第 5 章 bullseye 中需要注意的问题

XFS 文件系统已经移除对 barrier 和 nobarrier 挂载选项的支持。请查看系统中的 /etc/fstab 文件、查找是否存在这些关键词并移除它们。继续采用这些选项的分区将无法挂载。

对 bullseye 系统来说，安全更新套装已从 codename/updates 重命名为 bullseye-security；用户应该在升级的同时相应更改 APT source-list 文件。

您的 APT 配置文件中与安全更新相关的行应当设置为如下所示：

deb https://deb.debian.org/debian-security bullseye-security main contrib

如果您的 APT 配置还含有关于 pinning 或者 APT::Default-Release 的内容，则可能也需要进行调整，因为安全更新仓库的版本代号不再与普通仓库相同。对于 bullseye 而言，一个可行的 APT::Default-Release 行类似于：

APT::Default-Release "/^bullseye(|-security|-updates)$/";

which takes advantage of APT's support for regular expressions (inside /).

用于本地系统帐号的默认密码哈希已从 SHA-512 变更为 yescrypt（参见 crypt(5)）。预期这项修改将提供对基于字典的密码猜测攻击的更好保护，可以提升针对攻击的时间和空间复杂性。

如需应用这一项安全措施，仅需修改一次本地密码。例如，使用 passwd 命令。

旧密码将继续正常工作，并不受到创建密码时采用的密码哈希类型的影响。

Debian 10（Buster）不支持 yescrypt。因此，shadow 密码文件（/etc/shadow）不可从一个 bullseye 系统复制到另一个 buster 系统上。如果这样复制了文件，在 bullseye 系统上修改过的密码将无法在 buster 系统上正常使用。类似地，不能从 bullseye 系统复制并在 buster 系统上粘贴对应的密码哈希。

如果需要跨 bullseye 和 buster 系统密码哈希的兼容性，请手动修改 /etc/pam.d/common-password 文件。找到如下字样的行：

password [success=1 default=ignore] pam_unix.so obscure yescrypt
	

并使用 sha512 替换 yescrypt。

NSS NIS 和 NIS+ 支持已移动至单独的 libnss-nis 和 libnss-nisplus 软件包中。令人遗憾的是 glibc 不能依赖这些软件包，所以它们仅被推荐安装。

在正在使用 NIS 或 NIS+ 的系统上，推荐在系统更新后检查这些软件包是否已经正确安装。

DNS 解析工具 unbound 更改了处理配置文件片段的方式。如果您依赖 include: 指令以将多个片段合并成一个有效的配置，请阅读 the NEWS file 了解具体信息。

The rsync parameter --noatime has been renamed --open-noatime. The old form is no longer supported; if you are using it you should see the NEWS file. Transfer processes between systems running different Debian releases may require the buster side to be upgraded to a version of rsync from the backports repository. The version of rsync in the initial release of bullseye also deprecated --copy-devices in favor of --write-devices, but version 3.2.3-4+deb11u1 (included in bullseye point release 11.1) reverts this deprecation and supports both options.

历史上，vim 的插件由 vim-scripts 软件包提供；它们现在由 Vim 的原生 “package” 功能而非 vim-addon-manager 管理。Vim 用户应该按照 NEWS 文件 给出的步骤在升级前进行相应的准备。

OpenStack Victoria（随 bullseye 提供）需要 cgroup v1 以用于块设备 QoS。因 bullseye 同时变更为默认使用 cgroupv2（参见 第 2.2.4 节 “控制组 v2”），在 /sys/fs/cgroup 中的 sysfs 树将不再包含 cgroup v1 的功能，如 /sys/fs/cgroup/blkio；这将导致 cgcreate -g blkio:foo 命令运行失败。对正在运行 nova-compute 或 cinder-volume 软件包的 OpenStack 节点，强烈建议将 systemd.unified_cgroup_hierarchy=false 和 systemd.legacy_systemd_cgroup_controller=false 的参数加入内核命令行中以覆盖默认配置并恢复旧有的 cgroup 层级结构。

跟随上游的建议，随 bullseye 发布的 OpenStack Victoria 将 OpenStack API 切换到了使用新的 YAML 格式。这导致大多数 OpenStack 服务，包括 Nova、Glance 和 Keystone，将无法和以 policy.json 格式文件编写的 API 策略共同工作。因此，软件包现在提供了 /etc/PROJECT/policy.d 文件夹和其中的 00_default_policy.yaml 文件，其中所有策略内容都默认处于注释状态。

为了免旧有的 policy.json 文件处于活动状态，Debian 的 OpenStack 软件包会将该文件重命名为 disabled.policy.json.old。在某些没有更好的升级策略的场景下，升级甚至会直接删除 policy.json 文件。所以在升级系统之前，我们强烈建议您事先备份已部署机器上的 policy.json 文件。

更多详细信息可以在上游文档中找到。

和 sendmail 软件包的普通升级有所不同，本次系统从 buster 升级为 bullseye 的过程中将停止 sendmail 服务，导致比通常情况更长的服务暂停。如需了解缩短停机时间的通用建议，请参考第 4.1.3 节 “准备服务停机”。

包括 gvfs-fuse、kio-fuse 和 sshfs 在内的部分软件包已经切换至使用 FUSE 3。在升级过程中，这将导致系统自动安装 fuse3 并卸载 fuse 软件包。

在某些特殊场景下，例如仅运行 apt-get dist-upgrade 命令进行系统升级而非按照第 4 章 从 Debian 10（buster）升级一节所描述的步骤升级的情况下，依赖 fuse3 的软件包可能在升级时维持在就版本。这时，使用 bullseye 提供的 apt 工具再次运行第 4.4.5 节 “升级系统”一节所描述的步骤或者手动升级相关的软件包可以解决这一问题。

从 2.2.27-1 版本开始，GnuPG 套件的用户配置文件已移动至 ~/.gnupg/gpg.conf，且 ~/.gnupg/options 已不再使用。如有必要，请重命名文件，或者将其内容移动至新位置。

自 Linux 5.10 版本之后，所有用户默认可以创建用户名字空间。此项功能可帮助网页浏览器和容器管理器等程序为不受信任的或可信程度较低的代码创建更加严格的沙盒环境，而无需以 root 身份运行或者使用 setuid-root 帮助程序。

先前版本的 Debian 默认只允许 root 身份的进程使用该项功能，因其暴露了内核中更多的安全问题。然而随着这项功能实现的成熟，我们现在有信心认为启用它的风险小于其带来的提升系统安全的好处。

如果您想要仍然限制这项特性，请设置如下 sysctl 参数：

user.max_user_namespaces = 0
      

请注意一些桌面和容器的特性在这项功能受限的情况下将无法工作，包括网页浏览器、WebKitGTK、Flatpak 和 GNOME 缩略图。

Debian 特有的 sysctl kernel.unprivileged_userns_clone=0 也能起到类似的作用，但该配置方式已经弃用。

从 Linux 5.10 开始，Debian 默认禁用非特权用户的 bpf() 调用。然而，如有需要，管理员仍可通过向 kernel.unprivileged_bpf_disabled sysctl 写入 0 或者 1 来改变此设定。

如果您希望仍然启用无特权的 bpf() 调用，请设置如下 sysctl 参数：

kernel.unprivileged_bpf_disabled = 0
      

如需了解该项默认值变更在 Debian 中的背景信息，请参见 #990411。

软件包 redmine 不在 bullseye 主源中提供，因没有足够时间从上游停止支持（只接受对严重安全问题修复的 bug）的旧版 rails 软件包到 bullseye 中的对应软件包迁移。Ruby Extras 团队的维护者计划跟随上游的更新并稍后通过 backports 途径在 bullseye 中提供可用的软件包。如果您无法等待 backports 提供的版本，您可以先使用运行 buster 系统的虚拟机或容器单独处理这个应用程序。

请将 bullseye 中的 Exim 更新视为一次重大的 Exim 更新。这次更新引入了受污染数据（tainted data）的概念，也就是从不受信任的来源（例如消息发送方或者接收方）读取的数据。这类受污染的数据（例如 $local_part 或者 $domain）将无法和其他字符串共同作为文件名、目录名，或者命令名使用。

未进行针对性更新的配置将无法工作。旧的 Debian Exim 配置文件在未经修改的情况下也将无法工作；用户需要安装新的配置文件，并合并本地改动。

典型的无法工作的例子包括：

处理这一改变的基本策略是使用 lookup 的结果进行进一步处理，而不是原本的（由远程提供的）值。

为了方便升级，有一个新的主配置选项，可以临时将 taint error 降为 warning，使得旧的配置能够在新的 Exim 中工作。要使用这个功能，在升级前添加

.ifdef _OPT_MAIN_ALLOW_INSECURE_TAINTED_DATA
 allow_insecure_tainted_data = yes
.endif

到 Exim 配置文件中（例如 /etc/exim4/exim4.conf.localmacros），并检查日志文件中是否有 taint warning。这是一个临时的解决方法，该功能在引入时就已经被标记为待删除了。

由于 Linux 内核的改动，对 SCSI 设备的探测不再是确定性的。这可能给依赖磁盘探测顺序的安装带来问题。两个可能的替代方案是使用 /dev/disk/by-path 中的链接，或者使用这个邮件列表帖子中的 udev 规则。

rdiff-backup 版本 1 和 2 的网络协议不兼容。这意味着本地和远程的 rdiff-backup 必须是相同版本（1 或者 2）。鉴于 buster 中的版本是 1.2.8 而 bullseye 中的版本是 2.0.5，仅将本地或远程的系统从 buster 升级到 bullseye 将使得 rdiff-backup 无法在二者间通讯。

可以从 buster-backports 仓库安装 rdiff-backup 2.0.5，参见 backports。这使得用户能够在 buster 系统上先仅升级 rdiff-backup 软件包，然后在方便的时候将各个系统独立地升级到 bullseye。

当前位于 bullseye 和 buster-security（参见 DSA-4934-1）中的 intel-microcode 软件包存在两个已知的严重问题。 对某些 CoffeeLake 处理器，这次更新可能导致使用 firmware-iwlwifi 的网络设备无法正常工作，另外，对于某些使用 Skylake R0/D0 处理器以及非常老旧的固件/BIOS 的系统，系统可能在启动时挂起。

如果您因为以上问题之一而没有安装来自 DSA-4934-1 的更新，或者您没有启用安全更新仓库，请注意，将 intel-microcode 软件包升级到 bullseye 可能导致您的系统在启动时挂起，或者导致 iwlwifi 无法使用。如果出现这种情况，您可以通过禁止在启动时加载微码来解决；参见 DSA 中的指引，或者阅读 intel-microcode 的 README.Debian。

在 buster 中依赖 libgc1c2 的软件包（例如 guile-2.2-libs）可能在升级到 bullseye 时的首次 full upgrade 的过程中被阻止升级。进行第二次升级通常会解决问题。此问题的背景可以在缺陷 #988963 中找到。

fail2ban 软件包可以配置为启用邮件通知。它通过调用 mail 实现此功能，此命令通过 Debian 中的多个软件包提供。Bullseye 发布前的一项安全更新（对于使用 mailutils 中的 mail 命令的系统是必需的）破坏了使用 bsd-mailx 中的 mail 命令的系统的此项功能。使用 fail2ban 及 bsd-mailx 且需要 fail2ban 发送邮件通知的用户需要切换提供 mail 的软件包，或者手动撤销此上游提交（即在 /etc/fail2ban/action.d/ 中的多个文件中加入字符串"-E 'set escape'"）带来的变更。

由于某些不幸的因素，虽然和以往一样，现有的 Secure Shell（SSH）连接可以在升级过程中继续工作，但是在升级过程中，无法建立新的 SSH 连接的时间比以往要长。如果升级是通过可能被中断的 SSH 连接进行的，建议在进行全系统升级前升级 openssh-server 软件包。

The openvswitch upgrade may fail to recover bridges after boot. The workaround is:

        sed -i s/^allow-ovs/auto/ /etc/network/interfaces
     

For more info, see bug #989720.

当 apt full-upgrade 完成时，“形式上的”升级就完成了。对于向 bullseye 的升级而言，重启前没有什么特别的操作需要完成。

有一些软件包，Debian 不能保证针对安全漏洞提供最小的向后移植。这些将在以下小节中介绍。

	注意
	debian-security-support 软件包可帮助跟踪已安装软件包的安全支持状态。

如果没有指针设备，用户不能直接改变 gnome-control-center 提供的 GNOME 设置的配置。备用方案是按下右方向键两次以从侧边栏导航至主内容。如需回到侧边栏，您可以使用 Ctrl+F 的键位组合启动搜索，随便输入一些内容，然后按下 Esc 键取消搜索。这时，您可以使用上方向键和下方向键在侧边栏中导航。使用键盘无法选中搜索结果。

在 buster 及之后的系统上使用的 sulogin 实现导致使用 rescue 选项的系统引导总是需要 root 密码。如果系统未设置 root 密码，救援（rescue）模式将实质上无法使用。然而，用户仍然可以改用 init=/sbin/sulogin --force 内核参数进行引导

要配置 systemd 在进入救援模式（也称作单用户（single）模式，参见 systemd(1)）时做出和上述修改等价的操作，运行 sudo systemctl edit rescue.service 并创建一个内容如下的文件：

[Service]
Environment=SYSTEMD_SULOGIN_FORCE=1
      

您可能也需要（或仅需要）对 emergency.service 单元启用该功能，因为该单元会在出现某些错误时自动启动（参见 systemd.special(7)），也会在内核命令行中添加了 emergency 时（例如无法使用救援模式恢复系统时）启动。

如需了解背景信息以及安全方面的意义，请参见 #802211。

The Linux kernel (from version 5.9) no longer supports 32-bit xen virtual machines using PV mode. Such virtual machines need to be converted to the 64-bit PC architecture.

You can check which mode a Xen guest is running (inside the virtual machine):

$ cat /sys/hypervisor/guest_type
PV
        

Virtual machines that return, for example, PVH or HVM are not affected.

以下是已知的和值得注意的过时软件包的列表（有关过时软件包的描述，请参阅第 4.8 节 “过时的软件包”）。

过时的软件包包括：

随着下一个版本 Debian 12（代号为 Bookworm）的发布，某些功能将被弃用。用户需要迁移到其他替代方案，以防止在更新到 Debian 12 时出现问题。

这包括以下特性：