主页 / user-497724

Bogey Jammer's questions

Martin Hope
Bogey Jammer
Asked: 2024-08-28 01:01:54 +0800 CST
  • 5

我正在设置一台迷你电脑（无品牌的 Protectli vault，可能是 Yangling 原版）用作家用路由器。一旦我手动解决一些启动问题，目前一切基本都能按预期工作。我的 nftables 规则需要存在一个内部桥接器，该桥接器将一些以太网端口连接到家庭主机，才能成功应用。但在启动序列的这一刻，这个桥接器还不存在。因此 nftables 无法加载规则，我需要在每次启动后手动重新加载它们，这非常不方便且有风险。

  • 操作系统：Archlinux
  • 防火墙：nftables 配置文件（无前端）
  • 网络管理器：systemd-networkd（netctl 也已配置并待命以防万一）
  • DHCP + DNS： dnsmasq
  • Wifi 接入点管理：hostapd

我在网桥和通向 WAN 的接口之间使用 IP 转发，因此 nftables 需要网桥。这部分的规则就这么简单：

table inet FILTER {
        chain FORWARD {
                type filter hook forward priority filter
                policy drop

                ct state established,related accept

                # It fails here:
                iif "br0" oif "enp1s0" accept
        }
}
table ip NAT {

        chain PREROUTE {
                type nat hook prerouting priority dstnat
                policy accept
        }

        chain POSTROUTE {
                type nat hook postrouting priority srcnat
                policy accept

                oif "enp1s0" masquerade
        }
}

Systemd-networkd 应该自动设置系统以进行 IP 转发（nftables 规则 + sysctl net.ipv4.ip_forward），但由于未知原因，它在某个时候完全失去了这种能力，所以我不得不自己启用nftables.service并填充 IP 转发规则。我记得我见过 systemd-networkd 生成的规则，它们非常复杂，以至于我无法解释（并记住）它们。也许这些规则是防止启动问题的正确规则？

此外，在默认配置中，nftables.service设置为在network-pre.target之前启动，而netctl/systemd-networkd 则在之后启动。我可能想交换顺序，但我担心会破坏安全性或不遵循良好做法。

还能做什么？

networking
Martin Hope
Bogey Jammer
Asked: 2024-06-21 05:17:37 +0800 CST
  • 6

/etc/mkinitcpio.d/由于我使用自定义 mkinitcpio 预设来生成 UKI，因此我删除了系统安装期间附带的默认预设文件。

不幸的是，当 pacman 更新内核时，默认预设文件会恢复，并且关联的 initramfs 映像会自动在我的 UKI 上重新创建。轻微的后果是浪费了我的启动分区上的空间，而严重的后果是如果我在关机前忘记删除不需要的映像，我将无法再次启动我的系统。

我还没有找到如何触发预设文件的创建。Linux 内核包文件不包含它。但是有一个骨架预设，/usr/share/mkinitcpio/hook.preset但我不知道它是否真的在内核更新期间使用，以及如何防止生成新的预设。

arch-linux
Martin Hope
Bogey Jammer
Asked: 2021-10-30 14:28:09 +0800 CST
  • 0

我在 Raspberry Pi 4 上使用 Debian 11（图片在这里找到）。sshd 已正确配置（我只编辑了 /etc/ssh/sshd_config，其余部分完全来自系统安装）并且在我手动启动时可以正常工作。但是它不会在启动时由 systemd 自动启动。sudo systemctl status sshd返回：

● ssh.service - OpenBSD Secure Shell server
     Loaded: loaded (/lib/systemd/system/ssh.service; enabled; vendor preset: enabled)
     Active: inactive (dead)
       Docs: man:sshd(8)
             man:sshd_config(5)

journalctl 的输出中没有与 ssh 相关的内容。

这是/lib/systemd/system/ssh.service的内容：

[Unit]
Description=OpenBSD Secure Shell server
Documentation=man:sshd(8) man:sshd_config(5)
After=network.target auditd.service
ConditionPathExists=!/etc/ssh/sshd_not_to_be_run

[Service]
EnvironmentFile=-/etc/default/ssh
ExecStartPre=/usr/sbin/sshd -t
ExecStart=/usr/sbin/sshd -D $SSHD_OPTS
ExecReload=/usr/sbin/sshd -t
ExecReload=/bin/kill -HUP $MAINPID
KillMode=process
Restart=on-failure
RestartPreventExitStatus=255
Type=notify
RuntimeDirectory=sshd
RuntimeDirectoryMode=0755

[Install]
WantedBy=multi-user.target
Alias=sshd.service

文件sshd_not_to_be_run不存在。network.target处于活动状态。我还安装了 auditd 只是为了进行故障排除，它自动成功启动，但重启后 ssh.service 仍然死机。

我没有主意了……

更新：

我刚刚发现每次连接需求都会产生一个 sshd 进程。它由 systemd 自己管理，当一些外国计算机尝试连接到我的时，它清楚地打印在日志中：

oct. 30 13:09:30 RaspServeur systemd[1]: Started OpenBSD Secure Shell server per-connection daemon (117.68.2.55:45784).
░░ Subject: L'unité (unit) [email protected]:22-117.68.2.55:45784.service a terminé son démarrage
░░ Defined-By: systemd
░░ Support: https://www.debian.org/support
░░ 
░░ L'unité (unit) [email protected]:22-117.68.2.55:45784.service a terminé son démarrage, avec le résultat done.
oct. 30 13:09:30 RaspServeur audit[1]: SERVICE_START pid=1 uid=0 auid=4294967295 ses=4294967295 subj==unconfined msg='[email protected]:22-117.68.2.55:45784 comm="systemd" exe="/usr/lib/systemd/systemd" ho>
oct. 30 13:09:33 RaspServeur sshd[1861]: error: kex_exchange_identification: Connection closed by remote host
oct. 30 13:09:33 RaspServeur sshd[1861]: Connection closed by 117.68.2.55 port 45784
oct. 30 13:09:33 RaspServeur systemd[1]: [email protected]:22-117.68.2.55:45784.service: Succeeded.
░░ Subject: Unit succeeded
░░ Defined-By: systemd
░░ Support: https://www.debian.org/support
░░ 
░░ The unit [email protected]:22-117.68.2.55:45784.service has successfully entered the 'dead' state.
oct. 30 13:09:33 RaspServeur audit[1]: SERVICE_STOP pid=1 uid=0 auid=4294967295 ses=4294967295 subj==unconfined msg='[email protected]:22-117.68.2.55:45784 comm="systemd" exe="/usr/lib/systemd/systemd" hos>

这就像 sshd 的并行安装存在默认配置。如果不手动启动 sshd.service，我自己的配置（例如要使用的特定端口号）将无法工作。但是我可以使用默认端口成功连接到那个影子 sshd，并且systemctl status sshd仍然报告一个死服务......

情况变得令人毛骨悚然，我现在只需两根手指即可擦除 SD 卡并安装另一个预配置较少的发行版的映像。

systemd startup