[Solution in 1st answer] Error: error extracting archive - error at entry "random": failed to create device node: Operation not permitted (os error 1)

[herwig]

Hi,

Ich bin beim Testen des pbs und pve auf folgendes Problem gestoßen: Beim Widerherstellen eines LXC Containers bekomme ich folgende Meldung:

recovering backed-up configuration from 'pbs1-srv-home:backup/ct/1100/2022-08-31T11:24:15Z'
Using encryption key from file descriptor..
Fingerprint: xx:xx:xx:xx:xx:xx:xx:xx
restoring 'pbs1-srv-home:backup/ct/1100/2022-08-31T11:24:15Z' now..
Using encryption key from file descriptor..
Fingerprint: xx:xx:xx:xx:xx:xx:xx:xx
Error: error extracting archive - error at entry "random": failed to create device node: Operation not permitted (os error 1)
TASK ERROR: unable to restore CT 1100 - command 'lxc-usernsexec -m u:0:100000:65536 -m g:0:100000:65536 -- /usr/bin/proxmox-backup-client restore '--crypt-mode=encrypt' '--keyfd=13' ct/1100/2022-08-31T11:24:15Z root.pxar /var/lib/lxc/1100/rootfs --allow-existing-dirs --repository backup@pbs@172.27.1.16:test --ns srv-home' failed: exit code 255

Konfiguration:
2x pve im cluster (jeweils zfs) (Modifikation: zfs autosnapshot installiert und

chown 100000:100000 /dev/net/tun

für die Verwendung von VPN in LXC-Containern.

1x pbs als vm auf einem der PCs mit Daten und System auf USB-HDD - mittels usb-passthrough
(alle updates für alle Systeme installiert - Stand 4.9.2022)

Backup täglich mit Verschlüsselung - aktuell 4 Sicherungen dieses Containers vorhanden - alle "Verified" (alle Sicherungen beenden den restore-prozess mit der Selben Fehlermeldung!!)

der erste Versuch war, die VM auf dem pve zurück zu spielen, wo der container nicht gelaufen ist -> schlug fehl (selbe Meldung wie darüber)
Habe dann im Menü des deaktivierten Containers bei den Backups die restore-Funktion getestet (automatisch auf der Selben id) -> schlug ebenfalls fehl + löschte den davor funktionierenden Container!! -> sehr enttäuschend!!
-> dieser ist jetzt nur noch im Backup vorhanden und aktuell nicht widerherstellbar!!
(Die Dateien sind auf beiden pve scheinbar lesbar - also dürften vorhanden sein)

Nachdem ich mich beim Backup und Restore nur an die GUI gehalten habe, halte ich das für einen schwerwiegenden Fehler. Schließlich wurde ich durch das backup "Verified" in die falsche Sicherheit gewogen, dass ich diese Instanz auch widerherstellen kann!

Ich habe wegen der Fülle an LXCs und VMs auf meinem Testsystem nicht alle versucht, wieder her zu stellen, aber bei den Anderen, die ich getestet habe, ist der Fehler nicht aufgetreten! -> aus aktueller Sicht liegt der Fehler bei diesem speziellen Container.

Welche zusätzilchen Inhalte kann ich liefern, um dem Fehler auf die Spur zu kommen?
Ich wollte diesen und die pve bereits produktiv einsetzen - aber Backups, die ohne Vorwarnung nicht widerhergestellt werden können, dämpfen meine Freude an dem System ...

ps: falls das bei der Fehler-Rekonstruktion hilft, ich bilde mir ein, bei dem LXC habe ich Dateien eines anderen LXC einfach über die pve root shell kopiert - und ich dachte zwar, dass ich alle Berechtigungen angepasst habe, kann da aber etwas vergessen haben.

 

[dcsapak]

Error: error extracting archive - error at entry "random": failed to create device node: Operation not permitted (os error 1)

sagt dass dass device node '/dev/random' nicht angelegt werden kann. das passiert bei unprivilegierten containern (da die als unprivilegierter user entpackt werden und der das nicht darf)
lösung ist als privilegierter container restoren

(der container war vorher ziemlich sicher auch privilegiert)

 

[herwig]

ich habe folgende Option gewählt: (From backup) - und da trat der Fehler auf!


Der Restore als priviledged container hat funktioniert, thx. Dennoch glaube ich, dass hier ein Fehler in der Software vorliegt (nachdem die Option From Backup den Fehler wirft). Gibt es eine Möglichkeit, den Fehler für die Zukunft aus der Welt zu schaffen. Welche Logs/Infos kann ich liefern um den Fehler einzugrenzen? Mir gefällt das Proxmox ecosystem und ich möchte dazu beitragen, dieses noch besser zu machen.

Könnten Sie, wenn dieser Fehler auftritt noch eine Info bzw. einen hind geben, dass es versuht werden soll, diesen Container als unpriviledged widerherzustellen.

Vielen Dank

Herwig

 

[dcsapak]

Der Restore als priviledged container hat funktioniert, thx. Dennoch glaube ich, dass hier ein Fehler in der Software vorliegt (nachdem die Option From Backup den Fehler wirft). Gibt es eine Möglichkeit, den Fehler für die Zukunft aus der Welt zu schaffen. Welche Logs/Infos kann ich liefern um den Fehler einzugrenzen? Mir gefällt das Proxmox ecosystem und ich möchte dazu beitragen, dieses noch besser zu machen.

wie sieht denn die config im backup aus? (der button 'show configuration' beim backup)

Könnten Sie, wenn dieser Fehler auftritt noch eine Info bzw. einen hind geben, dass es versuht werden soll, diesen Container als unpriviledged widerherzustellen.

schwierig, weil hier viele dinge schiefgehen können und der teil der entpackt, nichts über privilegiert/unprivilegiert weiß..

 

[herwig]

arch: amd64
cores: 1
features: fuse=1,nesting=1
hostname: docker-test
memory: 512
net0: name=eth0,bridge=vmbr0,firewall=1,hwaddr=42:9B:5B:3F:7C:AD,ip=dhcp,ip6=dhcp,type=veth
ostype: ubuntu
rootfs: local-zfs:subvol-1100-disk-0,size=8G
swap: 512
unprivileged: 1

nachdem es sich um einen nicht wirklich wichtigen container - ohne echte Daten handelt könnte ich sogar diesen zu Verfügung stellen. - wie der Zufall (mein Test-setup) so will, habe ich sogar noch unverschlüsselte Backups dieses Containers, die die Selbe Konfiguration und das Selbe Problem haben.

 

[dcsapak]

unprivileged: 1

ok bedeutet aber das der container vorher schon unprivilegiert war ...
kannst du mal das ganze (fehlgeschlagene) restore log posten?

EDIT: noch was, normalerweise enthalten solche container keine devices nodes außerhalb von /dev (was nicht gesichert wird). hast du eine ahnung wie das in den container kam?
(war zb das experimentell 'device node' feature mal an ?)

 

[herwig]

bzgl restore log - das im oberen Bild war das Ganze


bzgl. "device node" kann ich nicht mit Sicherheit sagen. Ich muss aber gestehen, dass es sich um einen Test-container handelt und dass ich (obwohl nicht empfohlen und nicht offiziell unterstützt) docker verwendet habe. Bei den Features habe ich ebenfalls geschaut, wie wenig ich einschalten muss / eingeschalten haben muss) dass docker noch funktioniert.

 

[dcsapak]

Ok, wie gesagt, normalerweise kommen solche device nodes nicht in einem unprivilegierten Container (außerhalb von /dev) vor, daher würde ich sagen es ist eher ein einmaliges problem und nicht ein genereller bug...

 

[herwig]

Danke für die Info. Ich habe den Titel bereits mit Hinweis auf die Lösung versehen. Sollte Interesse bestehen, dem Fehler näher auf die Spur zu kommen, kann ich das unverschlüsselte Backup zur Verfügung stellen. Sonst lösche ich das dann bald einmal.

 

[dcsapak]

ich glaube kaum dass wir im nachhinein herausfinden können woher das file genau kommt, aber trotzdem danke

 

[hvisage]

Apologies for English response, but this is the best fit for the problem from the other responses.

Though the first answer (restore as Privileged container) does fix the problem, I have the problem also with the `random` device in UNprivileged containers.

The ROOT CAUSE seems to be related to application installation like postfix etc. that setup some "chroot" environments with the dev/random type devices after container setup.

So I guess it's time to log a bugzilla to handle these cases?