Сегодня и вчера мой сервер автоматически перезагрузился и не смог подключить сетевое устройство во время загрузки. Если я перезагружу компьютер снова, он запустится нормально, я также не сталкивался с какими-либо проблемами в течение последних 2 месяцев.
Единственные журналы ошибок, которые я могу найти по этому поводу:
Aug 23 06:37:14 server systemd[1]: Started ifup for ens16.
Aug 23 06:37:14 server systemd[1]: ifup@ens16.service: Main process exited, code=exited, status=1/FAILURE
и
Aug 23 06:37:14 server sh[281]: iptables-restore: line 10 failed
Aug 23 06:37:14 server systemd[1]: ifup@ens16.service: Main process exited, code=exited, status=1/FAILURE
Aug 23 06:37:14 server sh[281]: run-parts: /etc/network/if-pre-up.d/iptables exited with return code 1
Aug 23 06:37:14 server sh[281]: ifup: failed to bring up ens16
/etc/network/if-pre-up.d/iptables содержит:
#!/bin/sh
/sbin/iptables-restore < /etc/iptables.up.rules
/etc/iptables.up.rules содержит:
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [896:90530]
-A INPUT -i lo -j ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp --dport 80 -j ACCEPT
-A INPUT -p tcp --dport 443 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-port-unreachable
COMMIT
Что может случиться с этим периодически, и как я могу убедиться, что это не повторится снова?
Я все еще подозреваю, что две казни /etc/network/if-pre-up.d/iptables выполняются одновременно на протяжении всего процесса загрузки. Из-за systemd нормальное поведение одновременного запуска вещей, если не рекомендуется этого делать, я считаю, что процесс загрузки запускает один процесс сценария для lo интерфейс и еще один для ens16 интерфейс. Это приведет к одновременному выполнению iptables-restore, что может вызвать такие ошибки, как iptables-restore: line 10 failed. Однако я не могу представить доказательства.
Я привык управлять системами CentOS и Red Hat. Давным-давно один из таких серверов не смог инициализировать iptables сервис при загрузке, потому что systemd начинал ip6tables одновременно. Эта конкретная ошибка задокументирована здесь: https://bugzilla.redhat.com/show_bug.cgi?id=1477413
Я предлагаю вам обрабатывать параллелизм в вашем скрипте, например, используя flock:
#!/bin/sh
/usr/bin/flock /run/.iptables-restore /sbin/iptables-restore < /etc/iptables.up.rules
В качестве альтернативы вы можете проверить фактическое значение ${IFACE} переменная перед восстановлением iptables правила (ссылка: человек 5 интерфейсов):
#!/bin/sh
if [ "${IFACE}" == ens16 ]; then
/sbin/iptables-restore < /etc/iptables.up.rules
fi
Кроме того, если вы просто хотите загрузить iptables правила во время загрузки, я предлагаю вам использовать iptables-persistent вместо:
# apt-get install iptables-persistent netfilter-persistent
# mv -v /etc/iptables.up.rules /etc/iptables/rules.v4
# systemctl enable netfilter-persistent.service
# rm -v /etc/network/if-pre-up.d/iptables