyl]

On boot-up, when PID 1 detects that the system clock is behind the release date of the systemd version in use, the clock is now set to the latter.

To snad nemysli vazne?! Co kdyz ja CHCI starsi hodiny?!

[Lol Phirae]

Tak to máš prostě smůlu, odporný zpátečníku! Lennart is the timemaster!!!

[AraxoN]

Keď je rozpor medzi realitou a systemd, pravdu má vždy systemd.

[Kvakor]

Hmm, takže něco jako Stopařův průvodce z Addamsovy série:

Stopařův průvodce po Galaxii je nepostradatelný společník každého, kdo chce v tomto nekonečně složitém a matoucím vesmíru najít smysl života. I když nemůže poskytnout užitečné informace úplně o všem, přinejmenším uklidňuje tvrzením, že tam, kde je nepřesný, je alespoň autoritativně nepřesný. Tam, kde nacházíme vážnější rozpory, je to vždy skutečnost, kdo nemá pravdu.

[pavlix]

Je to open source, patchni si. Ale docela by mě zajímal důvod pro takový krok. Detekovat, že je v systému špatný čas a na základě toho nastavit jiný špatný čas, to bude asi opatření kvůli vypršení nějakých security dat, ne?

[Lol Phirae]

http://users.isc.org/~jreed/dnssec-guide/dnssec-guide.html#troubleshooting-incorrect-time

[Petr Ježek]

A co je dobrý čas? :)

[pavlix]

Tak já myslím, že časomíra je zrovna na unixových systémech docela dobře definována, v několika málo vzájemně přepočitatelných variantách.

[Ivan]

Delal jsem ve firme, kde se v ramci testovani behem dvou mesicu, zpracovala vsechna data, ktera protekla bankou za minuly mesic. Vsechno ridil scheduler, ktery udrzoval v systemu virtualni cas. Obcas vedlo k vyrokum, ktere bylo tezke pochopit. Napr: "Nemusime pospichat sest rano bude az v pondeli". Hadam ze testeri maji odted smulu.

[andree]

On boot-up ...

[pavlix]

Aniž bych se vyjadřoval ke konkrétní vlastnosti systemd, šikovný tester (minimálně jednoho takového znám) změní čas klidně i pro jedinou aplikaci v systému.

[j]

Ale to je uplne jedno, ze neco jde, jde o to, ze tahle sracka sama neco nekde meni, aniz by se jakkoli zeptala, jestli si to admin preje. Mam trebas jeden historickej stroj, kterej proste nezvlada aktualni datetime. A tak se tam udrzuje historickej, protoze tomu co na tom bezi je to uprdele. Pokud by mi neco pri startu zmenilo cas, tak se to zhrouti.

[pavlix]

Ale to je uplne jedno, ze neco jde...

Náhodou mně to docela zaujalo uvažuju, že to budu využívat, minimálně dokud Linux nezavede time namespaces. :)

[Jendа]

Jedná se o základ funkcionality umožňující na Linuxu provoz aplikací tzv. informační ekonomiky, tedy například časově omezených licencí. Pokud by každý mohl s časem na svém počítači libovolně manipulovat, byla by poškozena ekonomika.

[pavlix]

Jenom aby nedošlo k mýlce, ten DNSSEC je k dispozici jen aplikacím, které namísto DNS používají D-Bus rozhraní systemd. Ale maintaineři všech aplikací, co používají DNS se jistě postarají o přechod na D-Bus.

[lnykryn]

A aplikace které využívají nss.

[pavlix]

Jestli máš namysli nsswitch, tak ten se k DNS dotazům použít nedá, jen k forward/reverse nodename/servname dotazům a u těch zrovna není DNSSEC moc zajímavý. Pokud máš namysli network security services, tak tam nemám žádné informace.

[biolog]

Já myslel, že aplikace nepoužívají DNS, ale že používají knihovnu (libc?), která používá DNS. Pak stačí změnit takovou knihovnu.

Koukal jsem na zdrojáky hrstky programů a vždy používaly gethostname() nebo analogii v daném jazyce. Nepsali dekódování DNS paketů.

[pavlix]

Já myslel, že aplikace nepoužívají DNS, ale že používají knihovnu (libc?), která používá DNS.

Většina aplikací, které spoléhají na DNSSEC libc nepoužívá. Kdyby nic jiného, tak už jen z toho důvodu, že jsou res_*() funkce blokující, zatímco běžné DNS knihovny nabízejí neblokující volání.

Koukal jsem na zdrojáky hrstky programů a vždy používaly gethostname() nebo analogii v daném jazyce.

gethostname() vrací lokální hostname a s dotazy do DNS má jen máloco společného.

[lnykryn]

Spíš bylo myšleno getaddrinfo.

[pavlix]

To ale neumí dát odpovědi na DNS dotazy. A k tomu je blokující, což už jsem psal jako argument proti res_*, který na DNS dotazy odpovědět umí. V kontextu DNSSEC podle mě nemá smysl se getaddrinfo() nějak víc zabývat.

[biolog]

... zatímco běžné DNS knihovny nabízejí neblokující volání.

No ale to neodporuje, dokonce podporuje mé tvrzení, že aplikace DNS protokol nepoužívají a že používají knihovnu. A tedy pro podrporu D-Bus že stačí změnit ty knihovny, kterých je tucet, a ne aplikace, kterých jsou tisíce.

[Ondrej Santiago Zajicek]

A nebo taky nemenit vubec nic, akorat na stroji pustit lokalni, cachujici, DNSSEC validujici DNS server.

[pavlix]

+1

[pavlix]

No ale to neodporuje, dokonce podporuje mé tvrzení, že aplikace DNS protokol nepoužívají a že používají knihovnu.

To je slovíčkaření. Aplikace používají DNS knihovny, volají tedy API uspůsobené pro DNS a očekávají tomu odpovídající data.

A tedy pro podrporu D-Bus že stačí změnit ty knihovny, kterých je tucet, a ne aplikace, kterých jsou tisíce.

Teoreticky ano, pokud by se jednalo o překlad 1:1, i když představa vysvětlování autorům univerzálně funkčních DNS knihoven, že odteď mají na některých systémech namísto DNS konfigurovaného přes /etc/resolv.conf používat kontaktovat přes nějaké IPC nějakého systémového démona.

Ale Lennart se dost jasně vyjádřil, že nebude po D-Busu zpřístupňovat plné DNS, ale jen podmnožinou, kterou bude on sám považovat za užitečnou, takže je to taková sázka do loterie.

[biolog]

To je slovíčkaření. Aplikace používají DNS knihovny, volají tedy API uspůsobené pro DNS a očekávají tomu odpovídající data.

A tedy se aplikace nemusí měnit, protože nepoznají, že DNS knihovna nyní funguje jinak.

Teoreticky ano, pokud by se jednalo o překlad 1:1, i když představa vysvětlování autorům univerzálně funkčních DNS knihoven, že odteď mají na některých systémech namísto DNS konfigurovaného přes /etc/resolv.conf používat kontaktovat přes nějaké IPC nějakého systémového démona.

Souhlasím. Ale z toho akorát vyplývá, že změna knihoven nebude triviální. Ale bude to změna jen cca tuctu DNS knihoven. Já celou dobu tvrdím, že aplikace se měnit nemusí.

[pavlix]

Nebudu tě přesvědčovat.

[biolog]

Rád bych věděl, v čem se teda mýlím. To snad existují aplikace, které používají DNS netriviálním způsobem? A hrají ty aplikace roli? (Připomínám že IPX/SPX je taky pro pár lidí kriticky důležité, a přesto je to nepodstatný protokol.)

Měl jsem napsat explicitně, že aplikace nepoužívají DNS protokol, ani API specifické pro DNS. Jenom chcou přeložit jméno na IP adresu (ani to nemusí být IP adresa, na základě čeho můžou otevřít TCP spojení). Není to slovíčkaření.

[pavlix]

Jenom chcou přeložit jméno na IP adresu

Tím jsme bohužel zase na začátku a v tom případě se musím omluvit, mám lepší věci na práci.

[biolog]

Jo, dostali jsme se zase na začátek, ale nedozvěděli jsme se, proč autoři aplikací musí měnit svou aplikaci, když jejich DNS knihovna přešla na D-Bus. Rád bych byl poučen, ale sám jsem v téhle diskuzi ztratil hodně času. Pottering přes D-Bus nedává nějaké informace a není to 1:1, aplikace to nezajímá.

[j]

Se pavlixovi nedivim, aplikace kupodivu potrebujou daleko vic nez prelozit adresu na IP, ona ta aplikace kupodivu potrebuje treba srv, potrebuje treba mx, potrebuje treba ... bambiliony dalsich zaznamu.

A pokud se ptas, ktera aplikace to vsechno potrebuje, tak trebas kazdej "blbej" web browser. Nadto dns je stadard, a nikdo svepravnej nebude implementovat nejakej chorej lennartovo bazmek, aby pak podruhy implementoval stejne dns, protoze mu to nikde jinde nez na systemd krapu nebude fungovat.

[pavlix]

Se pavlixovi nedivim, aplikace kupodivu potrebujou daleko vic nez prelozit adresu na IP, ona ta aplikace kupodivu potrebuje treba srv, potrebuje treba mx, potrebuje treba ... bambiliony dalsich zaznamu.

Tak hlavně já se nepotřebuju hrabat v detailech. Byl jsem přítomen diskuzi na konferenci, ze které jasně vyplynulo, že se Lennart a lidi od security related aplikací v názoru na věc neshodují, a že se ani jedna strana nechystá svůj postoj přehodnotit. Mně osobně to stačí.

Nadto dns je stadard

Přesně tak. Sice DNS není všespásné a překlad jmen na IPv4 a IPv6 adresy implementuje značně neoptimálně.

Ale vzhledem k tomu, že hlavním cílem DNSSEC z pohledu security aplikací/knihoven není chránit IP adresy, které jsou samy více než náchylné na MITM, ale chránit právě další security data, tak nemám náladu na toto téma diskutovat s někým, kdo pořád mele o IP adresách.

Zvláště když máme existující řešení, které z pohledu aplikací splňuje všechny požadavky a pokud se objeví nějaký nový, standardizuje se jako rozšíření DNS a přidá se taky. Bavíme se tady o podpoře dlouhodobého řešení, které je pokryté standardy a není náchylné na to, že se za dva roky někdo znovu rozhodne, že chce dělat všechno jinak, jako už se tomu stalo mnohokrát v minulosti.

[biolog]

Tedy máme první skupinu: webové prohlížeče. Ty jsou notorické tím, že spoustu věcí, včetně DNS implementace, používají vlastní. Takže konverze na systemd-resolved se jich netýká - není nutná či žádoucí.

Pak tu máme druhou skupinu - aplikace které používají něco fajnového, co se Poettering rozhodl nezpřístupnit. Takže těchhle se konverze netýká, protože není možná.

Takže musíte najít nějaké aplikace, které používají DNS knihovnu, používají z ní informace které budou dostupné i přes D-Bus a přitom budou dostupné natolik jiným způsobem, že ten rozdíl nebude moci zakrýt ta knihovna. A ještě že takových programů je podstatné množství, jinak by pavlix nevzdychal: "Ale maintaineři všech aplikací, co používají DNS se jistě postarají o přechod na D-Bus.".

[pavlix]

Když už si mě bereš do huby, tak zkus psát něco, co má hlavu a patu.

[biolog]

A co teda píšu chybně? Má to hlavu a patu a je to k věci. Nebo je to ta situace o koze a voze? Nevím co s tím máte. Já se vážně snažím přijít na to, v čem je ta migrace problém. Možná máte v hlavě nějaký argument nebo informaci, ale neříkáte ho.

[pavlix]

Zatím se obávám, že vůbec není na co argumentovat.

[biolog]

Zopakoval jsem vaše argumenty, jak jsem je pochopil. Pokud jsem je pochopil špatně, řekněte a opravte mne. Na vaše argumenty jsem odpověděl testovatelnými tvrzeními a vy nic. Možná šlo o nedorozumění o čem se hádáme, ale ani na to jste nekývl. Zkrátka jsem asi něco řekl špatně, pavlix nepoví co. Já už nevím, jak vám mám vyjít vstříc.

[pavlix]

Dobrá, za hrubost se omlouvám. Nicméně v diskuzi stále nevidím smysl. Nemám pocit, že by zde bylo na co smysluplně reagovat.

[Zeryk]

je uz LibreOffice soucasti systemd?

[pavlix]

systemd-documents?

[R]

systemd-officed

[tomvec]

Toto je správná varianta. A za chvíli z toho bude druhý Emacs. Jen to jádro, jen to jádro...

PS: ještě ho blbouni popichujte a on to tam dá.

[pavlix]

Stačí zabundlovat Linux a upstream prohlásit za nepodporovaný.

[R]

A z Lennarta bude o par rokov "otec Linuxu" (ako Bill "otec internetu") :D

[mngnt]

Mozno Lennart kopne do vrtule a dokonci HURD...

[Petr Ježek]

Bezpochyby, díky systemd, jež mi nastartuje X, mohu nastartovat LO...

[pavel]

znovuobjevene kolo systemd-resolved preferuje Google Inc.

[little.owl]

Tech tesne integrovanych veci tam zacina byt az prilis a pomalu by bylo na case zacit specifikovat stabilni interfacy mezi jeho komponentama, aby se to dalo substituovat necim jinym ci uplne vypustit.

LP dela v posledni dobe vse proto aby me nahnal na stranu tech osklivych zapsklych zpatecnickych kritiku systemd ... .

[pavlix]

Moc korumpuje. :)

[x]

Tech tesne integrovanych veci tam zacina byt az prilis a pomalu by bylo na case zacit specifikovat stabilni interfacy mezi jeho komponentama, aby se to dalo substituovat necim jinym ci uplne vypustit.

https://www.freedesktop.org/wiki/Software/systemd/InterfacePortabilityAndStabilityChart/

[little.owl]

To je jen stabilni podmnozina verejnch interfacu nekterych komponent, s vyjimkout sd*.h jen konfiguracnich souboru a zprav na dbus-u, urcena pro aplikace mimo systemd. Na tomhle alternativni implementaci nekterych casti nelze stavet. FOSS je predevsim o spolupraci a LP by mel akceptovat, ze vzhledem k pozici kterou systemd ma v ekosystemu, to neni jen jeho piskoviste, kde si muze adhoc delat co chce. Tahle juggernaut-i strategie mela smysl na pocatku, kdy se nahrazovat init a par veci okolo, ale jak systemd zacina zasahovat i do dalsich oblasti, je to spise kontraproduktivni.

[pavlix]

Peklo zamrzlo.

[little.owl]

Pohar preteka ...

[pavlix]

A víš co, mám to v hlavě celou dobu, tak se z toho vypíšu.

Já to říkal!

[mirec]

+ 1

Ten základ teda správa služieb je v systemd super. Unity sú oproti init skriptom z debianu luxusné. Ale tých milion ďalších vecí ktoré sa na systemd nabaľujú a prístup autora pozitíva pekne zatieni.

[Ondrej Santiago Zajicek]

Unity sú oproti init skriptom z debianu luxusné

No jo, jenze to je spis problem debianich skriptu, nez initu jako takoveho. Treba initscripty v OpenWrt jsou velmi prehledne a pritom daleko pruznejsi nez unity ze systemd.

[pavlix]

To obvykle i v Gentoo.

[j]

Jenze to pak muzes snadno opravit, a to by nebyla ta spravna magie. Hlavne pak potrebujes binarni logy, to aby sis je nemel jak precist.

Apropos, je to tejden, co byl dodavatel prekvapen tim, ze mu neco "samo" startuje pod rukama. Presto ze to stopnul ...

[pavlix]

Koncept binárních a třeba i strukturovaných logů mi vyhovuje, stejně jako koncept flexibility konfigurace, kdy můžu držet logy jen v RAM nebo na disku podle potřeby. Jiná věc je samozřejmě hodnotit konkrétní designová rozhodnutí a konkrétní implementaci.

[little.owl]

[Petr Ježek]

No, testovat povypínání zbytečných služeb by měl být základní krok zkušenějšího uživatele. Já toho v Archu mohu povypínat překvapivě dost...

[koroptev]

Hm; takze je to integralni giganticka soucast systemu, ktera je pro uzivatele, ktery system nepouziva kvuli sprave systemu, zcela neviditelna. A stav domrdano in progresd na neurcito. Year of the linux desktop.

[Hanna]

Pokud máš namysli network security services, tak tam nemám žádné informace 192.168.1.1 192.168.1.1 192.168.1.1 192.168.1.1