Nuove caratteristiche e modifiche in UEK R6U1

La pianificazione di base è una funzione abilitata nel kernel per limitare le attività attendibili da eseguire contemporaneamente su memorie centrali CPU che condividono risorse di computazione per contribuire a mitigare determinate categorie di bug del processore 'core shared cache' che potrebbero causare perdita di dati e altre vulnerabilità correlate.

Questa funzione è implementata sotto forma di cgroup, in cui le attività in un core scheduling abilitato cgroup hanno un unico gruppo "cookie". Queste attività non sono in grado di condividere un core con attività che hanno un cookie diverso né con attività non presenti in un core scheduling cgroup abilitato.

La programmazione di base è progettata per funzionare su un sistema configurato con Multi-Threading simultaneo attivato. Tuttavia, la pianificazione di base non elimina la necessità di altre mitigazioni della sicurezza dei processori che potrebbero essere necessarie in un sistema. Per utilizzare questa funzione, accertarsi che SMT=on sia configurato e quindi eseguire le operazioni riportate di seguito come utente root.

1. Creare un gruppo di controller CPU versione 1 regolare. Ad esempio, per creare un gruppo denominato cpu_sched_0:

   # mkdir /sys/fs/cgroup/cpu/cpu_sched_0
                              

2. Aggiungere task al gruppo C. I task vengono aggiunti scrivendo il relativo ID processo (PID) nel file tasks del gruppo:

   # echo PID > /sys/fs/cgroup/cpu/core_sched_0/tasks
                              

3. Per abilitare la pianificazione core per il gruppo controller cpu, scrivere il valore 1 nel file cpu.tag:

   # echo 1 > /sys/fs/cgroup/cpu/core_sched_0/cpu.tag
                              

   Una volta aggiornato il file cpu.tag, le attività all'interno del cgroup non condividono mai un core con attività di un cgroup diverso o attività non assegnate a un cgroup.

Questa funzione è abilitata come anteprima tecnica ed è in fase di sviluppo. Le interfacce sono soggette a modifica. Si sconsiglia di collegare a caldo le CPU in un sistema con cgroup di pianificazione core. L'utilizzo della pianificazione di base sui processori AMD può comportare variazioni più ampie delle prestazioni e non è consigliabile.

WireGuard è una sostituzione più veloce e sicura per IPsec e OpenVPN. Nuove reti vengono costruite con la crittografia moderna di WireGuard piuttosto che con tecnologie legacy come IPsec e OpenVPN. WireGuard è abilitato come anteprima tecnica in UEK R6U1 e introduce il modulo kernel wireguard alla versione 1.0.20200712.

Si noti che il pacchetto wireguard-tools del repository ol7_developer_UEKR6 non supportato è necessario per configurare WireGuard. Per accedere a questo repository yum, installare il pacchetto oraclelinux-developer-release-el7 o oraclelinux-developer-release-el8 appropriato per l'ambiente operativo in uso. Una volta installato, limitare l'uso del repository per il pacchetto wireguard-tools, per evitare di installare accidentalmente aggiornamenti UEK pre-release.

Per installare il pacchetto wireguard-tools su Oracle Linux 7, eseguire:

# yum install oraclelinux-developer-release-el7
# yum-config-manager --disable ol7_developer
# yum-config-manager --enable ol7_developer_UEKR6
# yum-config-manager --save --setopt=ol7_developer_UEKR6.includepkgs='wireguard-tools*'
# yum install wireguard-tools
                     

Per installare questo package su Oracle Linux 8, eseguire le operazioni riportate di seguito.

# dnf install oraclelinux-developer-release-el8
# dnf config-manager --disable ol8_developer
# dnf config-manager --enable ol8_developer_UEKR6
# dnf config-manager --save --setopt=ol8_developer_UEKR6.includepkgs='wireguard-tools*'
# dnf install wireguard-tools
                     

La funzionalità di copia lato server NFS v4.2 è back-portata dal kernel a monte ed è disponibile in UEK R6U1 come anteprima tecnica. Le funzioni di copia lato server forniscono meccanismi che consentono a un client NFS di copiare i dati di file su un server o tra due server senza che i dati vengano trasmessi avanti e indietro sulla rete tramite il client NFS. Si noti che la funzionalità intra-server è abilitata, mentre la funzionalità inter-server è disabilitata per impostazione predefinita. Per abilitare questa funzionalità, impostare il parametro inter_copy_offload_enable del modulo nfsd e riavviare il servizio NFS. È possibile eseguire questa operazione temporaneamente eseguendo:

# echo y > /sys/module/nfsd/parameters/inter_copy_offload_enable
                     

In alternativa, per rendere permanente questa modifica, modificare /etc/modprobe.d/nfsd.conf per aggiungere la riga:

options nfsd inter_copy_offload_enable=Y

Si noti che la possibilità di eseguire una copia lato server dipende in gran parte dalle capacità del file system del server. Ad esempio, per eseguire una copia intra-server efficiente di un file, il file system di destinazione di base richiede una capacità snapshot o clone per i singoli file.

I test iniziali hanno indicato alcuni problemi con questa funzione ed è in gran parte considerato sperimentale in questa release.

Le seguenti nuove funzionalità sono note nei driver spediti con UEK R6U1:

• Driver AMD-TEE

  I driver AMD-TEE, amdtee e tee, sono nuove aggiunte in questa release e sono inclusi nella versione 1.0, come parte di un'iniziativa più ampia per includere aggiornamenti del kernel mainline per la famiglia di CPU AMD Milan.

• Driver per schede LAN wireless Atheros 802.11n HTC

  Il driver della scheda LAN wireless Atheros 802.11n HTC, ath9k_htc, è patchato e aggiornato per le correzioni di sicurezza, tra cui CVE-2019-19073 .

• Driver di rete Broadcom BCM573xx

  Il driver di rete Broadcom BCM573xx, bnxt_en, è disponibile alla versione 1.10.1 e include patch e aggiornamenti forniti dal fornitore. Una patch per gestire meglio la raccolta delle statistiche sul firmware precedente è inclusa anche su richiesta del fornitore. Significativamente, la manutenzione dei contatori di rete tra le reimpostazioni è migliorata anche in modo che l'accumulo di contatori durante una reimpostazione si verifica solo quando il parametro irq_re_init è impostato. Si noti che una modifica a monte determina una modifica al nome del dispositivo per le interfacce di rete Broadcom che utilizzano questo driver. Ad esempio, un dispositivo che potrebbe essere stato precedentemente identificato come eno3d1 è ora identificato come eno3. Questa modifica si verifica perché le porte del dispositivo di rete possono appartenere a funzioni diverse ed è stata applicata una correzione per migliorare la denominazione dei dispositivi evitando ipotesi sulla funzionalità delle porte di un dispositivo.

• Driver per connessione Ethernet Intel serie E800

  Il driver Intel Ethernet Connection E800 Series Linux, ice, è completamente aggiornato alla versione 0.8.2-k con patch e aggiornamenti forniti dal fornitore per supportare i nuovi controller Ethernet e le schede PCIe Intel 800-Series, utilizzando il nome in codice Columbiaville.

• Driver SCSI Broadcom Emulex LightPulse Fibre Channel

  Il driver Broadcom Emulex LightPulse Fibre Channel SCSI, lpfc, viene aggiornato alla versione 12.8.0.3 con patch e correzioni di bug fornite dal fornitore.

• Driver Broadcom MegaRAID SAS

  Il driver Broadcom MegaRAID SAS, megaraid_sas, viene aggiornato alla versione 07.714.04.00-rc1. Questo aggiornamento include patch fornite dal fornitore che allineano la versione del driver alla release kernel a monte.

• Driver per dispositivi LSI MPT Fusion SAS 3.0

  Il driver del dispositivo LSI MPT Fusion SAS 3.0, mpt3sas, viene aggiornato alla versione 34.100.00.00 per includere le patch fornite dal fornitore che allineano la versione del driver alla release kernel a monte.

• Driver HBA Fibre Channel QLogic

  Il driver HBA QLogic Fibre Channel, qla2xxx, viene aggiornato alla versione 10.01.00.25-k e include un gran numero di patch fornite dal fornitore per allineare la versione del driver alla release kernel a monte.

• Driver per adattatore Ethernet USB basato su Realtek RTL8152/RTL8153

  Il driver Realtek RTL8152/RTL8153 Based USB Ethernet Adapter, r8152 viene aggiornato alla versione 1.10.11 con patch del kernel a monte.

• Driver per dispositivi Intel Volume Management

  Il driver Intel VMD (Volume Management Device), vmd, versione 0.6, viene aggiunto a questa release kernel e consente l'utilità dei dispositivi NVMe, sfruttando la logica hardware fornita dal processore Intel Xeon. Il driver aggrega le unità SSD PCIe NVMe e si comporta in modo simile a un HBA per SATA e SAS.