SergioandClaude Opus 5
f57c18ab7f
`b3:63fdd57c…` sellado EN LA CAJA (gioser tiene 2 G disponibles y SWAP 0; el worker está horas con
rust) en 21 minutos. Los dos controles, sobre el `.config` SELLADO y no sobre la receta:
· lo que se quería encender: NETFILTER_ADVANCED=y, NF_TABLES=y, NF_TABLES_INET=y, NFT_CT=y,
NFT_LIMIT=y, NFT_LOG=y, NFT_REJECT{,_INET,_IPV4,_IPV6}=y, NFT_SYNPROXY=y.
· lo que NO podía romperse (el muro 1 del §6.4, que dejó una caja sin ver su disco): SCSI_VIRTIO=y,
VIRTIO_BLK=y, VIRTIO_NET=y, VIRTIO_PCI=y, SCSI=y, EXT4_FS=y. Los seis siguen.
⚠ `NFT_COUNTER` salió AUSENTE — y está bien: en 7.1 ese símbolo **ya no existe** (los contadores son
parte del core de nf_tables), así que no aparece en el `.config` ni como `# … is not set`. La línea
`-e NFT_COUNTER` es inerte y se deja escrita CON LA NOTA, porque sin ella el próximo que compare la
receta con el `.config` va a leer esa ausencia como un fallo. El comentario no re-hashea: el hash
sigue en `63fdd57c…`, comprobado.
El kernel nuevo queda EN `/boot/bzImage.nuevo`, al lado y no en su sitio, con el vigente copiado a
`/boot/bzImage.sin-nftables`. Hasta que alguien decida, la caja arranca lo de siempre — y ese
camino de vuelta es el único que hay: **hcloud no tiene consola serie**, así que un kernel que no
arranca se arregla con rescue + restaurar el bzImage, no apretando una tecla en el menú de grub.
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
115 lines
7.6 KiB
TOML
115 lines
7.6 KiB
TOML
# Linux kernel 7.1.2 — VARIANTE "GENÉRICA": un solo bzImage que bootea en hardware VARIADO de testers
|
|
# (Intel / AMD / NVIDIA), no clavado a un laptop. Hermana de:
|
|
# - recipes/linux.toml (6.16.12, QEMU-tuned, of_tree LOAD-BEARING del selfhost-verify — INTOCADO)
|
|
# - recipes/linux-metal.toml (6.16.12, clavado al TigerLake/Iris-Xe/AX201 del otro agente)
|
|
# SUSTRATO kikin/harkaq (PLAN-KIKIN §4.bis + HANDOFF-KIKIN-DESDE-HAMMER, 2026-07-16): SECURITY_LANDLOCK
|
|
# +AUDIT (la jaula del anfitrión kikin J4b / harkaq), IO_URING (kikin J4 se diseña sobre él) y
|
|
# BPF_SYSCALL (horizonte observabilidad) van EXPLÍCITOS: «al azar del defconfig» no es un contrato.
|
|
# GPU built-in: i915 (Intel) + radeon (AMD viejo) + NOUVEAU (NVIDIA) para que mirada tenga un DRM
|
|
# device. amdgpu (AMD moderno) DROPEADO en v1: es el driver más grande/lento y no hace falta para el
|
|
# tester NVIDIA; se agrega en v2 cuando la base esté validada. Monolítico (MODULES off): arje-zero PID1 sin udev/
|
|
# modprobe ⇒ todo lo de boot/ver/teclear debe ser =y. Build ~60min (config ANCHA, GPU pesadas).
|
|
#
|
|
# ⚠️ NVIDIA / mirada — alcance del KERNEL: esta receta da KMS (modesetting) por nouveau, que es
|
|
# NECESARIO pero NO suficiente para mirada en NVIDIA:
|
|
# (1) FIRMWARE: nouveau carga blobs de /lib/firmware/nouveau/ (ctxsw, pre-Turing) y
|
|
# /lib/firmware/nvidia/<chip>/gsp/*.bin (GSP-RM, Turing+ / RTX). Los inyecta la IMAGEN
|
|
# (linux-firmware) — NO van en el kernel. Sin GSP, nouveau no hace modeset en GPUs Turing+.
|
|
# (2) USERLAND GPU: mirada (wgpu→Vulkan / GL) necesita MESA con nouveau (gallium "nouveau"/zink) o
|
|
# NVK (Vulkan). La mesa del otro agente es IRIS-ONLY ⇒ hay que construir una mesa con nouveau/NVK
|
|
# para que mirada renderice en NVIDIA. Eso es del frente del otro agente. El kernel sólo aporta
|
|
# el /dev/dri/cardN con KMS.
|
|
# ⚠️ NETFILTER: `nf_tables` VA EXPLÍCITO, y se descubrió porque FALTABA (2026-09-15). En la caja de
|
|
# producción, con `nftables` instalado y sellado:
|
|
#
|
|
# $ nft list ruleset
|
|
# netlink: Error: cache initialization failed: Invalid argument
|
|
#
|
|
# El `.config` sellado lo decía: `CONFIG_NETFILTER=y`, `CONFIG_NF_CONNTRACK=y` y
|
|
# **`# CONFIG_NF_TABLES is not set`** — porque `make defconfig` deja `NETFILTER_ADVANCED` apagado y
|
|
# NF_TABLES cuelga de ella. O sea: una caja de producción **sin cortafuegos de ninguna clase**, con
|
|
# el userland completo y el kernel diciendo que no. Es la lección de esta misma familia de recetas:
|
|
# *la receta dice lo que se CAMBIÓ; sólo el `.config` sellado dice lo que QUEDÓ.*
|
|
#
|
|
# Lo que se enciende es exactamente lo que pide el cortafuegos de tawasuyu (`shared/cortafuegos`,
|
|
# SDD-ENTRADA): tabla `inet` (`NF_TABLES_INET`), estado de conexión (`NFT_CT`), y el `limit rate`
|
|
# por elemento de set (`NFT_LIMIT`) que es lo que implementa el ban por IP **dentro del kernel**, sin
|
|
# daemon — el reemplazo de fail2ban. `NFT_SYNPROXY` va porque ese SDD lo tiene planeado detrás de un
|
|
# flag y encenderlo después costaría otro kernel y otro reinicio de producción.
|
|
#
|
|
# ⚠ `-e NFT_COUNTER` de esa línea es INERTE y se deja escrito a propósito: en 7.1 ese símbolo **ya no
|
|
# existe** (los contadores son parte del core de nf_tables), así que no aparece en el `.config` ni
|
|
# siquiera como `# … is not set`. Sin esta nota, el próximo que compare la receta con el `.config`
|
|
# va a leer una ausencia como un fallo y va a salir a cazar un bug que no está.
|
|
# Compilador: CC=gcc/HOSTCC=gcc — gueto-GCC (zig cc choca con el kbuild x86), igual que linux.toml/metal.
|
|
|
|
name = "linux-generic"
|
|
version = "7.1.2"
|
|
license = "GPL-2.0-only WITH Linux-syscall-note"
|
|
|
|
[source]
|
|
tarball = "https://mirrors.edge.kernel.org/pub/linux/kernel/v7.x/linux-7.1.2.tar.gz"
|
|
sha256 = "b43e0a2db2a89fc5a88f54417ea13a3f05fbb17fdaf53015ce16525750a2db83"
|
|
|
|
[build]
|
|
compiler = "zig-cc"
|
|
target = "x86_64-linux-musl"
|
|
link = "dynamic"
|
|
|
|
[deps]
|
|
build = ["flex", "bison", "m4", "openssl", "elfutils", "make"]
|
|
|
|
# SDD 25 §7-H1: `-e MEMCG -e PSI`. Sin MEMCG el fichero `memory.max` NO EXISTE y
|
|
# `arje-incarnate::cgroup` sólo emite un `warn!` ⇒ la Card corre SIN tope de memoria. Va en la
|
|
# fase configure porque el .config ES la identidad del artefacto (SDD 22 §1): esto re-hashea el
|
|
# kernel a propósito. Comprobable con `takana kernel contract` sobre el config YA PRODUCIDO.
|
|
[build.phases]
|
|
configure = """
|
|
make ARCH=x86_64 defconfig && \
|
|
scripts/config -d MODULE_SIG -d MODULE_SIG_ALL -d DEBUG_INFO_BTF -d DEBUG_INFO -d MODULES \
|
|
-d UNWINDER_ORC -e UNWINDER_FRAME_POINTER \
|
|
-e BLK_DEV_INITRD -e DEVTMPFS -e DEVTMPFS_MOUNT -e TMPFS \
|
|
-e OVERLAY_FS -e USER_NS -e NAMESPACES \
|
|
-e FANOTIFY -e FANOTIFY_ACCESS_PERMISSIONS \
|
|
-e OVERLAY_FS_REDIRECT_DIR -e OVERLAY_FS_INDEX -e OVERLAY_FS_XINO_AUTO -e OVERLAY_FS_METACOPY \
|
|
-e SECURITY -e SECURITY_LANDLOCK -e AUDIT -e IO_URING -e BPF_SYSCALL \
|
|
-e MEMCG -e PSI -d PSI_DEFAULT_DISABLED \
|
|
-e NETFILTER_ADVANCED -e NF_TABLES -e NF_TABLES_INET -e NF_CONNTRACK -e NF_CONNTRACK_MARK \
|
|
-e NFT_CT -e NFT_LIMIT -e NFT_COUNTER -e NFT_LOG -e NFT_REJECT -e NFT_REJECT_INET \
|
|
-e NETFILTER_SYNPROXY -e NFT_SYNPROXY \
|
|
-e VIRTIO -e VIRTIO_PCI -e VIRTIO_BLK -e VIRTIO_NET -e DRM_VIRTIO_GPU \
|
|
-e PCI -e PCIEPORTBUS -e ACPI -e FW_LOADER \
|
|
-e EXT4_FS -e SQUASHFS -e SQUASHFS_XZ -e SQUASHFS_ZSTD -e SQUASHFS_LZ4 \
|
|
-e SATA_AHCI -e ATA -e ATA_PIIX -e SCSI -e BLK_DEV_SD -e BLK_DEV_SR -e BLK_DEV_LOOP \
|
|
-e NVME_CORE -e BLK_DEV_NVME \
|
|
-e MMC -e MMC_BLOCK -e MMC_SDHCI -e MMC_SDHCI_PCI -e MMC_SDHCI_ACPI \
|
|
-e USB_SUPPORT -e USB -e USB_PCI -e USB_XHCI_HCD -e USB_XHCI_PCI \
|
|
-e USB_EHCI_HCD -e USB_EHCI_PCI -e USB_OHCI_HCD -e USB_UHCI_HCD -e USB_STORAGE \
|
|
-e HID -e HID_GENERIC -e USB_HID -e HID_MULTITOUCH -e INPUT_EVDEV \
|
|
-e INPUT_KEYBOARD -e KEYBOARD_ATKBD -e INPUT_MOUSE -e MOUSE_PS2 -e INPUT_TOUCHPAD \
|
|
-e SERIO -e SERIO_I8042 -e VT -e VT_CONSOLE \
|
|
-e DRM -e DRM_SIMPLEDRM -e SYSFB_SIMPLEFB -e FB -e FB_EFI -e FB_VESA \
|
|
-e DRM_I915 -e DRM_RADEON -e DRM_NOUVEAU -d DRM_AMDGPU -d DRM_AMD_DC -d HSA_AMD \
|
|
-e DRM_FBDEV_EMULATION -e FRAMEBUFFER_CONSOLE -e FRAMEBUFFER_CONSOLE_DETECT_PRIMARY \
|
|
-e EFI -e EFI_STUB -e EFI_PARTITION -e EFIVAR_FS -e CMDLINE_BOOL \
|
|
-e VFAT_FS -e FAT_FS -e MSDOS_FS -e NLS_CODEPAGE_437 -e NLS_ISO8859_1 -e NLS_UTF8 \
|
|
-e ISO9660_FS -e JOLIET -e DEVTMPFS \
|
|
-e WLAN -e WIRELESS -e CFG80211 -e MAC80211 -e RFKILL \
|
|
-e WLAN_VENDOR_INTEL -e IWLWIFI -e IWLMVM -e IWLDVM \
|
|
-e ETHERNET -e NET_VENDOR_INTEL -e E1000 -e E1000E -e IGB -e IGC \
|
|
-e NET_VENDOR_REALTEK -e R8169 -e NET_VENDOR_BROADCOM -e TG3 \
|
|
-e USB_NET_DRIVERS -e USB_USBNET -e USB_NET_CDCETHER -e USB_NET_CDC_NCM -e USB_NET_RNDIS_HOST \
|
|
-d SOUND -d SND -d MEDIA_SUPPORT -d INFINIBAND -d BT -d NFC -d CAN \
|
|
-d WATCHDOG -d USB4 -d FIREWIRE -d DEBUG_WX \
|
|
-d XFS_FS -d BTRFS_FS -d F2FS_FS -d JFS_FS -d GFS2_FS -d NTFS3_FS && \
|
|
scripts/config --set-str CMDLINE "console=tty0 console=ttyS0,115200 ignore_loglevel" && \
|
|
make ARCH=x86_64 olddefconfig
|
|
"""
|
|
# amdgpu (AMD moderno) NO compila en 7.1 con el gcc del gueto (ICE sin mensaje en amdgpu_userq_fence.c)
|
|
# y syncconfig lo re-activaba pese a -d en kconfig (default-y de DRM_AMD_DC + un select que no aparece).
|
|
# SLEDGEHAMMER GARANTIZADO: borro las líneas `obj-$(CONFIG_DRM_AMDGPU)+= amd/...` del Makefile del drm
|
|
# ⇒ amd/{amdgpu,amdxcp,display} nunca se descienden, sin importar kconfig. amdgpu es self-contained
|
|
# (nada del core lo referencia) ⇒ excluirlo es seguro. radeon (AMD viejo) + i915 + nouveau quedan.
|
|
compile = "sed -i '/CONFIG_DRM_AMDGPU)+= amd/d' drivers/gpu/drm/Makefile && make ARCH=x86_64 CC=gcc HOSTCC=gcc -j\"$(nproc)\" bzImage"
|
|
install = "mkdir -p /out/boot && cp arch/x86/boot/bzImage /out/boot/bzImage && cp .config /out/boot/config-7.1.2-generic"
|