Consideraciones para adoptar RHEL 8

El complemento OSCAP está activado por defecto en Red Hat Enterprise Linux 8.

El complemento Kdump añade soporte para configurar el volcado de fallos del kernel durante la instalación. Este complemento es totalmente compatible con Kickstart (mediante el comando don com_redhat_kdump y sus opciones), y está totalmente integrado como una ventana adicional en las interfaces de usuario gráfica y de texto.

Un nuevo esquema de nomenclatura de dispositivos de red que genera nombres de interfaz de red basados en un prefijo definido por el usuario está disponible en Red Hat Enterprise Linux 8. La opción de arranque net.ifnames.prefix permite que el esquema de nomenclatura de dispositivos sea utilizado por el programa de instalación y el sistema instalado. Consulte la página man dracut.cmdline(7) para más información.

Desde Red Hat Enterprise Linux 8.2, puede registrar su sistema, adjuntar suscripciones a RHEL e instalar desde la Red Hat Content Delivery Network (CDN) antes de la instalación del paquete. Las instalaciones interactivas de la GUI, así como las instalaciones automatizadas de Kickstart, soportan esta característica. Para más información, consulte el documento RHEL 8.2 Release Notes.

Desde Red Hat Enterprise Linux 8.2, puede registrar su sistema en Red Hat Insights durante la instalación. Las instalaciones interactivas GUI, así como las instalaciones automatizadas Kickstart, soportan esta característica. Para más información, consulte el documento RHEL 8.2 Release Notes.

En Red Hat Enterprise Linux 8, una ISO unificada carga automáticamente los repositorios fuente de instalación BaseOS y AppStream. Esta característica funciona para el primer repositorio base que se carga durante la instalación. Por ejemplo, si arranca la instalación sin ningún repositorio configurado y tiene la ISO unificada como repositorio base en la interfaz gráfica de usuario (GUI), o si arranca la instalación utilizando la opción inst.repo= que apunta a la ISO unificada.

Como resultado, el repositorio AppStream está habilitado en la sección Additional Repositories de la ventana de la GUI Installation Source. No se puede eliminar el repositorio AppStream ni cambiar su configuración, pero se puede desactivar en Installation Source. Esta característica no funciona si arranca la instalación utilizando un repositorio base diferente y luego lo cambia por la ISO unificada. Si hace eso, el repositorio base es reemplazado. Sin embargo, el repositorio de AppStream no es reemplazado y apunta al archivo original.

En Red Hat Enterprise Linux 8, se pueden especificar múltiples ubicaciones de red de stage2 o archivos Kickstart para evitar fallos de instalación. Esta actualización permite la especificación de múltiples opciones de arranque inst.stage2 y inst.ks con ubicaciones de red de stage2 y un archivo Kickstart. Esto evita la situación en la que los archivos solicitados no pueden ser alcanzados y la instalación falla porque el servidor contactado con el stage2 o el archivo Kickstart es inaccesible.

Con esta nueva actualización, se puede evitar el fallo de instalación si se especifican varias ubicaciones. Si todas las ubicaciones definidas son URLs, es decir, HTTP, HTTPS, o FTP, se intentarán secuencialmente hasta que el archivo solicitado se obtenga con éxito. Si hay una ubicación que no es una URL, sólo se intenta la última ubicación especificada. El resto de ubicaciones se ignoran.

Anteriormente, sólo se podía especificar un repositorio base desde los parámetros de arranque del kernel. En Red Hat Enterprise Linux 8, un nuevo parámetro del kernel, inst.addrepo=<name>,<url>, le permite especificar un repositorio adicional durante la instalación. Este parámetro tiene dos valores obligatorios: el nombre del repositorio y la URL que apunta al repositorio. Para más información, vea el uso de inst-addrepo.

Red Hat Enterprise Linux 8 soporta la instalación desde un repositorio en un disco duro local. Anteriormente, el único método de instalación desde un disco duro era utilizar una imagen ISO como fuente de instalación. Sin embargo, la imagen ISO de Red Hat Enterprise Linux 8 puede ser demasiado grande para algunos sistemas de archivos; por ejemplo, el sistema de archivos FAT32 no puede almacenar archivos de más de 4 GiB. En Red Hat Enterprise Linux 8, puede habilitar la instalación desde un repositorio en un disco duro local; sólo necesita especificar el directorio en lugar de la imagen ISO. Por ejemplo: inst.repo=hd:<device>:<path to the repository>.

Para más información sobre los repositorios de Red Hat Enterprise Linux 8 BaseOS y AppStream, consulte la sección Repositories de este documento.

La ventana de resumen de instalación de la instalación gráfica de Red Hat Enterprise Linux 8 ha sido actualizada a un nuevo diseño de tres columnas que proporciona una mejor organización de los ajustes de la instalación gráfica.

Anteriormente, el programa de instalación de Red Hat Enterprise Linux no proporcionaba información sobre el propósito del sistema al Administrador de Suscripciones. En Red Hat Enterprise Linux 8, puede establecer el propósito del sistema durante una instalación gráfica utilizando la ventana System Purpose, o en un archivo de configuración Kickstart utilizando el comando syspurpose. Cuando usted establece el propósito de un sistema, el servidor de asignación de derechos recibe información que ayuda a auto-adjuntar una suscripción que satisface el uso previsto del sistema.

Anteriormente, no era posible que la biblioteca pykickstart proporcionara información sobre el propósito del sistema al Administrador de suscripciones. En Red Hat Enterprise Linux 8, pykickstart analiza el nuevo comando syspurpose y registra el propósito del sistema durante la instalación automatizada y parcialmente automatizada. La información se pasa al programa de instalación, se guarda en el sistema recién instalado y está disponible para el Administrador de suscripciones cuando se suscribe el sistema.

En Red Hat Enterprise Linux 8, el programa de instalación ha sido ampliado para manejar todas las características modulares. Los scripts Kickstart pueden ahora habilitar combinaciones de módulos y flujos, instalar perfiles de módulos e instalar paquetes modulares.

El comando auth o authconfig Kickstart está obsoleto en Red Hat Enterprise Linux 8 porque la herramienta y el paquete authconfig han sido eliminados.

De forma similar a los comandos authconfig emitidos en la línea de comandos, los comandos authconfig en los scripts Kickstart utilizan ahora la herramienta authselect-compat para ejecutar la nueva herramienta authselect. Para una descripción de esta capa de compatibilidad y sus problemas conocidos, consulte la página del manual authselect-migration(7). El programa de instalación detectará automáticamente el uso de los comandos obsoletos e instalará en el sistema el paquete authselect-compat para proporcionar la capa de compatibilidad.

El sistema de archivos Btrfs no está soportado en Red Hat Enterprise Linux 8. Como resultado, la interfaz gráfica de usuario (GUI) y los comandos Kickstart ya no soportan Btrfs.

Si está utilizando archivos Kickstart de versiones anteriores de RHEL, vea la sección Repositories del documento Considerations in adopting RHEL 8 para más información sobre los repositorios de Red Hat Enterprise Linux 8 BaseOS y AppStream.

Los siguientes comandos y opciones de Kickstart han quedado obsoletos en Red Hat Enterprise Linux 8.

En los casos en que sólo se enumeran opciones específicas, el comando base y sus otras opciones siguen estando disponibles y no están obsoletos.

Excepto el comando auth o authconfig, el uso de los comandos en los archivos Kickstart imprime una advertencia en los registros.

Puede convertir las advertencias de los comandos obsoletos en errores con la opción de arranque inst.ksstrict, excepto para el comando auth o authconfig.

Los siguientes comandos y opciones de Kickstart han sido completamente eliminados en Red Hat Enterprise Linux 8. Su uso en los archivos Kickstart causará un error.

Cuando sólo se enumeran opciones y valores específicos, el comando base y sus otras opciones siguen estando disponibles y no se eliminan.

Los siguientes comandos y opciones fueron añadidos en Red Hat Enterprise Linux 8.2.

Los siguientes comandos y opciones fueron añadidos en Red Hat Enterprise Linux 8.

La herramienta Image Builder permite a los usuarios crear imágenes RHEL personalizadas. A partir de Red Hat Enterprise Linux 8.3, Image Builder se ejecuta como un paquete de servicio del sistema osbuild-composer del sistema.

Con Image Builder, los usuarios pueden crear imágenes de sistema personalizadas que incluyan paquetes adicionales. Se puede acceder a la funcionalidad de Image Builder a través de:

Los formatos de salida de Image Builder incluyen, entre otros:

Para obtener más información sobre Image Builder, consulte el título de la documentación Composición de una imagen de sistema RHEL personalizada.

YUM v4 tiene las siguientes ventajas sobre el anterior YUM v3 utilizado en RHEL 7:

Para obtener información detallada sobre las diferencias entre la nueva herramienta YUM v4 y la versión anterior YUM v3 de RHEL 7, consulte Cambios en DNF CLI en comparación con YUM.

Instalación del software

YUM v4 es compatible con YUM v3 cuando se utiliza desde la línea de comandos, editando o creando archivos de configuración.

Para instalar el software, puede utilizar el comando yum y sus opciones particulares de la misma manera que en RHEL 7.

Vea información más detallada en Instalación de software con yum.

Disponibilidad de plug-ins

Los plug-ins heredados de YUM v3 son incompatibles con la nueva versión de YUM v4. Algunos plug-ins y utilidades de yum han sido portados al nuevo back-end de DNF, y pueden ser instalados con los mismos nombres que en RHEL 7. También proporcionan enlaces simbólicos de compatibilidad, por lo que los binarios, archivos de configuración y directorios pueden encontrarse en las ubicaciones habituales.

En el caso de que un complemento ya no se incluya, o que un sustituto no satisfaga una necesidad de usabilidad, póngase en contacto con el Servicio de Asistencia Técnica de Red Hat para solicitar una mejora de características, tal como se describe en ¿Cómo abro y gestiono un caso de asistencia en el Portal del Cliente?

Para más información, véase Interfaz de los plugins.

Disponibilidad de las API

Tenga en cuenta que la antigua API de Python proporcionada por YUM v3 ya no está disponible. Se recomienda a los usuarios que migren sus plug-ins y scripts a la nueva API proporcionada por YUM v4 (DNF Python API), que es estable y está totalmente soportada. El proyecto upstream documenta la nueva API Python de DNF - vea la Referencia de la API de DNF.

Las APIs Libdnf y Hawkey (tanto C como Python) deben considerarse inestables, y probablemente cambiarán durante el ciclo de vida de RHEL 8.

Esta sección resume los cambios en las opciones del archivo de configuración entre RHEL 7 y RHEL 8 para los archivos /etc/yum.conf y /etc/yum.repos.d/*.repo.

Algunas de las características de YUM v3 pueden comportarse de manera diferente en YUM v4. Si algún cambio de este tipo afecta negativamente a sus flujos de trabajo, abra un caso con el Soporte de Red Hat, como se describe en ¿Cómo abro y gestiono un caso de soporte en el Portal del Cliente?

[…​]
package-1.2    repo1
package-1.2    repo2
[…​]

[…​]
package-1.2    repo1
[…​]

Esta sección resume los cambios en los archivos de registro del historial de transacciones entre RHEL 7 y RHEL 8.

En RHEL 7, el archivo /var/log/yum.log almacena:

En RHEL 8, no hay un equivalente directo al archivo /var/log/yum.log. Para mostrar la información sobre las transacciones, incluidas las de PackageKit y microdnf, utilice el comando yum history.

Alternativamente, puede buscar en el archivo /var/log/dnf.rpm.log, pero este archivo de registro no incluye las transacciones de PackageKit y microdnf, y tiene una rotación de registro que proporciona la eliminación periódica de la información almacenada.

RHEL 7 soporta dos implementaciones del protocolo NTP ntp y chrony.

En RHEL 8, el protocolo NTP está implementado únicamente por el demonio chronyd, proporcionado por el paquete chrony.

El demonio ntp ya no está disponible. Si utilizaba ntp en su sistema RHEL 7, es posible que tenga que migrar a chrony.

Posibles sustitutos de las anteriores ntp que no son soportadas por chrony están documentadas en Lograr algunas configuraciones previamente soportadas por ntp en chrony.

chrony es una implementación de NTP, que funciona bien en una amplia gama de condiciones, incluyendo conexiones de red intermitentes, redes muy congestionadas, temperaturas cambiantes (los relojes de los ordenadores ordinarios son sensibles a la temperatura), y sistemas que no funcionan continuamente, o que se ejecutan en una máquina virtual.

Puede utilizar chrony:

Para más información sobre chronyconsulte Configuración de los ajustes básicos del sistema.

Para más información sobre cómo configurar NTP utilizando el chrony suite, consulte Configuración de los ajustes básicos del sistema.

La herramienta de configuración Print Settings herramienta de configuración, que se utilizaba en RHEL 7, ya no está disponible.

Para realizar diversas tareas relacionadas con la impresión, puede elegir una de las siguientes herramientas:

Para obtener más información sobre las herramientas de configuración de la impresión en RHEL 8, consulte Implementación de diferentes tipos de servidores.

CUPS proporciona tres tipos de registros:

En RHEL 8, los registros ya no se almacenan en archivos específicos dentro del directorio /var/log/cups, que se utilizaba en RHEL 7. En su lugar, los tres tipos se registran de forma centralizada en systemd-journald junto con los registros de otros programas.

Para obtener más información sobre cómo utilizar los registros de CUPS en RHEL 8, consulte Implementación de diferentes tipos de servidores.

Para obtener más información sobre cómo configurar la impresión en RHEL 8, consulte Implementación de diferentes tipos de servidores.

En RHEL 8, el perfil recomendado de Tuned, informado por el comando tuned-adm recommend, se selecciona en base a las siguientes reglas:

Tenga en cuenta que la primera regla que coincide tiene efecto.

Crypto-policies es un componente en Red Hat Enterprise Linux 8, que configura los subsistemas criptográficos centrales, cubriendo los protocolos TLS, IPsec, DNSSEC, Kerberos y la suite OpenSSH. Proporciona un pequeño conjunto de políticas, que el administrador puede seleccionar utilizando el comando update-crypto-policies.

La política criptográfica de todo el sistema DEFAULT ofrece una configuración segura para los modelos de amenaza actuales. Permite los protocolos TLS 1.2 y 1.3, así como los protocolos IKEv2 y SSH2. Las claves RSA y los parámetros Diffie-Hellman se aceptan si son mayores de 2047 bits.

Consulte el artículo Seguridad consistente mediante políticas de criptografía en Red Hat Enterprise Linux 8 en el Blog de Red Hat y la página man update-crypto-policies(8) para más información.

La siguiente lista contiene conjuntos de cifrado y protocolos eliminados de las bibliotecas criptográficas del núcleo en RHEL 8. No están presentes en las fuentes, o su soporte está deshabilitado durante la compilación, por lo que las aplicaciones no pueden utilizarlos.

Los siguientes conjuntos de cifrado y protocolos están deshabilitados en todos los niveles de la política de cifrado. Sólo se pueden habilitar mediante una configuración explícita de las aplicaciones individuales.

Las políticas criptográficas de todo el sistema contienen un nivel de política que permite la autocomprobación de los módulos criptográficos de acuerdo con los requisitos de la Publicación 140-2 del Estándar Federal de Procesamiento de Información (FIPS). La herramienta fips-mode-setup que activa o desactiva el modo FIPS utiliza internamente el nivel de política criptográfica de todo el sistema FIPS.

Para cambiar el sistema al modo FIPS en RHEL 8, introduzca el siguiente comando y reinicie el sistema:

# fips-mode-setup --enable

Consulte la página de manual fips-mode-setup(8) para obtener más información.

Los protocolos TLS 1.0 y TLS 1.1 están desactivados en el nivel de política criptográfica de todo el sistema DEFAULT. Si su escenario, por ejemplo, una aplicación de videoconferencia en el navegador web Firefox, requiere el uso de los protocolos obsoletos, cambie la política criptográfica de todo el sistema al nivel LEGACY:

# update-crypto-policies --set LEGACY

Para más información, consulte el artículo de la base de conocimientos Strong crypto defaults in RHEL 8 and deprecation of weak crypto algorithms en el Portal del Cliente de Red Hat y la página man update-crypto-policies(8).

Esta actualización habilita la seguridad de la capa de transporte (TLS) 1.3 por defecto en todas las principales bibliotecas criptográficas del back-end. Esto permite una baja latencia en la capa de comunicaciones del sistema operativo y mejora la privacidad y la seguridad de las aplicaciones al aprovechar los nuevos algoritmos, como RSA-PSS o X25519.

El Algoritmo de Firma Digital (DSA) se considera obsoleto en Red Hat Enterprise Linux 8. Los mecanismos de autenticación que dependen de claves DSA no funcionan en la configuración por defecto. Tenga en cuenta que los clientes de OpenSSH no aceptan claves de host DSA incluso en el nivel de política criptográfica de todo el sistema LEGACY.

El protocolo Transport Layer Security (TLS) versión 1.2 y anteriores permiten iniciar una negociación con un mensaje Client Hello formateado de manera compatible con el protocolo Secure Sockets Layer (SSL) versión 2. La compatibilidad con esta función en la biblioteca de servicios de seguridad de la red (NSS) ha quedado obsoleta y está desactivada por defecto.

Las aplicaciones que requieren soporte para esta característica necesitan usar la nueva API SSL_ENABLE_V2_COMPATIBLE_HELLO para habilitarla. El soporte para esta función puede ser eliminado completamente en futuras versiones de Red Hat Enterprise Linux 8.

Las bibliotecas de los Servicios de Seguridad de la Red (NSS) utilizan ahora por defecto el formato de archivo SQL para la base de datos de confianza. El formato de archivo DBM, que se utilizaba como formato de base de datos por defecto en versiones anteriores, no admite el acceso concurrente a la misma base de datos por parte de varios procesos y ha quedado obsoleto en la versión anterior. Como resultado, las aplicaciones que utilizan la base de datos de confianza del NSS para almacenar claves, certificados e información de revocación ahora crean bases de datos en el formato SQL por defecto. Los intentos de crear bases de datos en el formato DBM heredado fallan. Las bases de datos DBM existentes se abren en modo de sólo lectura y se convierten automáticamente al formato SQL. Tenga en cuenta que NSS soporta el formato de archivo SQL desde Red Hat Enterprise Linux 6.

Los paquetes openssh han sido actualizados a la versión 7.8p1 de la corriente principal. Los cambios notables incluyen:

Este cambio introduce libssh como un componente criptográfico central en Red Hat Enterprise Linux 8. La biblioteca libssh implementa el protocolo Secure SHell (SSH).

Tenga en cuenta que libssh no cumple con la política criptográfica de todo el sistema.

La biblioteca libssh2, obsoleta, echa de menos funciones como la compatibilidad con curvas elípticas o la interfaz de programa de aplicación de servicios de seguridad genéricos (GSSAPI), y se ha eliminado de RHEL 8 en favor de libssh

Los archivos de configuración de los paquetes rsyslog utilizan ahora el formato no heredado por defecto. El formato heredado puede seguir utilizándose, aunque la mezcla de declaraciones de configuración actuales y heredadas tiene varias limitaciones. Las configuraciones que se llevan de versiones anteriores de RHEL deben ser revisadas. Consulte la página de manual rsyslog.conf(5) para obtener más información.

Para evitar los registros duplicados que podrían aparecer al rotar los archivos de journald, se ha añadido la opción imjournal. Tenga en cuenta que el uso de esta opción puede afectar al rendimiento.

Tenga en cuenta que el sistema con rsyslog puede ser configurado para proporcionar un mejor rendimiento como se describe en el artículo de la base de conocimientos Configuración del registro del sistema sin journald o con uso minimizado de journald.

La configuración del entorno de registro por defecto puede consumir 4 GB de memoria o incluso más y los ajustes de los valores de límite de velocidad son complejos cuando systemd-journald se ejecuta con rsyslog.

Consulte el artículo de la base de conocimientos Efectos negativos de la configuración de registro por defecto de RHEL en el rendimiento y sus mitigaciones para obtener más información.

Esta actualización proporciona la API de la biblioteca compartida OpenSCAP que ha sido consolidada. Se han eliminado 63 símbolos, se han añadido 14 y 4 tienen una firma actualizada. Los símbolos eliminados en OpenSCAP 1.3.0 incluyen:

En RHEL 8.2, se ha introducido una nueva utilidad para el escaneo de seguridad y cumplimiento de los contenedores. La herramienta oscap-podman proporciona un equivalente de la utilidad oscap-docker que sirve para escanear contenedores e imágenes de contenedores en RHEL 7.

Para más información, consulte la sección Análisis de vulnerabilidades en contenedores e imágenes de contenedores.

Con esta actualización, la funcionalidad de audispd se ha trasladado a auditd. En consecuencia, las opciones de configuración de audispd pasan a formar parte de auditd.conf. Además, el directorio plugins.d se ha trasladado a /etc/audit. El estado actual de auditd y sus complementos puede comprobarse ahora ejecutando el comando service auditd state.

La política SELinux de RHEL 8 proporciona los siguientes tipos de puertos adicionales:

Además, se han modificado las definiciones de los tipos de puerto dns_port_t y ephemeral_port_t, y se ha eliminado el tipo de puerto gluster_port_t.

Los comandos useradd y groupadd no permiten nombres de usuarios y grupos que consistan únicamente en caracteres numéricos. La razón para no permitir tales nombres es que esto puede confundir potencialmente a muchas herramientas que trabajan con nombres de usuarios y grupos e ids de usuarios y grupos (que son números). Por favor, tenga en cuenta que los nombres de usuario y grupo totalmente numéricos están obsoletos en Red Hat Enterprise Linux 7 y su soporte se elimina completamente en Red Hat Enterprise Linux 8.

Debido a la naturaleza dinámica de los archivos de dispositivos de tty en los sistemas Linux modernos, el módulo PAM securetty se ha desactivado por defecto y el archivo de configuración /etc/securetty ya no se incluye en RHEL. Dado que /etc/securetty enumeraba muchos dispositivos posibles de modo que el efecto práctico en la mayoría de los casos era permitir por defecto, este cambio sólo tiene un impacto menor. Sin embargo, si utiliza una configuración más restrictiva, deberá añadir una línea que habilite el módulo pam_securetty.so en los archivos correspondientes del directorio /etc/pam.d y crear un nuevo archivo /etc/securetty.

El pin Clevis HTTP ha sido eliminado de RHEL 8, y el subcomando clevis encrypt http ya no está disponible.

Los scripts de red están obsoletos en Red Hat Enterprise Linux 8 y ya no se proporcionan por defecto. La instalación básica proporciona una nueva versión de los scripts ifup y ifdown que llaman NetworkManager a través de la herramienta nmcli herramienta. En Red Hat Enterprise Linux 8, para ejecutar los scripts ifup y ifdown, NetworkManager deben estar ejecutándose.

~]# yum install network-scripts

En Red Hat Enterprise Linux 8, NetworkManager permite configurar el número de funciones virtuales (VF) para las interfaces que soportan la virtualización de E/S de raíz única (SR-IOV). Adicionalmente, NetworkManager permite configurar algunos atributos de las VFs, tales como la dirección MAC, VLAN, la configuración de spoof checking y las tasas de bits permitidas. Tenga en cuenta que todas las propiedades relacionadas con SR-IOV están disponibles en la configuración de la conexión sriov. Para más detalles, consulte la página man nm-settings(5).

Anteriormente, era posible restringir una conexión a una interfaz determinada utilizando sólo una coincidencia exacta en el nombre de la interfaz. Con esta actualización, las conexiones tienen una nueva propiedad match.interface-name que admite comodines. Esta actualización permite a los usuarios elegir la interfaz para una conexión de una manera más flexible utilizando un patrón de comodines.

Con esta mejora, NetworkManager admite la configuración de las características de descarga de ethtool, y los usuarios ya no necesitan utilizar scripts de init o un script despachador de NetworkManager. Como resultado, los usuarios pueden ahora configurar la función de descarga como parte del perfil de conexión utilizando uno de los siguientes métodos:

Tenga en cuenta que actualmente esta función no es compatible con las interfaces gráficas ni con la utilidad nmtui.

NetworkManager soporta los plug-ins DHCP internal y dhclient. Por defecto, NetworkManager en Red Hat Enterprise Linux (RHEL) 7 utiliza el plug-in dhclient y RHEL 8 el plug-in internal. En ciertas situaciones, los plug-ins se comportan de manera diferente. Por ejemplo, dhclient puede utilizar configuraciones adicionales especificadas en el directorio /etc/dhcp/.

Si actualiza de RHEL 7 a RHEL 8 y NetworkManager se comporta de forma diferente, añada la siguiente configuración a la sección [main] del archivo /etc/NetworkManager/NetworkManager.conf para utilizar el complemento dhclient:

[main]
dhcp=dhclient

El paquete NetworkManager-config-server sólo se instala por defecto si se selecciona el entorno base Server o Server with GUI durante la configuración. Si ha seleccionado un entorno diferente, utilice el comando yum install NetworkManager-config-server para instalar el paquete.

El marco de trabajo nftables proporciona facilidades de clasificación de paquetes y es el sucesor designado de las herramientas iptables, ip6tables, arptables, y ebtables. Ofrece numerosas mejoras en cuanto a comodidad, características y rendimiento con respecto a las anteriores herramientas de filtrado de paquetes, sobre todo:

Al igual que iptables, nftables utiliza tablas para almacenar cadenas. Las cadenas contienen reglas individuales para realizar acciones. La herramienta nft sustituye a todas las herramientas de los anteriores marcos de filtrado de paquetes. La biblioteca libnftables puede utilizarse para la interacción de bajo nivel con nftables Netlink API sobre la biblioteca libmnl.

Las herramientas iptables, ip6tables, ebtables y arptables son reemplazadas por sustitutos basados en nftables con el mismo nombre. Mientras que el comportamiento externo es idéntico al de sus homólogas heredadas, internamente utilizan nftables con los módulos del kernel netfilter heredados a través de una interfaz de compatibilidad cuando es necesario.

El efecto de los módulos en el conjunto de reglas nftables puede observarse utilizando el comando nft list ruleset. Dado que estas herramientas añaden tablas, cadenas y reglas al conjunto de reglas nftables, tenga en cuenta que las operaciones del conjunto de reglas nftables, como el comando nft flush ruleset, podrían afectar a los conjuntos de reglas instalados mediante los comandos heredados anteriormente separados.

Para identificar rápidamente qué variante de la herramienta está presente, se ha actualizado la información de la versión para incluir el nombre del back-end. En RHEL 8, la herramienta iptables basada en nftables imprime la siguiente cadena de versión:

$ iptables --version
iptables v1.8.0 (nf_tables)

Para comparar, se imprime la siguiente información de la versión si la herramienta iptables está presente:

$ iptables --version
iptables v1.8.0 (legacy)

La funcionalidad de la cadena FORWARD de arptables ha sido eliminada en Red Hat Enterprise Linux (RHEL) 8. Ahora puede utilizar la cadena FORWARD de la herramienta ebtables añadiendo las reglas en ella.

En RHEL 8, el comando ebtables es proporcionado por el paquete iptables-ebtables, que contiene una reimplementación de la herramienta basada en nftables. Esta herramienta tiene una base de código diferente, y su salida se desvía en aspectos, que son insignificantes o elecciones de diseño deliberadas.

En consecuencia, cuando migre sus scripts que analizan alguna salida de ebtables, ajuste los scripts para que reflejen lo siguiente:

Esta actualización añade las herramientas iptables-translate y ip6tables-translate para convertir las reglas existentes de iptables o ip6tables en las equivalentes para nftables. Tenga en cuenta que algunas extensiones carecen de soporte de traducción. Si existe una extensión de este tipo, la herramienta imprime la regla no traducida con el prefijo #. Por ejemplo:

| % iptables-translate -A INPUT -j CHECKSUM --checksum-fill
| nft # -A INPUT -j CHECKSUM --checksum-fill

Además, los usuarios pueden utilizar las herramientas iptables-restore-translate y ip6tables-restore-translate para traducir un volcado de reglas. Tenga en cuenta que antes de eso, los usuarios pueden utilizar los comandos iptables-save o ip6tables-save para imprimir un volcado de las reglas actuales. Por ejemplo:

| % sudo iptables-save >/tmp/iptables.dump
| % iptables-restore-translate -f /tmp/iptables.dump
| # Translated by iptables-restore-translate v1.8.0 on Wed Oct 17 17:00:13 2018
| add table ip nat
| ...

En Red Hat Enterprise Linux (RHEL) 8, el paquete wpa_supplicant se construye con CONFIG_DEBUG_SYSLOG activado. Esto permite leer el registro wpa_supplicant utilizando la utilidad journalctl en lugar de comprobar el contenido del archivo /var/log/wpa_supplicant.log.

El paquete wpa_supplicant no soporta extensiones inalámbricas. Cuando un usuario intenta utilizar wext como argumento de línea de comandos, o intenta utilizarlo en adaptadores antiguos que sólo soportan extensiones inalámbricas, no podrá ejecutar el demonio wpa_supplicant.

Un nuevo algoritmo de control de la congestión TCP, el ancho de banda del cuello de botella y el tiempo de viaje de ida y vuelta (BBR) es ahora compatible con Red Hat Enterprise Linux (RHEL) 8. BBR intenta determinar el ancho de banda del enlace cuello de botella y el tiempo de ida y vuelta (RTT). La mayoría de los algoritmos de congestión se basan en la pérdida de paquetes (incluyendo CUBIC, el algoritmo de control de congestión TCP de Linux por defecto), que tienen problemas en los enlaces de alto rendimiento. BBR no reacciona a los eventos de pérdida directamente, sino que ajusta la tasa de ritmo de TCP para que coincida con el ancho de banda disponible. Los usuarios de TCP BBR deben cambiar a la configuración de colas fq en todas las interfaces implicadas.

Tenga en cuenta que los usuarios deben utilizar explícitamente fq y no fq_codel.

Para más detalles, consulte la página de manual tc-fq.

En Red Hat Enterprise Linux 8.0, el kernel incluye soporte para los controladores de red virtual IPVLAN. Con esta actualización, las tarjetas de interfaz de red (NIC) virtuales IPVLAN permiten la conectividad de red para múltiples contenedores exponiendo una única dirección MAC a la red local. Esto permite que un solo host tenga muchos contenedores superando la posible limitación en el número de direcciones MAC soportadas por los equipos de red pares.

El firmware de algunos adaptadores de red no es totalmente compatible con el estándar 802.1ad, que también se denomina Q-in-Q o redes de área local virtual (VLAN) apiladas. Póngase en contacto con su proveedor de hardware para saber cómo verificar que su adaptador de red utiliza un firmware compatible con el estándar 802.1ad y cómo actualizar el firmware. Como resultado, con el firmware correcto, la configuración de las VLAN apiladas en RHEL 8.0 funciona como se espera.

el mecanismoControl group v2 es un grupo de control jerárquico unificado. Control group v2 organiza los procesos jerárquicamente y distribuye los recursos del sistema a lo largo de la jerarquía de forma controlada y configurable.

A diferencia de la versión anterior, control group v2 tiene una sola jerarquía. Esta única jerarquía permite al kernel de Linux:

Control group v2 es compatible con numerosos controladores:

La información anterior se basa en cgroups-v2 online documentation. Puede consultar el mismo enlace para obtener más información sobre determinados controladores de control group v2.

Con esta actualización, se dispone de soporte para el direccionamiento físico (PA) de 52 bits para la arquitectura ARM de 64 bits. Esto proporciona un espacio de direcciones físicas mayor que el anterior PA de 48 bits.

Con Red Hat Enterprise Linux 7, el bus de memoria existente tenía 48/46 bits de capacidad de direccionamiento de memoria virtual/física, y el kernel de Linux implementó 4 niveles de tablas de páginas para gestionar estas direcciones virtuales a direcciones físicas. La línea de direccionamiento del bus físico puso la capacidad límite superior de la memoria física en 64 TB.

Estos límites se han ampliado a 57/52 bits de direccionamiento de memoria virtual/física con 128 PiB de espacio de direcciones virtuales (64PB de usuario/64PB de núcleo) y 4 PB de capacidad de memoria física.

Con el rango de direcciones ampliado, la gestión de memoria en Red Hat Enterprise Linux 8 añade soporte para la implementación de tablas de páginas de 5 niveles, para poder manejar el rango de direcciones ampliado. Por defecto, RHEL8 deshabilitará el soporte de la tabla de páginas de 5 niveles incluso en los sistemas que soportan esta característica. Esto se debe a una potencial degradación del rendimiento cuando se utilizan tablas de páginas de 5 niveles si no se necesita un espacio de direcciones virtual o físico ampliado. Un argumento de arranque permitirá a los sistemas con hardware que soporta esta característica utilizarla.

La utilidad bpftool, que sirve para la inspección y manipulación sencilla de programas y mapas basados en el filtrado de paquetes de Berkeley ampliado (eBPF), ha sido añadida al kernel de Linux. bpftool forma parte del árbol de fuentes del kernel, y es proporcionada por el paquete bpftool, que se incluye como subpaquete del paquete kernel.

La función extended Berkeley Packet Filtering (eBPF) está disponible como Technology Preview tanto para la creación de redes como para el rastreo. eBPF permite que el espacio de usuario adjunte programas personalizados en una variedad de puntos (sockets, puntos de rastreo, recepción de paquetes) para recibir y procesar datos. La característica incluye una nueva llamada al sistema bpf(), que soporta la creación de varios tipos de mapas, y también para insertar varios tipos de programas en el kernel. Tenga en cuenta que la llamada al sistema bpf() sólo puede ser utilizada con éxito por un usuario con la capacidad CAP_SYS_ADMIN, como el usuario root. Consulte la página man bpf(2) para más información.

BPF Compiler Collection (BCC) es un kit de herramientas de espacio de usuario para crear programas eficientes de rastreo y manipulación del kernel que está disponible como Technology Preview en Red Hat Enterprise Linux 8. BCC proporciona herramientas para el análisis de E/S, la creación de redes y la monitorización de los sistemas operativos Linux utilizando la plataforma extended Berkeley Packet Filtering (eBPF).

La especificación del cargador de arranque (BLS) define un esquema y un formato de archivo para gestionar las configuraciones del cargador de arranque para cada opción de arranque en un directorio drop-in. No es necesario manipular los archivos de configuración individuales del drop-in. Esta premisa es particularmente relevante en Red Hat Enterprise Linux 8 porque no todas las arquitecturas utilizan el mismo gestor de arranque:

Cada gestor de arranque tiene un archivo de configuración y un formato diferente que tiene que ser modificado cuando se instala o se elimina un nuevo kernel. En las versiones anteriores de Red Hat Enterprise Linux el componente que permitía este trabajo era la utilidad grubby. Sin embargo, para Red Hat Enterprise Linux 8 la configuración del gestor de arranque se estandarizó implementando el formato de archivo BLS, donde grubby funciona como una fina envoltura alrededor de las operaciones BLS.

Anteriormente, el servicio kdump se iniciaba demasiado tarde para registrar los fallos del kernel que se producían en las primeras fases del proceso de arranque. Como resultado, se perdía la información sobre los fallos y la posibilidad de solucionarlos.

Para solucionar este problema, RHEL 8 introdujo un soporte de early kdump. Para saber más sobre este mecanismo, consulte el archivo /usr/share/doc/kexec-tools/early-kdump-howto.txt. Vea también ¿Qué es el soporte de kdump temprano y cómo lo configuro?

En RHEL 8 se ha eliminado la compatibilidad con los siguientes controladores de dispositivos:

La compatibilidad con los adaptadores que se enumeran a continuación se ha eliminado en RHEL 8. La compatibilidad con otros adaptadores distintos de los enumerados de los controladores mencionados no ha cambiado.

Los ID de PCI tienen el formato de vendor:device:subvendor:subdevice. Si la entrada subdevice o subvendor:subdevice no aparece en la lista, se han eliminado los dispositivos con cualquier valor de dichas entradas que faltan.

Para comprobar los IDs PCI del hardware de su sistema, ejecute el comando lspci -nn.

El sistema de archivos Btrfs ha sido eliminado en Red Hat Enterprise Linux 8. Esto incluye los siguientes componentes:

Ya no se puede crear, montar o instalar en sistemas de archivos Btrfs en Red Hat Enterprise Linux 8. El instalador Anaconda y los comandos Kickstart ya no soportan Btrfs.

El sistema de archivos XFS soporta la funcionalidad de extensión de datos compartidos de copia en escritura. Esta función permite que dos o más archivos compartan un conjunto común de bloques de datos. Cuando alguno de los archivos que comparten bloques comunes cambia, XFS rompe el vínculo con los bloques comunes y crea un nuevo archivo. Esto es similar a la funcionalidad de copia en escritura (COW) que se encuentra en otros sistemas de archivos.

Las extensiones de datos de copia en escritura compartidas son:

Las utilidades del espacio de usuario pueden utilizar extensiones de datos compartidos de copia en escritura para:

Esta funcionalidad también es utilizada por subsistemas del kernel como Overlayfs y NFS para un funcionamiento más eficiente.

Las extensiones de datos compartidas de copia en escritura están ahora habilitadas por defecto al crear un sistema de archivos XFS, a partir de la versión del paquete xfsprogs 4.17.0-2.el8 .

Tenga en cuenta que los dispositivos de acceso directo (DAX) actualmente no admiten XFS con extensiones de datos compartidas de copia en escritura. Para crear un sistema de archivos XFS sin esta característica, utilice el siguiente comando:

# mkfs.xfs -m reflink=0 block-device

Red Hat Enterprise Linux 7 puede montar sistemas de archivos XFS con extensiones de datos compartidos de copia en escritura sólo en el modo de sólo lectura.

Con esta actualización, los metadatos de ext4 están protegidos por sumas de comprobación. Esto permite que el sistema de archivos reconozca los metadatos corruptos, lo que evita daños y aumenta la resistencia del sistema de archivos.

En Red Hat Enterprise Linux 8.0, la configuración NFS se ha movido del archivo de configuración /etc/sysconfig/nfs, que se utilizaba en Red Hat Enterprise Linux 7, a /etc/nfs.conf.

El archivo /etc/nfs.conf utiliza una sintaxis diferente. Red Hat Enterprise Linux 8 intenta convertir automáticamente todas las opciones de /etc/sysconfig/nfs a /etc/nfs.conf cuando se actualiza desde Red Hat Enterprise Linux 7.

Ambos archivos de configuración son compatibles con Red Hat Enterprise Linux 7. Red Hat recomienda que utilice el nuevo archivo /etc/nfs.conf para que la configuración NFS en todas las versiones de Red Hat Enterprise Linux sea compatible con los sistemas de configuración automatizada.

Además, se han eliminado los siguientes alias de servicios NFS y se han sustituido por sus nombres anteriores:

BOOM es un gestor de arranque para sistemas Linux que utilizan cargadores de arranque compatibles con la especificación BootLoader para la configuración de entradas de arranque. Permite una configuración de arranque flexible y simplifica la creación de entradas de arranque nuevas o modificadas: por ejemplo, para arrancar imágenes instantáneas del sistema creadas mediante LVM.

BOOM no modifica la configuración existente del gestor de arranque, y sólo inserta entradas adicionales. La configuración existente se mantiene, y cualquier integración de la distribución, como los scripts de instalación y actualización del kernel, siguen funcionando como antes.

BOOM cuenta con una interfaz de línea de comandos (CLI) y una API simplificadas que facilitan la tarea de crear entradas de arranque.

Stratis es un nuevo gestor de almacenamiento local. Proporciona sistemas de archivos gestionados sobre pools de almacenamiento con características adicionales para el usuario.

Stratis le permite realizar más fácilmente tareas de almacenamiento como:

Para administrar el almacenamiento Stratis, utilice la utilidad stratis, que se comunica con el servicio de fondo stratisd.

Stratis se suministra como un avance tecnológico.

Para más información, consulte la documentación de Stratis: Gestión del almacenamiento local en capas con Stratis.

En RHEL 8, el formato LUKS versión 2 (LUKS2) sustituye al formato LUKS heredado (LUKS1). El subsistema dm-crypt y la herramienta cryptsetup utilizan ahora LUKS2 como formato por defecto para los volúmenes cifrados. LUKS2 proporciona a los volúmenes encriptados redundancia de metadatos y auto-recuperación en caso de un evento de corrupción parcial de metadatos.

Gracias a su disposición interna flexible, LUKS2 es también un facilitador de futuras características. Admite el autodesbloqueo a través del token genérico de kernel-keyring incorporado en libcryptsetup que permite a los usuarios desbloquear los volúmenes de LUKS2 utilizando una frase de contraseña almacenada en el servicio de retención de kernel-keyring.

Otras mejoras notables son:

Para más detalles, consulte las páginas de manual cryptsetup(8) y cryptsetup-reencrypt(8).

Los dispositivos de bloque utilizan ahora la programación de colas múltiples en Red Hat Enterprise Linux 8. Esto permite que el rendimiento de la capa de bloque se adapte bien a las rápidas unidades de estado sólido (SSD) y a los sistemas multinúcleo.

El controlador SCSI Multiqueue (scsi-mq) está ahora habilitado por defecto, y el kernel arranca con la opción scsi_mod.use_blk_mq=Y. Este cambio es consistente con el kernel de Linux.

Device Mapper Multipath (DM Multipath) requiere que el controlador scsi-mq esté activo.

Virtual Data Optimizer (VDO) ya está disponible en todas las arquitecturas soportadas por RHEL 8.

La funcionalidad de la caché de lectura ha sido eliminada del Optimizador de Datos Virtual (VDO). La caché de lectura está siempre desactivada en los volúmenes VDO, y ya no se puede activar mediante la opción --readCache de la utilidad vdo.

Red Hat podría reintroducir la caché de lectura VDO en una versión posterior de Red Hat Enterprise Linux, utilizando una implementación diferente.

El paquete dmraid ha sido eliminado de Red Hat Enterprise Linux 8. Los usuarios que necesiten soporte para adaptadores de bus de host (HBA) RAID combinados de hardware y software deben utilizar la utilidad mdadm, que soporta RAID de software MD nativo, el formato de datos de disco común (DDF) de SNIA RAID y los formatos de Intel® Matrix Storage Manager (IMSM).

Para más información, consulte Sección 11.1.3.2, “Eliminación del software FCoE”.

El servicio multipathd soporta ahora la detección mejorada de rutas marginales. Esto ayuda a los dispositivos multirruta a evitar las rutas que pueden fallar repetidamente, y mejora el rendimiento. Las rutas marginales son rutas con errores de E/S persistentes pero intermitentes.

Las siguientes opciones en el archivo /etc/multipath.conf controlan el comportamiento de las rutas marginales:

DM Multipath desactiva una ruta y la prueba con E/S repetidas durante el tiempo de muestra configurado si:

Si la ruta tiene más de la tasa de error configurada durante esta prueba, DM Multipath la ignora durante el tiempo de intervalo configurado, y luego vuelve a probarla para ver si está funcionando lo suficientemente bien como para ser reinstalada.

Para más información, consulte la página de manual multipath.conf.

El archivo /etc/multipath.conf incluye ahora una sección overrides que permite establecer un valor de configuración para todos los dispositivos. Estos atributos son utilizados por DM Multipath para todos los dispositivos a menos que sean sobrescritos por los atributos especificados en la sección multipaths del archivo /etc/multipath.conf para las rutas que contienen el dispositivo. Esta funcionalidad sustituye al parámetro all_devs de la sección devices del archivo de configuración, que ya no es compatible.

El tipo de transporte NVMe sobre Canal de Fibra (NVMe/FC) es ahora totalmente compatible con el modo de iniciador cuando se utiliza con adaptadores Broadcom Emulex y Marvell Qlogic Fibre Channel de 32 Gbit que cuentan con soporte NVMe.

NVMe sobre canal de fibra es un tipo de transporte de tejido adicional para el protocolo Nonvolatile Memory Express (NVMe), además del protocolo Remote Direct Memory Access (RDMA) que se introdujo anteriormente en Red Hat Enterprise Linux.

Activación de NVMe/FC:

Restricciones adicionales:

DIF/DIX es una adición al estándar SCSI. Permanece en Technology Preview para todos los HBAs y arrays de almacenamiento, excepto para aquellos específicamente listados como soportados.

DIF/DIX aumenta el tamaño del bloque de disco de 512 bytes comúnmente utilizado de 512 a 520 bytes, añadiendo el campo de integridad de datos (DIF). El DIF almacena un valor de suma de comprobación para el bloque de datos que es calculado por el adaptador de bus de host (HBA) cuando se produce una escritura. El dispositivo de almacenamiento confirma la suma de comprobación al recibirla y almacena tanto los datos como la suma de comprobación. A la inversa, cuando se produce una lectura, la suma de comprobación puede ser verificada por el dispositivo de almacenamiento y por el HBA receptor.

El paquete libstoragemgmt-netapp-plugin utilizado por la biblioteca libStorageMgmt ha sido eliminado. Ya no se admite porque:

LVM ya no utiliza clvmd (cluster lvm daemon) para gestionar los dispositivos de almacenamiento compartido. En su lugar, LVM utiliza ahora lvmlockd (demonio de bloqueo lvm).

LVM ya no utiliza el demonio lvmetad para almacenar en caché los metadatos, y siempre leerá los metadatos del disco. Se ha reducido la lectura de disco de LVM, lo que reduce los beneficios del almacenamiento en caché.

Anteriormente, la autoactivación de los volúmenes lógicos estaba vinculada indirectamente al ajuste use_lvmetad en el archivo de configuración lvm.conf. La forma correcta de desactivar la autoactivación sigue siendo la configuración de auto_activation_volume_list en el archivo lvm.conf.

LVM ya no puede gestionar dispositivos formateados con el gestor de volúmenes GFS pool o el formato de metadatos `lvm1`. si creó su volumen lógico antes de que se introdujera Red Hat Enterprise Linux 4, esto puede afectarle. Los grupos de volúmenes que utilizan el formato lvm1 deben ser convertidos al formato lvm2 utilizando el comando vgconvert.

La biblioteca lvm2app y los enlaces Python de LVM, que eran proporcionados por el paquete lvm2-python-libs, han sido eliminados. Red Hat recomienda las siguientes soluciones en su lugar:

Debe portar cualquier aplicación que utilice las bibliotecas y enlaces eliminados a la API D-Bus antes de actualizar a Red Hat Enterprise Linux 8.

Se ha eliminado la función de registro en espejo de los volúmenes LVM en espejo. Red Hat Enterprise Linux (RHEL) 8 ya no soporta la creación o activación de volúmenes LVM con un registro reflejado.

Los reemplazos recomendados son:

Subversion 1.10 introduce una serie de nuevas características desde la versión 1.7 distribuida en RHEL 7, así como los siguientes cambios de compatibilidad:

Los administradores del sistema pueden configurar el comando no versionado python, ubicado en /usr/bin/python, utilizando el comando alternatives. Tenga en cuenta que el paquete requerido, python3, python38, o python2, necesita ser instalado antes de configurar el comando no versionado a la versión respectiva.

pathfix.py -pn -i %{__python3} PATH ...

Red Hat Enterprise Linux 8 se distribuye con PHP 7.2. Esta versión introduce los siguientes cambios importantes con respecto a PHP 5.4, que está disponible en RHEL 7:

Se han eliminado las siguientes extensiones:

Perl 5.26, distribuido con RHEL 8, introduce los siguientes cambios respecto a la versión disponible en RHEL 7:

RHEL 8 proporciona Ruby 2.5, que introduce numerosas nuevas características y mejoras respecto a Ruby 2.0.0 disponibles en RHEL 7. Los cambios más destacados son:

RHEL 8 incluye la versión 3.0 del Simplified Wrapper and Interface Generator (SWIG), que ofrece numerosas novedades, mejoras y correcciones de errores respecto a la versión 2.0 distribuida en RHEL 7. Lo más destacable es que se ha implementado la compatibilidad con el estándar C 11. SWIG soporta ahora también Go 1.6, PHP 7, Octave 4.2, y Python 3.5.

Node.js, una plataforma de desarrollo de software para crear aplicaciones de red rápidas y escalables en el lenguaje de programación JavaScript, se proporciona por primera vez en RHEL. Anteriormente sólo estaba disponible como colección de software. RHEL 8 proporciona Node.js 10.

Tool command language (Tcl) es un lenguaje de programación dinámico. El intérprete de este lenguaje, junto con la librería C, lo proporciona el paquete tcl.

Utilizando Tcl emparejado con Tk (Tcl/Tk) permite crear aplicaciones GUI multiplataforma Tk es proporcionada por el paquete tk.

Tenga en cuenta que Tk puede referirse a cualquiera de los siguientes:

El sitio web Apache HTTP Serverse ha actualizado de la versión 2.4.6 a la versión 2.4.37 entre RHEL 7 y RHEL 8. Esta versión actualizada incluye varias características nuevas, pero mantiene la compatibilidad con la versión RHEL 7 a nivel de configuración y de la interfaz binaria de aplicación (ABI) de los módulos externos.

Las nuevas características incluyen:

Otros cambios notables son:

Para obtener instrucciones sobre el despliegue, consulte Configuración del servidor web Apache HTTP.

RHEL 8 introduce nginx 1.14, un servidor web y proxy que soporta HTTP y otros protocolos, con un enfoque de alta concurrencia, rendimiento y bajo uso de memoria. nginx estaba previamente disponible sólo como una Colección de Software.

El servidor web nginx soporta ahora la carga de claves privadas TLS de tokens de seguridad de hardware directamente desde los módulos PKCS#11. Como resultado, una configuración de nginx puede utilizar URLs de PKCS#11 para identificar la clave privada TLS en la directiva ssl_certificate_key.

El servidor Apache Tomcat ha sido eliminado de Red Hat Enterprise Linux. Apache Tomcat es un contenedor de servlets para las tecnologías Java Servlet y JavaServer Pages (JSP). Red Hat recomienda que los usuarios que necesiten un contenedor de servlets utilicen el servidor web JBoss.

Varnish Cache, un proxy inverso HTTP de alto rendimiento, se proporciona por primera vez en RHEL. Anteriormente sólo estaba disponible como Colección de Software. Varnish Cache almacena archivos o fragmentos de archivos en memoria que se utilizan para reducir el tiempo de respuesta y el consumo de ancho de banda de la red en futuras peticiones equivalentes. RHEL 8.0 se distribuye con Varnish Cache 6.0.

RHEL 8.0 se distribuye con Squid 4.4, un servidor proxy de caché de alto rendimiento para clientes web, que admite objetos de datos FTP, Gopher y HTTP. Esta versión ofrece numerosas novedades, mejoras y correcciones de errores con respecto a la versión 3.5 disponible en RHEL 7.

Los cambios más destacados son:

MariaDB 10.3 ofrece numerosas novedades respecto a la versión 5.5 distribuida en RHEL 7, como por ejemplo

Además, los nuevos paquetes mariadb-connector-c proporcionan una biblioteca cliente común para MySQL y MariaDB. Esta biblioteca puede utilizarse con cualquier versión de los servidores de bases de datos MySQL y MariaDB. Como resultado, el usuario puede conectar una compilación de una aplicación a cualquiera de los servidores MySQL y MariaDB distribuidos con RHEL 8.

Otros cambios notables son:

Véase también Uso de MariaDB en Red Hat Enterprise Linux 8.

RHEL 8 se distribuye con MySQL 8.0, que proporciona, por ejemplo, las siguientes mejoras:

Además, el servidor MySQL 8.0 distribuido con RHEL 8 está configurado para utilizar mysql_native_password como complemento de autenticación por defecto, ya que las herramientas y bibliotecas de cliente de RHEL 8 son incompatibles con el método caching_sha2_password, que se utiliza por defecto en la versión upstream MySQL 8.0.

Para cambiar el complemento de autenticación por defecto a caching_sha2_password, edite el archivo /etc/my.cnf.d/mysql-default-authentication-plugin.cnf como sigue:

[mysqld]
default_authentication_plugin=caching_sha2_password

RHEL 8.0 proporciona dos versiones del servidor de bases de datos PostgreSQL, distribuidas en dos flujos del módulo postgresql: PostgreSQL 10 (el flujo por defecto) y PostgreSQL 9.6. RHEL 7 incluye la versión 9.2 de PostgreSQL.

Los cambios más notables en PostgreSQL 9.6 son, por ejemplo:

Las principales mejoras en PostgreSQL 10 incluyen:

Véase también Uso de PostgreSQL en Red Hat Enterprise Linux 8.

En Red Hat Enterprise Linux 8, la cadena de herramientas GCC está basada en la serie de versiones GCC 8.2. Los cambios notables desde Red Hat Enterprise Linux 7 incluyen:

Esta sección describe en detalle los cambios en GCC relacionados con la seguridad y añadidos desde el lanzamiento de Red Hat Enterprise Linux

C Cambio de ABI en std::string y std::list

La interfaz binaria de aplicación (ABI) de las clases std::string y std::list de la biblioteca libstdc cambió entre RHEL 7 (GCC 4.8) y RHEL 8 (GCC 8) para ajustarse al estándar C 11. La biblioteca libstdc soporta tanto la antigua como la nueva ABI, pero algunas otras bibliotecas del sistema C no lo hacen. Como consecuencia, las aplicaciones que enlazan dinámicamente con estas bibliotecas tendrán que ser reconstruidas. Esto afecta a todos los modos estándar de C, incluyendo C 98. También afecta a las aplicaciones creadas con los compiladores de Red Hat Developer Toolset para RHEL 7, que mantuvieron la antigua ABI para mantener la compatibilidad con las bibliotecas del sistema.

GCC ya no construye código Ada, Go y Objective C/C

Se ha eliminado del compilador GCC la capacidad de construir código en los lenguajes Ada (GNAT), GCC Go y Objective C/C.

Para construir código Go, utilice el conjunto de herramientas Go.

Debido a que ntpd ha sido obsoleto en favor de chronyd en RHEL 8, los servidores IdM ya no están configurados como servidores del Protocolo de Tiempo de Red (NTP) y sólo están configurados como clientes NTP. El rol de servidor IdM de RHEL 7 NTP Server también ha quedado obsoleto en RHEL 8.

La suite OpenLDAP en versiones anteriores de Red Hat Enterprise Linux (RHEL) utilizaba el Mozilla Network Security Services (NSS) para fines criptográficos. Con RHEL 8, OpenSSL, que es soportado por la comunidad OpenLDAP, reemplaza a NSS. OpenSSL no admite las bases de datos NSS para almacenar certificados y claves. Sin embargo, sigue soportando archivos de correo de privacidad mejorada (PEM) que sirven para el mismo propósito.

En Red Hat Enterprise Linux (RHEL) 8, el paquete python-gssapi ha sustituido a los paquetes Kerberos de Python como python-krbV, python-kerberos, python-requests-kerberos, y python-urllib2_kerberos. Las ventajas más destacadas son:

Los paquetes basados en GSSAPI permiten el uso de otros mecanismos de la API de Servicios de Seguridad Genéricos (GSSAPI) además de Kerberos, como el NT LAN Manager NTLM por razones de compatibilidad con versiones anteriores.

Esta actualización mejora la capacidad de mantenimiento y depuración de GSSAPI en RHEL 8.

En RHEL 8, la configuración por defecto de la opción ad_gpo_access_control es enforcing, lo que garantiza que se evalúen y apliquen las reglas de control de acceso basadas en los objetos de política de grupo (GPO) de Active Directory.

En cambio, el valor por defecto de esta opción en RHEL 7 es permissive, que evalúa pero no aplica las reglas de control de acceso basadas en GPO. Con el modo permissive, se registra un mensaje de syslog cada vez que un usuario vería denegado su acceso por un GPO, pero esos usuarios siguen teniendo permiso para iniciar sesión.

Para obtener más información sobre los GPO, consulte Aplicación del control de acceso de objetos de política de grupo en RHEL y la entrada ad_gpo_access_control en la página del manual sssd-ad.

En RHEL 8, la utilidad authselect sustituye a la utilidad authconfig. authselect viene con un enfoque más seguro para la gestión de la pila PAM que hace que los cambios de configuración de PAM sean más sencillos para los administradores del sistema. authselect puede utilizarse para configurar métodos de autenticación como contraseñas, certificados, tarjetas inteligentes y huellas dactilares. authselect no configura los servicios necesarios para unirse a dominios remotos. Esta tarea la realizan herramientas especializadas, como realmd o ipa-client-install.

En RHEL 8, el almacenamiento por defecto de la caché de credenciales es el Kerberos Credential Manager (KCM) que está respaldado por el deamon sssd-kcm. KCM supera las limitaciones del anteriormente utilizado KEYRING, como que es difícil de utilizar en entornos de contenedores porque no tiene espacio para los nombres, y para ver y gestionar las cuotas.

Con esta actualización, RHEL 8 contiene una caché de credenciales que se adapta mejor a los entornos en contenedores y que proporciona una base para crear más funciones en futuras versiones.

Con esta actualización, la utilidad sssctl del demonio de servicios de seguridad del sistema (SSSD) puede imprimir un informe de control de acceso para un dominio de gestión de identidades (IdM). Esta función satisface la necesidad de ciertos entornos de ver, por razones normativas, una lista de usuarios y grupos que pueden acceder a una máquina cliente específica. La ejecución de sssctl access-report domain_name en un cliente IdM imprime el subconjunto analizado de reglas de control de acceso basado en host (HBAC) en el dominio IdM que se aplican al equipo cliente.

Tenga en cuenta que ningún otro proveedor aparte de IdM admite esta función.

En RHEL 8, el demonio de servicios de seguridad del sistema (SSSD) sirve a los usuarios y grupos desde los archivos /etc/passwd y /etc/groups por defecto. El módulo sss nsswitch precede a los archivos del archivo /etc/nsswitch.conf.

La ventaja de servir a los usuarios locales a través de SSSD es que el módulo nss_sss tiene un rápido memory-mapped cache que acelera las búsquedas del conmutador de servicios de nombres (NSS) en comparación con el acceso al disco y la apertura de los archivos en cada solicitud de NSS. Anteriormente, el demonio de caché del servicio de nombres (nscd) ayudaba a acelerar el proceso de acceso al disco. Sin embargo, el uso de nscd en paralelo con SSSD es engorroso, ya que tanto SSSD como nscd utilizan su propia caché independiente. En consecuencia, el uso de nscd en configuraciones donde SSSD también está sirviendo a los usuarios de un dominio remoto, por ejemplo LDAP o Active Directory, puede causar un comportamiento impredecible.

Con esta actualización, la resolución de usuarios y grupos locales es más rápida en RHEL 8. Tenga en cuenta que el usuario root nunca es manejado por SSSD, por lo tanto la resolución de root no puede ser impactada por un potencial error en SSSD. Tenga en cuenta también que si SSSD no se está ejecutando, el módulo nss_sss maneja la situación con gracia retrocediendo a nss_files para evitar problemas. No es necesario configurar SSSD de ninguna manera, el dominio de archivos se añade automáticamente.

Por defecto, el demonio de servicios de seguridad del sistema (SSSD) intenta detectar un dispositivo para la autenticación de la tarjeta inteligente automáticamente. Si hay varios dispositivos conectados, SSSD selecciona el primero que detecta. En consecuencia, no puede seleccionar un dispositivo en particular, lo que a veces provoca fallos.

Con esta actualización, puede configurar una nueva opción p11_uri para la sección [pam] del archivo de configuración sssd.conf. Esta opción permite definir qué dispositivo se utiliza para la autenticación con tarjeta inteligente.

Por ejemplo, para seleccionar un lector con el id de ranura 2 detectado por el módulo OpenSC PKCS#11, añada:

p11_uri = library-description=Marco de la tarjeta inteligente OpenSC;slot-id=2

a la sección [pam] de sssd.conf.

Para más detalles, consulte la página man sssd.conf.

El componente sssd-secrets del demonio de servicios de seguridad del sistema (SSSD) ha sido eliminado en Red Hat Enterprise Linux 8. Esto se debe a que Custodia, un proveedor de servicios de secretos, ya no se desarrolla activamente. Utilice otras herramientas de Gestión de Identidades para almacenar secretos, por ejemplo la Bóveda de Gestión de Identidades.