8.6. 네트워킹
NetworkManager가 정기적으로 업데이트된 라우팅 테이블을 크게 처리하면 CPU 사용량이 저하됩니다.
이전 버전에서는 외부 라우팅 데몬이 수천 개의 경로로 큰 IPv6 테이블을 업데이트할 때 NetworkManager에서 CPU 사용량을 거의 100%로 늘렸습니다. 이로 인해 전체 시스템 성능 및 네트워크 구성이 느려질 수 있습니다. 이 문제는 소규모 프로토콜 세트 이외의 라우팅 프로토콜의 경로 변경을 무시하도록 NetworkManager 소스 코드를 업데이트하여 해결되었습니다. 결과적으로 이전에 설명한 상황에서 CPU 사용량이 비정상적으로 증가합니다.
Jira:RHEL-26195[1]
ipv6.ip6-privacy 의 값이 더 이상 연결 활성화 간에 변경되지 않음
원래 ipv6.ip6-privacy 매개변수에 전역 기본값이 설정되지 않은 경우 해당 값은 /proc/sys/net/ipv6/conf/default/use_tempaddr 파일의 값으로 되돌아갑니다. 최근 NetworkManager 소스 코드를 변경하면 /proc/sys/net/ipv6/conf/IFNAME/use_tempaddr 파일에서 읽은 값으로 잘못 대체되었습니다. 그 결과 IPv6 주소 생성이 변경되었으며 ipv6.ip6-privacy 의 값이 연결 활성화 간에 변경될 수 있었습니다. 이 문제는 원래 동작으로 되돌리면 해결되었습니다. 결과적으로 ipv6.ip6-privacy 의 값은 연결 활성화 간에 더 이상 변경되지 않습니다.
이제 xdp-loader 기능 명령이 예상대로 작동합니다.
xdp-loader 유틸리티는 이전 버전의 libbpf 에 대해 컴파일되었습니다. 그 결과 xdp-loader 기능이 오류와 함께 실패했습니다.
Cannot display features, because xdp-loader was compiled against an old version of libbpf without support for querying features.
이제 유틸리티가 올바른 libbpf 버전에 대해 컴파일됩니다. 결과적으로 이제 명령이 예상대로 작동합니다.
DMFS 모드에서 Mellanox ConnectX-5 어댑터 작동
이전 버전에서는 이더넷 스위치 장치 드라이버 모델(switchdev) 모드를 사용하는 동안 ConnectX-5 어댑터의DMFS(Device managed flow steering) 모드에서 mlx5 드라이버가 실패했습니다. 결과적으로 다음 오류 메시지가 표시되었습니다.
mlx5_core 0000:5e:00.0: mlx5_cmd_out_err:780:(pid 980895): DELETE_FLOW_TABLE_ENTRY(0x938) op_mod(0x0) failed, status bad resource(0x5), syndrome (0xabe70a), err(-22)
결과적으로 ConnectX-5 어댑터의 펌웨어 버전을 16.35.3006 이상으로 업데이트하면 오류 메시지가 표시되지 않습니다.
Jira:RHEL-9897[1]
NetworkManager는 VPN 연결 프로필에서 CVE-2024-3661(TunnelVision)의 영향을 완화할 수 있습니다.
VPN 연결은 경로를 사용하여 터널을 통해 트래픽을 리디렉션합니다. 그러나 DHCP 서버에서 클래스리스 정적 경로 옵션(121)을 사용하여 클라이언트의 라우팅 테이블에 경로를 추가하고 DHCP 서버에서 전파하는 경로가 VPN과 겹치는 경우 VPN 대신 물리적 인터페이스를 통해 트래픽을 전송할 수 있습니다. CVE-2024-3661은 tunnelVision이라고도 하는 이 취약점을 설명합니다. 결과적으로 공격자는 사용자가 VPN에 의해 보호될 것으로 예상되는 트래픽에 액세스할 수 있습니다.
RHEL에서 이 문제는 LibreSwan IPSec 및 WireGuard VPN 연결에 영향을 미칩니다. ipsec-interface 및 vt-interface 속성이 모두 정의되지 않았거나 no 로 설정된 프로필과 LibreSwan IPSec 연결만 영향을 받지 않습니다.
CVE-2024-3661 문서에서는 VPN 연결 프로필을 설정하여 우선 순위가 높은 전용 라우팅 테이블에 VPN 경로를 배치하여 tunnelVision의 영향을 완화하는 단계를 설명합니다. 이 단계는 LibreSwan IPSec 및 WireGuard 연결 모두에서 작동합니다. 그러나 LibreSwan IPSec 연결 프로필에 완화 단계를 적용하려면 NetworkManager 1.48.10-5 이상을 사용해야 합니다. RHEL 9.5에서 이 버전은 RHSA-2025:0377 권고를 통해 제공됩니다.
Jira:RHEL-73167[1]
