ArchLinux / LXC /systemd v240

[ojaksch]

Ich bin gestern beim Update eines PVE darüber gestolpert, dass die ArchLinux-Container zwar hochfuhren, aber keine LAN-Verbindung mehr automatisch aufbauten. Abhängig davon wollten dann auch andere Dienste nicht starten. Das systemd-Journal war voller wilder Meldungen. Ein manuelles dhcpcd eth0 half zwar, aber der Fehler musste ja woanders herrühren.
Beim suchen mit der Suchmaschine meines Vertrauens bin ich dann über https://github.com/lxc/lxc/issues/2778 gestolpert. Es gibt demzufolge also ein bekanntes Problem im Zusammenhang mit LXC und systemd v240. Das setzen von lxc.apparmor.profile: unconfined in der /etc/pve/lxc/VMID.conf half zunächst. Besser als nix.

Also Kinders: Derzeit Vorsicht beim Updaten Eurer ArchLinuxe!

 

[wbumiller]

`features: nesting=1` sollte auch helfen und nicht ganz so extrem sein

 

[ojaksch]

`features: nesting=1` sollte auch helfen und nicht ganz so extrem sein

Einwandfrei! Getestet und funktioniert. Danke für den Hinweis!

 

[ojaksch]

Ich muss den Thread nochmal wiederbeleben; habe soeben Updates auf dem PVE-Host sowie allen VMs gefahren, jetzt passiert wieder das selbe Drama wie in #1 beschrieben. Gut, ich kann mit unconfined bei den wenigen betroffenen VMs leben und es dürfte auch weniger ein Problem von Proxmox sein, aber "unschön" ist das schon, dass sich hier scheinbar LXC und systemd nicht einigen können/wollen, wenn man den Tickets dort folgt.

 

[oguz]

hi

Ich muss den Thread nochmal wiederbeleben; habe soeben Updates auf dem PVE-Host sowie allen VMs gefahren, jetzt passiert wieder das selbe Drama wie in #1 beschrieben. Gut, ich kann mit unconfined bei den wenigen betroffenen VMs leben und es dürfte auch weniger ein Problem von Proxmox sein, aber "unschön" ist das schon, dass sich hier scheinbar LXC und systemd nicht einigen können/wollen, wenn man den Tickets dort folgt.

funktionieren die containers nicht mit nesting an? priviligiert oder unpriviligiert? ich glaube unpriviligierte archlinux CTs funktionieren generell besser

 

[ojaksch]

funktionieren die containers nicht mit nesting an? priviligiert oder unpriviligiert? ich glaube unpriviligierte archlinux CTs funktionieren generell besser

Bis vor kurzem funktionierten sie mit nesting=1 ganz wunderbar, siehe #3. Sie laufen beim mir als privilegierte CTs, weil ich sie damals (tm) so aufgezogen hatte. Könnte ich aber mal bei Gelegenheit ändern. Wie gesagt ist das bei mir kein echtes Drama, dass ich sie derzeit unconfined laufen lassen muss, aber ich wage mal den Blick in die Glaskugel, dass das Problem (lxc ./. systemd) durchaus auch andere Container betreffen kann / wird.

 

[oguz]

Könnte ich aber mal bei Gelegenheit ändern.

würde ich vorschlagen. einfach ein backup erstellen, und beim restore die checkbox auf 'unpriviligiert' aktiviert lassen.

Bis vor kurzem funktionierten sie mit nesting=1 ganz wunderbar, siehe #3

was für probleme kriegst du eigentlich momentan? nur die lan verbindung? vielleicht können wir uns anschauen und einen workaround finden.

aber ich wage mal den Blick in die Glaskugel, dass das Problem (lxc ./. systemd) durchaus auch andere Container betreffen kann / wird.

ja... ich glaube debian buster CTs sind auch betroffen und funktionieren nur mit nesting an.

 

[ojaksch]

würde ich vorschlagen. einfach ein backup erstellen, und beim restore die checkbox auf 'unpriviligiert' aktiviert lassen.

Ich weiß, aber dennoch Danke für den Tipp Aber das sind ja immer solche Dinge, die man "morgen" eigentlich mal machen will

was für probleme kriegst du eigentlich momentan? nur die lan verbindung? vielleicht können wir uns anschauen und einen workaround finden.

Eigentlich "nur", dass das LAN-Interface nicht UP kommt; es bleibt bei beharrlich DOWN und überlegt sich es auch erst anders, wenn ich Hand anlege oder bspw. dhcpcd/dhclient anschubse. In Folge des LANs bleiben natürlich auch alle davon abhängigen Dienste auf der Strecke. Ich kann Euch das aber auch gerne mal näher dokumentieren - oder Euch eben auf die Maschine lassen. Da finden wir sicherlich irgendwie, irgendwo zusammen.

ja... ich glaube debian buster CTs sind auch betroffen und funktionieren nur mit nesting an.

Och!? Bei mir glücklicherweise noch nicht. Stretch und Buster haben sich noch nicht beschwert. Bin dann mal gespannt, was mich dann beim nächsten Update-Lauf erwartet. Aber zum Glück sind die CTs ja auch fix gesichert, bzw. wieder hergestellt

 

[oguz]

hi,

hat sich da was geändert?

 

[ojaksch]

hi,

hat sich da was geändert?

Nein, was aber daran liegt, dass bei mir soweit alles prima läuft (bei Arch mit unconfined und Debian noch nicht aktualisiert) und außerdem man "mich nicht lässt": Zuviel Arbeit um die Ohren, so dass ich zu nichts weiter komme. Nicht einmal mein nagelneuer MAME-O-MAT sieht mich Abends