☰

"파일 "*.service"가 IP 방화벽(IPAddressDeny=any)을 구성하지만 로컬 시스템이 BPF/cgroup 기반 방화벽을 지원하지 않음"을 수정하는 방법은 무엇입니까?

tag-icon • tag-icon linux systemd linux-kernel firewall
"파일 "*.service"가 IP 방화벽(IPAddressDeny=any)을 구성하지만 로컬 시스템이 BPF/cgroup 기반 방화벽을 지원하지 않음"을 수정하는 방법은 무엇입니까?

사용자 정의 재컴파일된 커널에서 부팅할 때 .config다음과 같은 kmsg(예: dmesg) 메시지가 표시됩니다.

systemd[1]: File /usr/lib/systemd/system/systemd-journald.service:35 configures an IP firewall (IPAddressDeny=any), but the local system does not support BPF/cgroup based firewalling.
systemd[1]: Proceeding WITHOUT firewalling in effect! (This warning is only shown for the first loaded unit using IP firewalling.)

.config이 문제를 해결하려면 어떤 커널 옵션이 필요합니까?

답변1

먼저 활성화CONFIG_BPF_SYSCALL=y

┌── Enable bpf() system call ─────────────────────────────────┐
│                                                             │
│ CONFIG_BPF_SYSCALL:                                         │
│                                                             │
│ Enable the bpf() system call that allows to manipulate eBPF │
│ programs and maps via file descriptors.                     │
│                                                             │
│ Symbol: BPF_SYSCALL [=y]                                    │
│ Type  : bool                                                │
│ Prompt: Enable bpf() system call                            │
│   Location:                                                 │
│     -> General setup                                        │
│   Defined at init/Kconfig:1414                              │
│   Selects: ANON_INODES [=y] && BPF [=y] && IRQ_WORK [=y]    │
│   Selected by [n]:                                          │
│   - AF_KCM [=n] && NET [=y] && INET [=y]                    │
└─────────────────────────────────────────────────────────────┘

^ 그런 다음 다음을 활성화할 수도 있습니다 CONFIG_CGROUP_BPF=y.

┌── Support for eBPF programs attached to cgroups ─────────────────┐
│                                                                  │
│ CONFIG_CGROUP_BPF:                                               │
│                                                                  │
│ Allow attaching eBPF programs to a cgroup using the bpf(2)       │
│ syscall command BPF_PROG_ATTACH.                                 │
│                                                                  │
│ In which context these programs are accessed depends on the type │
│ of attachment. For instance, programs that are attached using    │
│ BPF_CGROUP_INET_INGRESS will be executed on the ingress path of  │
│ inet sockets.                                                    │
│                                                                  │
│ Symbol: CGROUP_BPF [=y]                                          │
│ Type  : bool                                                     │
│ Prompt: Support for eBPF programs attached to cgroups            │
│   Location:                                                      │
│     -> General setup                                             │
│       -> Control Group support (CGROUPS [=y])                    │
│   Defined at init/Kconfig:845                                    │
│   Depends on: CGROUPS [=y] && BPF_SYSCALL [=y]                   │
│   Selects: SOCK_CGROUP_DATA [=y]                                 │
└──────────────────────────────────────────────────────────────────┘

systemd이것이 바로 이러한 메시지를 없애는 데 필요한 것입니다.

위 항목을 선택하면 다음과 같은 일이 발생합니다 .config.
이전:

# CONFIG_BPF_SYSCALL is not set

뒤쪽에:

CONFIG_BPF_SYSCALL=y
# CONFIG_XDP_SOCKETS is not set
# CONFIG_BPF_STREAM_PARSER is not set
CONFIG_CGROUP_BPF=y
CONFIG_BPF_EVENTS=y

두 가지 옵션을 더 사용할 수 있지만 CONFIG_XDP_SOCKETS이를 CONFIG_BPF_STREAM_PARSER활성화할 필요는 없습니다. 그러나 그들이 무엇에 관한 것인지 알고 싶다면:

┌── XDP sockets ────────────────────────────────────────┐
│                                                       │
│ CONFIG_XDP_SOCKETS:                                   │
│                                                       │
│ XDP sockets allows a channel between XDP programs and │
│ userspace applications.                               │
│                                                       │
│ Symbol: XDP_SOCKETS [=n]                              │
│ Type  : bool                                          │
│ Prompt: XDP sockets                                   │
│   Location:                                           │
│     -> Networking support (NET [=y])                  │
│       -> Networking options                           │
│   Defined at net/xdp/Kconfig:1                        │
│   Depends on: NET [=y] && BPF_SYSCALL [=y]            │
└───────────────────────────────────────────────────────┘

┌── enable BPF STREAM_PARSER ───────────────────────────────────────────┐
│                                                                       │
│ CONFIG_BPF_STREAM_PARSER:                                             │
│                                                                       │
│ Enabling this allows a stream parser to be used with                  │
│ BPF_MAP_TYPE_SOCKMAP.                                                 │
│                                                                       │
│ BPF_MAP_TYPE_SOCKMAP provides a map type to use with network sockets. │
│ It can be used to enforce socket policy, implement socket redirects,  │
│ etc.                                                                  │
│                                                                       │
│ Symbol: BPF_STREAM_PARSER [=n]                                        │
│ Type  : bool                                                          │
│ Prompt: enable BPF STREAM_PARSER                                      │
│   Location:                                                           │
│     -> Networking support (NET [=y])                                  │
│       -> Networking options                                           │
│   Defined at net/Kconfig:301                                          │
│   Depends on: NET [=y] && BPF_SYSCALL [=y]                            │
│   Selects: STREAM_PARSER [=m]                                         │
└───────────────────────────────────────────────────────────────────────┘

이유를 알고 싶다면 CONFIG_BPF_EVENTS=y:

┌── Search Results ───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┐
│                                                                                                                                         │
│ Symbol: BPF_EVENTS [=y]                                                                                                                 │
│ Type  : bool                                                                                                                            │
│   Defined at kernel/trace/Kconfig:476                                                                                                   │
│   Depends on: TRACING_SUPPORT [=y] && FTRACE [=y] && BPF_SYSCALL [=y] && (KPROBE_EVENTS [=n] || UPROBE_EVENTS [=y]) && PERF_EVENTS [=y] │
└─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┘

Qubes OS 4.0 4.18.5 내의 Fedora 28 AppVM에서 커널 테스트를 거쳤습니다.

답변2

위 옵션이 모두 설정된 경우 커널 명령줄에 systemd.unified_cgroup_hierarchy=1을 추가해 보세요.

이를 통해 (적어도 내 설정에서는) 누락된 부분인 cgroups v2를 활성화하여 BPF에서 IP 방화벽을 활성화하고 dmesg 로그의 오류를 제거할 수 있습니다.

관련 정보