8.6. ネットワーキング
定期的に更新される大きなルーティングテーブルを NetworkManager が処理しても、CPU 使用率がほとんど上昇しなくなる
以前は、外部ルーティングデーモンが数千を超えるルートを含む大きな IPv6 テーブルを更新すると、NetworkManager の CPU 使用率が 100% 近くまで増加していました。これにより、システム全体のパフォーマンスとネットワーク設定が遅くなることがありました。この問題は、NetworkManager ソースコードを更新して、少数のプロトコルを除くルーティングプロトコルのルート変更を無視することで修正されました。その結果、前述の状況でも CPU 使用率がほとんど上昇しなくなりました。
Jira:RHEL-26195[1]
接続がアクティブ化されても ipv6.ip6-privacy の値が変更されなくなる
以前は、ipv6.ip6-privacy パラメーターにグローバルデフォルト値が設定されていない場合、その値は /proc/sys/net/ipv6/conf/default/use_tempaddr ファイルの値に戻されていました。最近加えられた NetworkManager ソースコードへの変更により、代わりに /proc/sys/net/ipv6/conf/IFNAME/use_tempaddr ファイルから読み取られた値に誤ってフォールバックするようになっていました。その結果、IPv6 アドレスの生成が変更され、接続がアクティブ化されると、ipv6.ip6-privacy の値が変更されることがありました。この問題は、元の動作に戻すことで修正されました。その結果、接続がアクティブ化されても、ipv6.ip6-privacy の値が変更されなくなりました。
xdp-loader features コマンドが期待通りに動作するようになる
xdp-loader ユーティリティーは、libbpf の以前のバージョンに対してコンパイルされていました。その結果、xdp-loader features はエラーで失敗していました。
Cannot display features, because xdp-loader was compiled against an old version of libbpf without support for querying features.
このユーティリティーは、正しい libbpf バージョンに対してコンパイルされるようになりました。その結果、コマンドは期待どおりに動作するようになりました。
Mellanox ConnectX-5 アダプターが DMFS モードで動作する
以前は、イーサネットスイッチデバイスドライバーモデル (switchdev) モードを使用しているときに、ConnectX-5 アダプターのデバイス管理フローステアリング (DMFS) モードで設定されていると、mlx5 ドライバーが失敗していました。したがって、以下のエラーメッセージが表示されていました。
mlx5_core 0000:5e:00.0: mlx5_cmd_out_err:780:(pid 980895): DELETE_FLOW_TABLE_ENTRY(0x938) op_mod(0x0) failed, status bad resource(0x5), syndrome (0xabe70a), err(-22)
その結果、ConnectX-5 アダプターのファームウェアバージョンを 16.35.3006 以降に更新すると、エラーメッセージは表示されなくなります。
Jira:RHEL-9897[1]
NetworkManager で、VPN 接続プロファイルにおける CVE-2024-3661 (TunnelVision) の影響を軽減できるようになる
VPN 接続は、ルートを利用してトンネルを介してトラフィックをリダイレクトします。ただし、DHCP サーバーがクラスレススタティックルートオプション (121) を使用してクライアントのルーティングテーブルにルートを追加し、DHCP サーバーによって伝播されたルートが VPN と重複する場合、トラフィックは VPN ではなく物理インターフェイスを介して送信される場合があります。この脆弱性は CVE-2024-3661 で説明されており、TunnelVision とも呼ばれています。結果として、VPN によって保護されているはずのトラフィックに攻撃者がアクセスできるようになります。
RHEL では、この問題は LibreSwan IPSec および WireGuard VPN 接続に影響します。影響を受けないのは、ipsec-interface プロパティーと vt-interface プロパティーの両方が未定義または no に設定されているプロファイルを持つ LibreSwan IPSec 接続だけです。
CVE-2024-3661 ドキュメントでは、VPN ルートを優先度の高い専用ルーティングテーブルに配置するように VPN 接続プロファイルを設定することで、TunnelVision の影響を軽減する手順について説明しています。この手順は、LibreSwan IPSec 接続と WireGuard 接続の両方で機能します。ただし、LibreSwan IPSec 接続プロファイルに緩和手順を適用するには、NetworkManager 1.48.10-5 以降を使用する必要があります。RHEL 9.5 では、このバージョンは RHSA-2025:0377 アドバイザリーによって提供されます。
Jira:RHEL-73167[1]
