Netzwerk alle paar Tage weg. Proxmox und VMs nicht mehr erreichbar

[Arpxqq]

Danke Sehr Falk für die Ausführliche Erklärung und die aufgebrachte Zeit !

Natürlich gilt es immer aktuell zu bleiben, so wie auch alle anderen Sachen nachzuziehen.

So wie es scheint macht das Intel Tool bei mir Probleme :

Non-Volatile Memory (NVM) Update Utility for Intel® Ethernet Network Adapter X550 Series

Dies meldet immer folgendes :



Verbaut ist bei mir folgendes Board :

https://www.asrockrack.com/general/productdetail.asp?Model=X470D4U2-2T#Specifications


Kommt das Intel Tool hier nicht zurecht oder wird wie in einigen Foren beschrieben auch noch auf andere Tools zurückgegriffen ?

Wie bist du immer vorgegangen wenn ich fragen darf bei den Firmware Upgrades ?

Grüsse

Arp

 

[Falk R.]

Danke Sehr Falk für die Ausführliche Erklärung und die aufgebrachte Zeit !

Natürlich gilt es immer aktuell zu bleiben, so wie auch alle anderen Sachen nachzuziehen.

So wie es scheint macht das Intel Tool bei mir Probleme :

Non-Volatile Memory (NVM) Update Utility for Intel® Ethernet Network Adapter X550 Series

Dies meldet immer folgendes :

View attachment 90433

Verbaut ist bei mir folgendes Board :

https://www.asrockrack.com/general/productdetail.asp?Model=X470D4U2-2T#Specifications


Kommt das Intel Tool hier nicht zurecht oder wird wie in einigen Foren beschrieben auch noch auf andere Tools zurückgegriffen ?

Wie bist du immer vorgegangen wenn ich fragen darf bei den Firmware Upgrades ?

Grüsse

Arp

Hi, oft update ich die Firmware bei Servern über die BMC der Hersteller. (iDRAC, iLO, etc.)
Bei allen anderen bevorzuge ich die Methode über die EFI Shell, da braucht mein keine Tools die zicken. Da lief bis jetzt jedes Firmware Update sauber.

 

[An.drea]

Hier scheint folgendes zu helfen
post-up ethtool -K enp0s25 gso off tso off rxvlan off txvlan off gro off tx off rx off sg off

 

[Arpxqq]

Ich habe nun die EFI Files bereit gemacht und werde ein Upgrade über die EFI Shell durchführen, aber ich denke es wird die selbe Meldung kommen : "Update not available"

Hier scheint folgendes zu helfen
post-up ethtool -K enp0s25 gso off tso off rxvlan off txvlan off gro off tx off rx off sg off

Den Offload habe ich bereits deaktiviert beim start über /etc/network/interfaces

Mal schauen was die EFI Sache rausschmeisst

 

[Arpxqq]

Genau die selbe Reaktion :

 

[Falk R.]

Wenn es nix neueres von Intel als das von 2024 gibt, dann ist die NIC aktuell.
Ich hatte letztens mit X550 Base-T Nics, auch Probleme bei iSCSI auf einem ESXi. Auch da haben keine Updates geholfen. Wir haben nachher gegen Broadcom NICs getauscht.

 

[Arpxqq]

Hallo Falk danke dir sehr für die Infos !!

Naja irgendwie geht das mir nicht auf im Kopf wenn ich damals das Board extra genau wegen den 2x10gb Ports gekauft habe, ich sehe da fast keinen Sinn nur deswegen eine neue NIC einzubauen.

Welche Lösung würdest du denn in Betracht ziehen an meiner Stelle ?

- Offloading deaktiviert lassen (falls dies wirklich das Problem ist)
- Direkt auf den 6.14 Kernel wechseln und hoffen
- Oder halt wieder zum 6.8.12-8 Kernel, da war alles perfekt was aber bestimmt auch nicht so schlau ist

Ich meine wenn die Offloading Funktion nicht Zuviel Einbussen hat soll es mich nicht stören, dann bin ich fein damit, lieber bleib ich auf dem aktuellen Kernel

Grüsse und vielen Dank !

 

[MarkusKo]

Falls die CPU halbwegs aktuell und auf dem System wenig Last drauf ist würde ich Offloading deaktivieren, sollte von der Performance her nicht allzu viel Unterschied machen und kostet dich nichts außer etwas Zeit zum Umstellen / Testen.

Im 6.14er Kernel ist das e1000e Problem (falls es das ist) nicht gelöst, ansonsten bleibt dir derzeit nur die Option, wie du schon geschrieben hast den 6.8.12er Kernel zu verwenden, oder die Netzwerkkarte zu tauschen, eventuell was von Broadcom?

 

[Falk R.]

Hallo Falk danke dir sehr für die Infos !!

Naja irgendwie geht das mir nicht auf im Kopf wenn ich damals das Board extra genau wegen den 2x10gb Ports gekauft habe, ich sehe da fast keinen Sinn nur deswegen eine neue NIC einzubauen.

Welche Lösung würdest du denn in Betracht ziehen an meiner Stelle ?

- Offloading deaktiviert lassen (falls dies wirklich das Problem ist)
- Direkt auf den 6.14 Kernel wechseln und hoffen
- Oder halt wieder zum 6.8.12-8 Kernel, da war alles perfekt was aber bestimmt auch nicht so schlau ist

Ich meine wenn die Offloading Funktion nicht Zuviel Einbussen hat soll es mich nicht stören, dann bin ich fein damit, lieber bleib ich auf dem aktuellen Kernel

Grüsse und vielen Dank !

Ich würde den 6.14er auf jeden Fall testen. Anpinnen kannst du den alten danach immer noch. Ich habe wegen Intel NICs auch schon produktive Server fast ein Jahr mit älterem angepinnten Kernel laufen lassen. Manchmal ist das halt so.

 

[Johannes S]

Ich würde den 6.14er auf jeden Fall testen. Anpinnen kannst du den alten danach immer noch. Ich habe wegen Intel NICs auch schon produktive Server fast ein Jahr mit älterem angepinnten Kernel laufen lassen. Manchmal ist das halt so.

Aber trotzdem nicht unproblematisch, weil man dann immer noch enventuelle sicherheitsrelevanten Bugs hat, die im neuen Kernel gefixt wurden. Darum empfiehlt der Kernel-Entwickler Greg Kroah-Hartman nur von der Distribution (in diesen Fall ProxmoxVE) unterstützte Kernel oder die neuste stabile Version der Kernel-Entwickler zu nutzen: http://www.kroah.com/log/blog/2018/08/24/what-stable-kernel-should-i-use/
In ProxmoxVE9 ist das aber nur ein 6.14er, das sollte man also im Hinterkopf bewahren. Grundsätzlich könnte man aber natürlich noch ProxmoxVE 8 nutzen (solange das noch im Support ist, also etwa ein Jahr), da wird der alte Kernel ja noch unterstützt.

 

[Arpxqq]

Einmal angenommen das System läuft nur noch mit dem 6.8.12-8er stabil und ohne Unterbrüche, wie Katastrophal oder welche Auswirkungen wird dies haben ?

 

[Johannes S]

Einmal angenommen das System läuft nur noch mit dem 6.8.12-8er stabil und ohne Unterbrüche, wie Katastrophal oder welche Auswirkungen wird dies haben ?

Naja, bei sicherheitsrelevanten Bugs geht es ja darum, dass man da im Zweifelsfall nicht bemerkt, dass es ungebetene Gäste auf dem System gibt

In jeden neuen Kernel sind tausende Bugfixes drin und die Kernel-Entwickler vertreten die Meinung, dass im Zweifelsfall alle davon securityrelevant sein können (da der Kernel nun mal direkten Zugriff auf sämtliche Hardware und sonstigen Ressourcen hat).
Darum ist es in Zweifel nie eine gute Idee, keine Kernelupdates zu machen. Nun gibt es natürlich Konstellationen wie deine, wo mit dem neuen Kernel auch neue Probleme kommen, da muss man dann halt abwägen. Wenn es einen Workaround gibt (wie hier das offloading zu deaktivieren), würde ich dann immer eher den Workaround nehmen, als nicht zu updaten. Wenn es hingegen keinen gibt, dann muss man sich halt überlegen, wie man weiter macht.
Im Heimnetz, wo man ja auch im Regelfall noch hinter einen Router hängt, könnte man sich überlegen, dass man das Risiko bereit ist einzugehen (soll auch bei Firmen vorkommen). Ich würde dann aber den Teil des Netzes dann möglichst stark vom Rest trennen, etwa durch eine zusätzliche Firewall oder (falls man wie ich nicht das Geld für eine zusätzliche Box nur für OPNSense oder OpenWRT hat) die in ProxmoxVE eingebaute Firewall-Paketfilter.

 

[Falk R.]

Daher erst den 6.14er testen, eventuell läuft es dann ja sauber. Wenn man sich an die Grundlegenden Empfehlungen des BSI hält und den Hypervisor in einem Getrennten Managementnetz hinter einer Firewall betreibt, schätze ich das Risiko erst einmal gering ein. Wenn eine Möglichkeit des Ausbruchs aus einer VM bekannt wird, dann sollte der Fix natürlich schnell installiert werden, aber zum Glück sind wir von solchen Lücken derzeit verschont.

 

[Arpxqq]

Wurde soeben von ASRockRack bestätigt, diese haben das Szenario nachgebaut und getestet. Die Karte ist auf dem aktuellen Stand was die Firmware angeht. Diese empfehlen den 6.8.12-8er oder 6.14er, so wie den Workaround mit dem Offload. Mal gucken was die Zukunft bringt, wär ja Cool wenn da noch was gehen würde...

Grüsse und ein schönes Wochenende

Arp

 

[Falk R.]

Dann ist der Weg ja klar. 6.14er Kernel nutzen. Der ist ja schon lange für PVE8 verfügbar.