man/systemd.netdev: clarify the wireguard AllowedIPs= setting

`AllowedIPs=` only affects "routing inside the network interface
itself", as in, which wireguard peer packets with a specific destination
address are sent to, and what source addresses are accepted from which
peer.

To cause packets to be sent via wireguard in first place, a route via
that interface needs to be added - either in the `[Routes]` section on
the `.network` matching the wireguard interface, or outside of networkd.

This is a common cause of misunderstanding, because tools like wg-quick
also add routes to the interface. However, those tools are meant as a
"extremely simple script for easily bringing up a WireGuard interface,
suitable for a few common use cases (from their manpage).

Networkd also should support other usecases - like setting AllowedIPs to
0.0.0.0/0 and ::/0 and having a dynamic routing protocol setting more
specific routes (or the user manually setting them).

Reported-In: https://github.com/systemd/systemd/issues/14176

Merge pull request #18040 from mrc0mmand/cryptenroll-unused-variable

cryptenroll: drop an unused variable

github: add the missing tpm2 optional dependency

travis: add missing optional build dependencies

cryptenroll: drop an unused variable

Fixes following warning/error w/ clang:
../src/cryptenroll/cryptenroll-tpm2.c:64:64: error: unused variable 'a' [-Werror,-Wunused-variable]
        _cleanup_(json_variant_unrefp) JsonVariant *v = NULL, *a = NULL;
                                                               ^
1 error generated.

Merge pull request #18029 from bluca/minor_fixes

Minor test script runner and labeller bot fixes

mkosi: Add basic editors to final images

It's often useful to have an editor available to edit some random
config file in the final image. Let's install some basic editors
that don't take up too much space.

Add more matching rules to GA labeler bot for subcomponents

False positives in GA labeler bot

Don't automatically match on man/* and **/meson.build, since we change those
files as part of larger changes that we usually don't mark that way

test: fix regex in run-integration-tests.sh

The regex results in calls of "make setup run -again" which is broken

test: use deny-list in run-integration-tests.sh

The old env var doesn't seem to be used anywhere, and the script
currently doesn't work, so it seems safe to change immediately

mkosi: Use --only-changed meson option when installing

Recently, mkosi gained support for specifying an --install-directory
option to save the contents of the install directory between bulids.
By enabling the --only-changed meson install option, meson won't
overwrite the contents of files that haven't changed since the last
build when using --install-directory.

man: Advertise systemd-time-wait-sync.service more (#17729)

* man: Advertise systemd-time-wait-sync.service more

The description of time-sync.target says that NTP services *should* pull
that target, but doesn't mention that e.g. systemd-timesyncd.service
doesn't actually do that. As a result, time-sync.target is reached way
earlier than people expect; see #5097, #8861, #11008.

systemd provides systemd-time-wait-sync.service to ameliorate this
problem, but doesn't feature it prominently in relevant manpages. In
fact, it's only mentioned in passing in systemd-timesyncd.service(8). As
a result, I ended up re-implementing that service, and I'm not the first
one: https://github.com/NixOS/nixpkgs/pull/51338

This patch adds a mention right in the description of time-sync.target,
which will hopefully raise awareness of this helper service.

tmpfiles: fix typo

Follow-up for 94566540e3863032df3a8a89f948b94d764ca2b4.

Merge pull request #18019 from yuwata/hostname-drop-libudev

hostname: fix build failure

man: update org.freedesktop.hostname1.xml

memory-id: fix never hit condition

As sizeof(int64_t) is always 8.

hostname: fix build failure

Follow-up for b9d8069832425b34211a6812e06537e0c50d46b6.

libudev.h was dropped from most of our binaries.

Merge pull request #15531 from felipeborges/add-device-model-field-to-hostnamed

hostnamed: Add "Model" field

networkd: add RouteDenyList

Allow configuration for IPv6 discovered routes to be ignored instead of
adding them as a route. This can be used to block unwanted routes, for
example, you may wish to not receive some set of routes on an interface
if they are causing issues.

Merge pull request #18015 from keszybz/dmi-test-mesonification2

Dmi test mesonification2

Merge pull request #18011 from yuwata/trivial-fixes

Trivial fixes for recently merged PRs

Merge pull request #17693 from yuwata/tmpfiles-compress-nocow-on-btrfs

tmpfiles: try to set file attributes one by one

Merge pull request #18009 from poettering/time-set-sync-target

tweaks for time-sync.target and time-set.target

netlink: fix size of fib rule messages

meson: sort files

nspawn: sort headers

netlink: fix indentation

netlink: drop unnecessary error handling

netlink: use whitespace instead of tab

sd-netlink: add several assertions

sd-netlink: replace *messages[] -> **messages

meson: add missing headers

network: move variable declaration

tree-wide: fix typo

tmpfiles: try to set file attributes one by one

Closes #17690.

chattr-util: introduce fallback mode to set file attributes one by one

network: Allow to configure unreachable/blackhole RoutingPolicyRule (#17984)

Merge pull request #17741 from poettering/cryptsetup-fido2

cryptsetup: add support for unlocking cryptsetup volumes via FIDO2 + TPM2 + add systemd-cryptenroll tool + more

man: document that .timer units now have After= on both time-set.target + time-sync.target

core: order timer units after both time-sync.target and time-set.target

If users do not enable a service like systemd-time-wait-sync.target
(because they don't want to delay boot for external events, such as an
NTP sync), then timers should still take the the weaker time-set.target
feature into account, so that the clock is at least monotonic.

Hence, order timer units after both of the targets: time-sync.target
*and* time-set.target. That way, the right thing will happen regardless
if people have no NTP server (and thus also no
systemd-time-wait-sync.service or equivalent) or, only have an NTP
server (and no systemd-time-wait-sync.service), or have both.

Ordering after time-set.target is basically "free". The logic it is
backed by should be instant, without communication with the outside
going on. It's useful still so that time servers that implement the
timestamp from /var/ logic can run in later boot.

units: don't pull in time-sync.target from systemd-timesyncd.service

systemd-timesyncd.service only applies the much weaker monotonic clock
from file logic, i.e should pull in and order itself before
time-set.target. The strong time-sync.target unit is pulled in by
systemd-time-wait-sync.service.

update TODO

mkosi: add TPM2 packages to debian/ubuntu/fedora mkosi files

As suggested: https://github.com/systemd/systemd/pull/17741#issuecomment-743479834

man: document new features

fido2: when listing fido2/hmac-secret devices, actually validate feature set

test: add tpm2 and fido2 libs to dlopen test

repart: optionally lock encrypted partitions to TPM2

This useful for bootstrapping encrypted systems: on first boot let's
create a /var/ partition that is locked to the local TPM2.

string-table: add private version of lookup macro with boolean fallback

cryptsetup: add support for TPM2 unlocking of volumes

cryptenroll: support listing and wiping tokens

cryptenroll: add support for TPM2 enrolling

json: add APIs for quickly inserting hex blobs into as JSON strings

This is similar to the base64 support, but fixed-size hash values are
typically preferably presented as series of hex values, hence store them
here like that too.

sort-util: make cmp_int() generic, so that we can reuse it elsewhere

cryptenroll: add new "systemd-cryptenroll" tool for enrolling FIDO2+PKCS#11 security tokens

cryptsetup: add fido2 support

fido2: don't use up/uv/rk when device doesn't support it

Apparently devices are supposed to generate failures if we try to turn
off features they don't have. Thus don't.

Prompted-by: https://github.com/systemd/systemd/issues/17784#issuecomment-737730395

homed: split out HMAC-HASH fido2 decode code into src/shared/

That way we can use it later on in systemd-cryptsetup to unlock devices
with FIDO2 tokens.

homed: move fido2 setup code to src/shared/

That way we can reuse it from systemd-cryptenroll

homed: move fido2 device enumeration logic to shared code

homed: turn libfido2 into a dlopen() type dependency

cryptsetup: split up attach_luks_or_plain_or_bitlk() into smaller functions

Just some refactoring.

cryptsetup: read PKCS#11 key and token info from LUKS2 metadata

Optionally, embedd PKCS#11 token URI and encrypted key in LUKS2 JSON
metadata header. That way it becomes very easy to unlock properly set up
PKCS#11-enabled LUKS2 volumes, a simple /etc/crypttab line like the
following suffices:

    mytest /dev/disk/by-partuuid/41c1df55-e628-4dbb-8492-bc69d81e172e - pkcs11-uri=auto

Such a line declares that unlocking via PKCS#11 shall be attempted, and
the token URI and the encrypted key shall be read from the LUKS2 header.
An external key file for the encrypted PKCS#11 key is hence no longer
necessary, nor is specifying the precise URI to use.

cryptsetup: be more careful with erasing key material from memory

cryptsetup: split code that allocates udev security device monitor into its own function

cryptsetup-util: add helper for setting minimal PBKDF

cryptsetup-util: add helper call for extracting/parsing token JSON

homed: move code to list and resolve "auto" pkcs#11 URL into common code

That way we can reuse it from systemd-cryptenroll.

homed: split out code that determines suitable LUKS passphrase size from RSA key

We can use this in cryptenroll later on, hence let's make this generic.

homed: move pkcs11 LUKS glue into shared code

That way we can lter reuse it from cryptsetup/cryptenroll too.

homed: move helper calls for RSA encryption to shared code

homed: move homectl's recovery key generation/modhex code to src/shared/

This allows us to later reuse the code to generate recovery keys for
traditional LUKS volumes, too and share the code.

test: fix fd_is_mount_point() check

So the currentl and only fd_is_mount_point() check is actually entirely
bogus: it passes "/" as filename argument, but that's not actually a
a valid filename, but an absolute path.

fd_is_mount_point() is written in a way tha the fd refers to a directory
and the specified path is a file directly below it that shall be
checked. The test call actually violated that rule, but still expected
success.

Let's fix this, and check for this explicitly, and refuse it.

Let's extend the test and move it to test-mountpoint-util.c where the
rest of the tests for related calls are placed.

Replaces: #18004
Fixes: #17950

tree-wide: suggest meson command lines instead of ninja ones

This only changes documentation. In various places we call "ninja"
directly. I figured it would be safer to leave those in place for now,
given the meson replacement commands lines appears to be supported in
newer meson versions only.

test: add one more dmidecode dump

meson: make each dmidecode a separate test

This allows them to be executed in parallel and also gives us
better reporting.

The dump files are renamed to avoid repeating "dmidecode-dump", since that
string is already present in the subdirectory name.

Merge pull request #18001 from systemd/wip/hadess/unsupported-dmi

meson: Disable dmi_memory_id on arches without DMI

terminal-util: use 256 color mode for PID 1 output, too

Follow-up for: #17702

Alsoe, see earlier review comment: https://github.com/systemd/systemd/pull/17702#pullrequestreview-552329600

Merge pull request #17998 from mrc0mmand/qemu-drop-trailing-whitespace

test: drop the trailing whitespace from the QEMU version check

Merge pull request #17702 from rnhmjoj/master

Extend $SYSTEMD_COLORS to switch colors mode

meson: Disable dmi_memory_id on arches without DMI

Merge pull request #17026 from fw-strlen/nft_16

add networkd/nspawn nftables backend

meson: Split off udev helper programs array

udev: Extract RAM properties from DMI information

Add memory_id program to set properties about the physical memory
devices in the system. This is useful on machines with removable memory
modules to show how the machine can be upgraded, and on all devices to
detect the actual RAM size, without relying on the OS accessible amount.

Closes: #16651

tree-wide: fix typo

test-login: skip consistency checks when logind is not active

There are two ways in swich sd_login_* functions acquire data:
some are derived from the cgroup path, but others use the data serialized
by logind.

When the tests are executed under Fedora's mock, without systemd-spawn
but instead in a traditional chroot, test-login gets confused:
the "outside" cgroup path is visible, so sd_pid_get_unit() and
sd_pid_get_session() work, but sd_session_is_active() and other functions
that need logind data fail.

Such a buildroot setup is fairly bad, but it can be encountered in the wild, so
let's just skip the tests in that case.

/* Information printed is from the live system */
sd_pid_get_unit(0, …) → "session-237.scope"
sd_pid_get_user_unit(0, …) → "n/a"
sd_pid_get_slice(0, …) → "user-1000.slice"
sd_pid_get_session(0, …) → "237"
sd_pid_get_owner_uid(0, …) → 1000
sd_pid_get_cgroup(0, …) → "/user.slice/user-1000.slice/session-237.scope"
sd_uid_get_display(1000, …) → "(null)"
sd_uid_get_sessions(1000, …) → [0] ""
sd_uid_get_seats(1000, …) → [0] ""
Assertion 'r >= 0' failed at src/libsystemd/sd-login/test-login.c:104, function test_login(). Aborting.

networkd: handle ignoring ll gateway being link ll

In the event where network discovery gets a route with the gateway being
the interfaces local link address, networkd will fail the interface.

systemd-networkd[44319]: br_lan: Configuring route: dst: fdcd:41a4:5559:ec03::/64, src: n/a, gw: fe80::e4da:7eff:fe77:5c5e, prefsrc: n/a, scope: global, table: main, proto: ra, type: unicast
systemd-networkd[44319]: br_lan: Could not set NDisc route or address: Gateway can not be a local address. Invalid argument
systemd-networkd[44319]: br_lan: Failed
systemd-networkd[44319]: br_lan: State changed: configuring -> failed

This patch, instead of allowing the interface to fail, will instead log
the event and skip setting the route.

Merge pull request #17799 from yuwata/oss-fuzz-25353

logs-show: skip non-utf8 name entries

Translated using Weblate (Swedish)

Currently translated at 67.3% (126 of 187 strings)

Co-authored-by: Luna Jernberg <bittin@reimu.nl>
Translate-URL: https://translate.fedoraproject.org/projects/systemd/master/sv/
Translation: systemd/master

tree-wide: fix typo

Merge pull request #17859 from keszybz/hostnamed-export-hostname-origin-and-simplify-logic

Export hostname origin and simplify logic in hostamed

test: s/MUMA/NUMA/

test: drop the trailing whitespace from the QEMU version check

I suspect the original version of the regex was written on a system,
which prints both the QEMU version and the QEMU package version in the
--version output, like Fedora:

$ /bin/qemu-system-x86_64 --version
QEMU emulator version 4.2.1 (qemu-4.2.1-1.fc32)
Copyright (c) 2003-2019 Fabrice Bellard and the QEMU Project developers

However, Arch Linux prints only the QEMU version:
$ /bin/qemu-system-x86_64 --version
QEMU emulator version 5.2.0
Copyright (c) 2003-2020 Fabrice Bellard and the QEMU Project developers

This causes the awk regex to not match the version string, since there's
no whitespace after it, causing the version check to fail (as well as the
TEST-36-NUMAPOLICY) as well.

Follow-up for 43b49470d1f2808555c07f64cd0a1529b7ddd559.

sd-netlink: routing policy rule port to fib_rule_hdr

resolved: always take a timestamp when first seeing a packet

This is later useful if we want to adjust the TTLs of packets we want to
propagate to clients.

sd-dhcp-client: fix renew/rebind timeout calculation to avoid infinite loop

unfortunately I missed adding the timeout to 'now' which results in
an endless loop of renewal timeouts.

Fixes: 3a23834d6b0da391c1ba9cb79a7d7deea7125f4b

hostnamed,shared/hostname-setup: expose the origin of the current hostname

In hostnamed this is exposed as a dbus property, and in the logs in both
places.

This is of interest to network management software and such: if the fallback
hostname is used, it's not as useful as the real configured thing. Right now
various programs try to guess the source of hostname by looking at the string.
E.g. "localhost" is assumed to be not the real hostname, but "fedora" is. Any
such attempts are bound to fail, because we cannot distinguish "fedora" (a
fallback value set by a distro), from "fedora" (received from reverse dns),
from "fedora" read from /etc/hostname.

/run/systemd/fallback-hostname is written with the fallback hostname when
either pid1 or hostnamed sets the kernel hostname to the fallback value. Why
remember the fallback value and not the transient hostname in /run/hostname
instead?
We have three hostname types: "static", "transient", fallback".
– Distinguishing "static" is easy: the hostname that is set matches what
  is in /etc/hostname.
– Distingiushing "transient" and "fallback" is not easy. And the
  "transient" hostname may be set outside of pid1+hostnamed. In particular,
  it may be set by container manager, some non-systemd tool in the initramfs,
  or even by a direct call. All those mechanisms count as "transient". Trying
  to get those cases to write /run/hostname is futile. It is much easier to
  isolate the "fallback" case which is mostly under our control.
And since the file is only used as a flag to mark the hostname as fallback,
it can be hidden inside of our /run/systemd directory.

For https://bugzilla.redhat.com/show_bug.cgi?id=1892235.

hostnamed: stop discriminating against "localhost" in /etc/hostname

We would sometimes ignore localhost-style names in /etc/hostname. That is
brittle. If the user configured some hostname, it's most likely because they
want to use that as the hostname. If they don't want to use such a hostname,
they should just not create the config. Everything becomes simples if we just
use the configured hostname as-is.

This behaviour seems to have been a workaround for Anaconda installer and other
tools writing out /etc/hostname with the default of "localhost.localdomain".
Anaconda PR to stop doing that: https://github.com/rhinstaller/anaconda/pull/3040.
That might have been useful as a work-around for other programs misbehaving if
/etc/hostname was not present, but nowadays it's not useful because systemd
mostly controls the hostname and it is perfectly happy without that file.

Apart from making things simpler, this allows users to set a hostname like
"localhost" and have it honoured, if such a whim strikes them.

hostnamed: improve message about static hostname

Changed static hostname to 'n/a' is not very nice.

hostnamed: minor style cleanups