Re: [devel-distro] Fwd: per-distro use_tempaddr policy

["Arseny Maslennikov" <arseny@altlinux.org>]

[-- Attachment #1: Type: text/plain, Size: 2949 bytes --]

On Mon Nov 9, 2026 at 6:55 PM MSK, Евгений Синельников wrote:
> 9 нояб. 2026 г. 19:18:08 UTC+4 Arseny Maslennikov <arseny@altlinux.org>:
> > Для каждого образа предлагаю авторам образов выбрать и включить
> > в его состав вариант:
> >   * не генерировать адресов с конечным сроком жизни
> >     (в ядре use_tempaddr = 0)
> >   * генерировать такие адреса, сделать их приоритетными
> >     для source address selection
> >     (в ядре use_tempaddr = 2)
> >
> > В те образы, в комплекте которых идёт NetworkManager, во втором случае
> > можно ещё положить вот такое:
> >
> >     # cat >/etc/NetworkManager/conf.d/51-use-tempaddr.conf <<-EOConf
> >     [connection]
> >     ipv6.addr-gen-mode=stable-privacy
> >     ipv6.ip6-privacy=2
> >     EOConf
> >
> > В меру моего скромного разумения включить privacy extensions из коробки
> > совершенно точно нужно в мобильных образах и workstation-* и совершенно
> > точно не нужно на сервере. Всё остальное требует внимания автора образа.
> > Если устройство введено в домен, то к нему должна применяться доменная
> > политика (как правило, админы домена прибьют dyndns по ключу/билету
> > или персистентные адреса)
>
> Привет.
>
> Чтобы получить такое поведение, что "если устройство введено в домен,
> то к нему должна применяться доменная политика", необходимо не только
> включение такого усиления безопасности предусмотреть, но и способы
> перенастройки.
>
> Наиболее простой и успешный метод сейчас - это создание control'ов.

Обернуть в control можно, да. Это мудрая идея.

Тут вступает в игру более общий недостаток control(8):
ему не хватает возможности применить все facilities в
инит-последовательности. Подобно тому, как применяются
tmpfiles.d и sysusers.d уже сейчас.
Это особенно уместно, например, в "атомарках" т. н.,
но полезно везде.

Но его исправлять нужно независимо от сабжа. :)

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 870 bytes --]