systemd on TripleZ's Blog https://blog.triplez.cn/tags/systemd/ Recent content in systemd on TripleZ's Blog Hugo -- gohugo.io zh-cn Thu, 31 Mar 2022 20:31:19 +0800 通过 systemd 服务配置链接动态库 https://blog.triplez.cn/posts/systemd-binary-service-dynamic-linking/ Thu, 31 Mar 2022 20:31:19 +0800 https://blog.triplez.cn/posts/systemd-binary-service-dynamic-linking/ 巧用 systemd 与 LD_LIBRARY_PATH 序

在设置动态链接的方法中，rpath 有其自身的问题1 ， ld.so.conf 为 OS 全局配置，可能会因为单一服务的动态库版本而影响到其他服务，不是一个优雅的方法。

那如何才能不借助 rpath 和 ld.so.conf ，即能使目标服务找到对应的动态链接库，又能不影响其他服务呢？

LD_LIBRARY_PATH

对于动态链接库的路径配置而言，除了 rpath 和 ld.so.conf ，还有 LD_LIBRARY_PATH。只要在二进制启动的环境中设置 LD_LIBRARY_PATH 变量，则 glibc 会将该变量中的路径配置作为动态链接库的查找路径之一，使得二进制可执行文件能够正常链接到其依赖的动态链接库。

LD_LIBRARY_PATH 会在当前 shell session 中“全局”生效，不过，由于笔者服务采用 systemd 来管理其生命周期，按照上述思路，应该只需要在服务启动前，将 LD_LIBRARY_PATH 注入启动环境即可，这样还能够借助 systemd 来实现一定程度的环境“隔离”。systemd 服务配置中的 Environment 字段是用于描述启动环境的环境变量的，我们先在这里加入 LD_LIBRARY_PATH （如下），重新加载 systemd 配置并重启服务，观察效果。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22

 [Unit]
 Description=Nginx
 After=syslog.target network.target remote-fs.target nss-lookup.target

 [Service]
 User=triplez
 Group=triplez
 Type=forking
+Environment="LD_LIBRARY_PATH=/your/path/to/openssl/lib:/your/path/to/jemalloc/lib:/your/path/to/luajit/lib"
 PIDFile=/run/nginx/nginx.pid
 RuntimeDirectory=nginx
 RuntimeDirectoryMode=0755
 ExecStartPre=/your/path/to/nginx -t
 ExecStart=/your/path/to/nginx
 ExecReload=/bin/kill -s HUP $MAINPID
 ExecStop=/bin/kill -s QUIT $MAINPID

 PrivateTmp=true
 Restart=always

 [Install]
 WantedBy=multi-user.target

1
2

$ sudo systemctl daemon-reload
$ sudo systemctl restart nginx.service

事实上，对于大多数服务，只需要加入环境变量即可解决问题。但很不幸的是，由于我们的服务需要监听 1024 及以下端口（如 80、443），笔者对二进制可执行文件进行了 setcap 操作，赋予其监听低位端口的能力。

1
2

$ sudo getcap /your/path/to/nginx
/your/path/to/nginx = cap_net_bind_service+ep

Capability

由于该文件含有 capability，glibc 会将 LD_LIBRARY_PATH 忽略2 3，导致服务还是无法正确链接到动态库上。

了解原因之后，接下来要做的事情也很清晰了：一是先将二进制可执行文件上的 capability 移除（chown 就可以将其移除， setcap -ep 亦可），二是利用 systemd 的服务配置来实现配置 capability （如下）。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

 [Unit]
 Description=Nginx
 After=syslog.target network.target remote-fs.target nss-lookup.target

 [Service]
 User=triplez
 Group=triplez
 Type=forking
 Environment="LD_LIBRARY_PATH=/your/path/to/openssl/lib:/your/path/to/jemalloc/lib:/your/path/to/luajit/lib"
 PIDFile=/run/nginx/nginx.pid
 RuntimeDirectory=nginx
 RuntimeDirectoryMode=0755
 ExecStartPre=/your/path/to/nginx -t
 ExecStart=/your/path/to/nginx
 ExecReload=/bin/kill -s HUP $MAINPID
 ExecStop=/bin/kill -s QUIT $MAINPID

+CapabilityBoundingSet=CAP_NET_BIND_SERVICE
+AmbientCapabilities=CAP_NET_BIND_SERVICE
 PrivateTmp=true
 Restart=always

 [Install]
 WantedBy=multi-user.target

再次重新加载 systemd 配置并重启服务，问题完美解决。

  1. RpathIssue
    https://wiki.debian.org/RpathIssue ↩︎

  2. Use of file capabilities disables LD_LIBRARY_PATH - Red Hat Bugzilla
    https://bugzilla.redhat.com/show_bug.cgi?id=448594 ↩︎

  3. shared libraries - Linux capabilities (setcap) seems to disable LD_LIBRARY_PATH - Stack Overflow
    https://stackoverflow.com/questions/9843178/linux-capabilities-setcap-seems-to-disable-ld-library-path ↩︎

]]> 使用 systemd 管理 frpc 服务 https://blog.triplez.cn/posts/using-systemd-manage-frpc-service/ Sat, 27 Jun 2020 14:26:07 +0000 https://blog.triplez.cn/posts/using-systemd-manage-frpc-service/ <p>Life is short, I use systemd.</p> Life is short, I use systemd.

前言

frp[1] 是著名的内网穿透软件，支持 TCP、UDP 协议，且只需简单配置服务端，通过编辑客户端配置即可完成内网穿透的功能。但是其只提供了二进制可执行文件，并没有将其打包，也就无法使用 systemd。而对于一个需要开机启动、失败拉起的基础功能来说，我们有对其通过 systemd 进行管理的需求，也就有了本文。

注册 frpc 服务

其实使用 systemd 来管理程序相当简单。只需要在 /etc/systemd/system/ 下写一个 *.service 的文件注册即可。

在 /etc/systemd/system/ 目录下新建 frpc.service ：

1

$ sudo touch /etc/systemd/system/frpc.service

将以下内容填入至 frpc.service ：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

[Unit]
Description=FRP Client Daemon
After=network.target
Wants=network.target

[Service]
Type=simple
ExecStart=/path/to/your/frpc -c /path/to/your/frpc.ini
Restart=always
RestartSec=20s
LimitNOFILE=infinity

[Install]
WantedBy=multi-user.target

frpc.service 的内容遵循 systemd 的配置格式[2][3]。

保存后重载 systemd 配置：

1

$ sudo systemctl daemon-reload

通过 systemd 控制 frpc

启动 frpc：

1

$ sudo systemctl start frpc

停止 frpc：

1

$ sudo systemctl stop frpc

查看 frpc 状态：

1

$ systemctl status frpc

将 frpc 设为开机启动：

1

$ sudo systemctl enable frpc

取消 frpc 开机启动：

1

$ sudo systemctl disable frpc

使用方法与 systemd units [4]相同。

References

  1. fatedier/frp in GitHub https://github.com/fatedier/frp
  2. systemd.unit https://www.freedesktop.org/software/systemd/man/systemd.unit.html
  3. systemd.service https://www.freedesktop.org/software/systemd/man/systemd.service.html
  4. systemd (Using units) - ArchWiki https://wiki.archlinux.org/index.php/Systemd#Using_units
]]>