ALT Linux Bugzilla – Full Text Bug Listing
| Summary: | После dist-upgrade с репозитория p10 не работает pve-firewall | ||
|---|---|---|---|
| Product: | Branch p10 | Reporter: | Никита <nikizzzz> |
| Component: | pve-firewall | Assignee: | Alexey Shabalin <shaba> |
| Status: | CLOSED FIXED | QA Contact: | qa-p10 <qa-p10> |
| Severity: | major | ||
| Priority: | P5 | CC: | alimektor, andy |
| Version: | не указана | ||
| Hardware: | x86_64 | ||
| OS: | Linux | ||
|
Description
Никита
2023-02-27 12:44:06 MSK
Во-первых, почему бага повешена на версию 10.1, хотя речь идёт про 10.0, которая уже устарела? Во-вторых, при любом обновлении (а, тем более, при смене бранча) необходимо обновлять ядро (update-kernel). В-третьих, переход p10->Sisyphus в данном случае не тестировался и не поддерживается. Для стабильной работы используйте p10. 1. Версия в /etc/os-release значится 10.1, поэтому бага повешена на 10.1 2. Касательно репозитория написал некорректно, все обновление происходило в рамках одной ветки p10, репозиторий не менялся. Ветка sysiphus не использовалась. 3. update-kernel std-def обновил ядро до 5.10.168-std-def-alt1, версия pve-firewall по прежнему 4.2.6-alt2. Проблема сохраняется с теми же симптомами. Ситуативное решение также подходит то же самое. Переходить на un-def без острой на то необходимости не хотелось бы. Пожалуйста, попробуйте pve-firewall из задания #315983: # apt-repo test 315983 И хотелось бы более полного описания процедуры: "произведено включение pve-firewall через WebGUI PVE", а именно, какие правила создаются, чтобы можно было воспроизвести. Другим способом решения проблемы является переход на ядро 5.15: update-kernel -t un-def Про описание процедуры с WebGUI PVE: для включения выставляю параметр Датацентр -> Брандмауэр -> Параметры -> Брандмауэр: Да. ошибка появляется в журнале pve-firewall.service даже в отсутствии каких-либо правил. Для воспроизведения достаточно создать правило блокирующее, например, icmp или ssh с какого-либо ipset (создаем ipset с 1-2 IP в WebGUI PVE). Ошибка имеет места, блокировка не срабатывает. apt-repo test 315983 - помогло, в данной сборке работает корректно, проверено с теми же ipset и через группы безопасности. Переход на 5.15 нежелателен с точки зрения консервативного использования в продакшне в будущем. Ожидается ли решение вопроса для 5.10 (например посредством добавления собранного Вами пакета релиза alt3 в репозиторий p10) или стоит смириться с необходимостью перехода на un-def? 5.10 и 5.15 ядра являются LTS, практически с одинаковым сроком поддержки, так что переход на 5.15 никак на стабильность не повлияет. Оригинальный Proxmox поставляется с ядром 5.15. Исправления в pve-firewall отправлены в p10, но из-за тестирования попадут туда не раньше, чем через 2 недели. Воспроизведена в P10 на ALT Server 10.1. Не проверялось в Sisyphus. Исправлено в 4.2.6-alt3 в p10: Tue Feb 28 2023 Andrew A. Vasilyev <andy@altlinux> 4.2.6-alt3 - ipset: support old 5.10 kernel too, no bucketsize |
