technische-infrastructuur:systemd [TulpenCraft Wiki]

Deze pagina is alleen-lezen. Je kan de broncode bekijken maar niet veranderen. Neem contact op met de beheerder als je denkt dat dit niet klopt.
# ⚙️ systemd

**systemd** is het centrale service- en initialisatiesysteem van Rocky Linux 10.

Binnen Tulpencraft wordt systemd gebruikt om onder andere de Minecraft-servers automatisch te starten, stoppen en beheren. Hierdoor zijn de servers niet afhankelijk van een handmatige `java`-start na een reboot.

Rocky Linux gebruikt systemd als standaard systeem- en servicebeheerder. Services worden beschreven met zogenaamde **units**, waaronder `.service`-units voor systeemdiensten.

---

## 🎯 Doel binnen Tulpencraft

Binnen Tulpencraft heeft systemd een aantal belangrijke functies:

* 🚀 Minecraft-servers automatisch starten;
* 🔄 services automatisch opnieuw starten wanneer dat nodig is;
* 🛑 services gecontroleerd stoppen;
* 📋 logging via de systemd journal;
* 🔗 afhankelijkheden tussen services beheren;
* 🔐 services onder een specifieke Linux-gebruiker uitvoeren;
* 🧱 services verder hardenen;
* 🔄 services automatisch laten starten na een reboot.

Hierdoor wordt een Minecraft-server een normale Linux-service in plaats van een proces dat handmatig vanuit een shell moet worden gestart.

---

## 🏗️ Opbouw

Een systemd-service bestaat uit een **unit file**.

Voorbeeld:

```text
/etc/systemd/system/minecraft-lobby.service
```

Een service bevat doorgaans drie belangrijke secties:

```ini
[Unit]
[Service]
[Install]
```

### `[Unit]`

Beschrijft de service en eventuele afhankelijkheden.

### `[Service]`

Beschrijft hoe het programma wordt uitgevoerd.

### `[Install]`

Beschrijft wanneer en hoe de service automatisch wordt geactiveerd.

---

## 🎮 Minecraft-services

Tulpencraft gebruikt systemd voor de Minecraft-services.

Voorbeelden zijn:

```text
minecraft-lobby.service
minecraft-survival.service
minecraft-events.service
```

De exacte services kunnen veranderen naarmate het netwerk wordt uitgebreid.

De Velocity Proxy en de Minecraft-backends worden als afzonderlijke services beheerd wanneer zij op afzonderlijke processen of VM's draaien.

---

## 🚀 Service starten

Een service kan handmatig worden gestart met:

```bash
sudo systemctl start minecraft-lobby
```

De status controleren:

```bash
sudo systemctl status minecraft-lobby
```

Een succesvolle service ziet er conceptueel uit als:

```text
● minecraft-lobby.service
   Loaded: loaded
   Active: active (running)
```

---

## 🛑 Service stoppen

Een Minecraft-service gecontroleerd stoppen:

```bash
sudo systemctl stop minecraft-lobby
```

Dit verdient de voorkeur boven het hard beëindigen van het Java-proces.

---

## 🔄 Service herstarten

Na een configuratiewijziging kan een service worden herstart:

```bash
sudo systemctl restart minecraft-lobby
```

De status daarna controleren:

```bash
sudo systemctl status minecraft-lobby
```

---

## 🔁 Automatisch starten

Een Minecraft-service wordt ingeschakeld met:

```bash
sudo systemctl enable minecraft-lobby
```

Hierdoor wordt de service automatisch gestart tijdens het opstarten van het systeem.

Controleren:

```bash
sudo systemctl is-enabled minecraft-lobby
```

Verwachte output:

```text
enabled
```

systemd gebruikt hiervoor onder andere `multi-user.target`, de gebruikelijke target voor een server zonder grafische omgeving.

---

## 🚀 Starten én inschakelen

Wanneer een service zowel onmiddellijk moet worden gestart als na een reboot automatisch moet starten:

```bash
sudo systemctl enable --now minecraft-lobby
```

Dit is binnen Tulpencraft meestal de handigste methode bij het voor het eerst activeren van een nieuwe service.

---

## 🔃 Automatisch opnieuw starten

Minecraft kan om verschillende redenen stoppen:

* Java-crash;
* pluginprobleem;
* onverwachte fout;
* Out Of Memory;
* handmatige beëindiging;
* tijdelijke fout in een afhankelijk proces.

Daarom kan een Minecraft-service automatisch opnieuw worden gestart.

Een veelgebruikte instelling is:

```ini
[Service]
Restart=on-failure
RestartSec=5
```

Hiermee probeert systemd de service opnieuw te starten wanneer deze onverwacht stopt.

Een permanente crashloop moet uiteraard worden onderzocht in plaats van simpelweg te worden genegeerd.

---

## 👤 Niet als root draaien

Minecraft-services worden bij voorkeur **niet als root** uitgevoerd.

Bijvoorbeeld:

```ini
[Service]
User=minecraft
Group=minecraft
```

Hierdoor draait het Java-proces onder een beperkte Linux-gebruiker.

Dit beperkt de impact wanneer de Minecraft-server of een plugin wordt gecompromitteerd.

Een systemd-service kan expliciet met `User=` en `Group=` onder een dedicated account worden uitgevoerd.

---

## 📁 Werkdirectory

Een Minecraft-service moet expliciet weten waar de serverbestanden staan.

Bijvoorbeeld:

```ini
[Service]
WorkingDirectory=/srv/minecraft/lobby
```

Hierdoor worden relatieve paden vanuit de juiste Minecraft-directory geïnterpreteerd.

---

## ☕ Java starten

Een Minecraft-service start Java rechtstreeks vanuit systemd.

Bijvoorbeeld:

```ini
[Service]
ExecStart=/usr/bin/java -Xms2G -Xmx4G -jar paper.jar --nogui
```

De daadwerkelijke Java-versie en geheugeninstellingen verschillen per server.

Zie ook:

* [[technische-infrastructuur:java|Java]]
* [[serverinfrastructuur:lobby|Lobby]]
* [[serverinfrastructuur:survival|Survival]]

---

## 🧩 Voorbeeldservice

Een vereenvoudigd voorbeeld voor een Tulpencraft Minecraft-service:

```ini
[Unit]
Description=Tulpencraft Lobby
After=network-online.target
Wants=network-online.target

[Service]
User=minecraft
Group=minecraft
WorkingDirectory=/srv/minecraft/lobby

ExecStart=/usr/bin/java -Xms2G -Xmx4G -jar paper.jar --nogui

Restart=on-failure
RestartSec=5

[Install]
WantedBy=multi-user.target
```

Dit is een **voorbeeld**. De daadwerkelijke productieconfiguratie kan aanvullende beveiligings- en runtime-instellingen bevatten.

---

## 🌐 Netwerkafhankelijkheden

Minecraft-services hebben een werkende netwerkstack nodig.

Daarom kan een service bijvoorbeeld afhankelijk worden gemaakt van:

```ini
After=network-online.target
Wants=network-online.target
```

Dit voorkomt dat de Minecraft-service onnodig vroeg tijdens de boot wordt gestart.

Bij de Tulpencraft Proxy is dit extra relevant omdat de proxy het centrale toegangspunt tot het netwerk vormt.

---

## 🔗 Afhankelijkheden

systemd kan afhankelijkheden tussen services beheren.

Bijvoorbeeld:

```text
network-online.target
        │
        ▼
Velocity Proxy
        │
        ▼
Lobby
        │
        ├──► Survival
        └──► Events
```

In de praktijk worden Minecraft-backends niet noodzakelijk als harde systemd-afhankelijkheid van de proxy gemaakt.

De Minecraft-netwerkarchitectuur wordt namelijk door **Velocity** beheerd.

Een backend die tijdelijk niet beschikbaar is, moet niet automatisch voorkomen dat de Proxy zelf start.

---

## 📋 Logs

De output van systemd-services wordt standaard beschikbaar gemaakt via **journald**.

De logs van de lobby bekijken:

```bash
sudo journalctl -u minecraft-lobby
```

Alleen recente meldingen:

```bash
sudo journalctl -u minecraft-lobby --since "1 hour ago"
```

Live meekijken:

```bash
sudo journalctl -u minecraft-lobby -f
```

Dit is bijzonder handig bij het opstarten van Minecraft.

Bijvoorbeeld:

```bash
sudo journalctl -u minecraft-lobby --since "5 minutes ago" --no-pager
```

---

## 🔎 Fouten zoeken

Een snelle controle:

```bash
sudo systemctl status minecraft-lobby
```

Daarna:

```bash
sudo journalctl -u minecraft-lobby -b --no-pager
```

De optie `-b` beperkt de resultaten tot de huidige boot.

Voor alleen fouten:

```bash
sudo journalctl -u minecraft-lobby -b -p err
```

---

## 🧹 Journal en Minecraft logs

systemd-journald en de Minecraft logging zijn twee verschillende zaken.

```text
systemd
   │
   └── journald
          │
          └── service output

Minecraft
   │
   └── logs/
          ├── latest.log
          └── ...
```

Beide kunnen daarom nuttige informatie bevatten.

Bij een probleem wordt eerst gekeken naar:

```bash
sudo systemctl status minecraft-lobby
```

en:

```bash
sudo journalctl -u minecraft-lobby -b
```

Daarna kunnen de Minecraft-logs worden onderzocht.

---

## 🔄 Configuratie wijzigen

Na het aanpassen van een systemd-unit moet systemd zijn configuratie opnieuw inlezen:

```bash
sudo systemctl daemon-reload
```

Daarna kan de service worden herstart:

```bash
sudo systemctl restart minecraft-lobby
```

Zonder `daemon-reload` kan systemd een oude versie van de unit blijven gebruiken.

---

## 📝 Unit bekijken

De daadwerkelijk gebruikte unit kan worden bekeken met:

```bash
sudo systemctl cat minecraft-lobby
```

Dit is vaak beter dan alleen het bestand bekijken, omdat hiermee ook relevante drop-ins zichtbaar kunnen zijn. Rocky Linux documenteert `systemctl cat` en `systemctl edit` als standaardmethoden voor het bekijken en aanpassen van units.

---

## 🛠️ Overrides

Bestaande systemd-services worden bij voorkeur niet rechtstreeks aangepast wanneer een override mogelijk is.

Een override openen:

```bash
sudo systemctl edit minecraft-lobby
```

systemd maakt hiervoor bijvoorbeeld:

```text
/etc/systemd/system/minecraft-lobby.service.d/override.conf
```

Na een wijziging:

```bash
sudo systemctl daemon-reload
sudo systemctl restart minecraft-lobby
```

Dit houdt de basisunit gescheiden van lokale aanpassingen.

---

## 🔐 systemd hardening

Naast SELinux, firewalld en Linux-permissions kan systemd zelf worden gebruikt om services verder te beperken.

Mogelijke instellingen zijn bijvoorbeeld:

```ini
NoNewPrivileges=true
PrivateTmp=true
ProtectSystem=full
ProtectHome=true
RestrictSUIDSGID=true
LockPersonality=true
```

Niet iedere instelling is zonder meer geschikt voor Minecraft.

Java en Minecraft/plugins kunnen namelijk specifieke toegang nodig hebben. Vooral instellingen zoals `MemoryDenyWriteExecute=` kunnen applicaties met JIT-compilers breken; Rocky Linux waarschuwt hier expliciet voor.

Daarom worden hardening-opties **per service getest**.

---

## 🧪 systemd-analyze security

De beveiliging van een systemd-service kan worden onderzocht met:

```bash
sudo systemd-analyze security minecraft-lobby
```

Hiermee kan worden bekeken welke systemd-sandboxingmaatregelen actief zijn en waar verdere beperking mogelijk is.

Het doel is niet om blind de hoogst mogelijke score te behalen.

Het doel is:

> **De service zo ver mogelijk beperken zonder Minecraft of benodigde plugins te breken.**

---

## 📊 Resourcebeperking

systemd kan ook resources van een service beperken.

Denk bijvoorbeeld aan:

```ini
MemoryMax=
CPUQuota=
TasksMax=
```

Dit kan in bepaalde situaties voorkomen dat één service alle resources van een VM gebruikt.

Voor Minecraft moet hiermee voorzichtig worden omgegaan.

Minecraft kan tijdens wereldgeneratie, chunkloading of piekbelasting tijdelijk aanzienlijk meer CPU en RAM gebruiken.

Resource limits worden daarom alleen toegepast wanneer ze daadwerkelijk nodig en getest zijn.

---

## 🔒 Servicebeheer

Alleen bevoegde beheerders mogen Tulpencraft-services beheren.

Voorbeelden:

```bash
sudo systemctl start minecraft-lobby
sudo systemctl stop minecraft-lobby
sudo systemctl restart minecraft-lobby
```

Toegang tot `systemctl` wordt daarmee onderdeel van de algemene Linux-beheerrechten.

---

## 🚨 Bij een serverprobleem

Bij een Minecraft-server die niet meer bereikbaar is:

### 1. Controleer systemd

```bash
sudo systemctl status minecraft-lobby
```

### 2. Controleer de laatste logs

```bash
sudo journalctl -u minecraft-lobby -n 100 --no-pager
```

### 3. Controleer of Java draait

```bash
pgrep -af java
```

### 4. Controleer de luisterende poorten

```bash
sudo ss -lntp
```

### 5. Controleer Minecraft zelf

```text
/srv/minecraft/lobby/logs/latest.log
```

### 6. Herstart alleen wanneer nodig

```bash
sudo systemctl restart minecraft-lobby
```

Een restart is dus niet automatisch de eerste oplossing. Eerst wordt de oorzaak onderzocht.

---

## 🔄 Na een reboot

Na een reboot moet een Tulpencraft-node zelfstandig kunnen herstellen.

De gewenste volgorde is:

```text
🖥️ Rocky Linux boot
        │
        ▼
⚙️ systemd
        │
        ├── 🔥 firewalld
        ├── 🛡️ overige systeemservices
        │
        ▼
☕ Java/Minecraft services
        │
        ▼
🚀 Tulpencraft netwerk beschikbaar
```

De Minecraft-services worden via systemd automatisch gestart wanneer ze met `enable` zijn geactiveerd.

---

## 🧰 Belangrijke commando's

| Commando                             | Functie                          |
| ------------------------------------ | -------------------------------- |
| `systemctl status <service>`         | Status bekijken                  |
| `systemctl start <service>`          | Service starten                  |
| `systemctl stop <service>`           | Service stoppen                  |
| `systemctl restart <service>`        | Service herstarten               |
| `systemctl reload <service>`         | Configuratie opnieuw laden       |
| `systemctl enable <service>`         | Automatisch starten inschakelen  |
| `systemctl disable <service>`        | Automatisch starten uitschakelen |
| `systemctl enable --now <service>`   | Inschakelen en direct starten    |
| `systemctl is-enabled <service>`     | Autostart controleren            |
| `systemctl cat <service>`            | Unit bekijken                    |
| `systemctl edit <service>`           | Override aanpassen               |
| `systemctl daemon-reload`            | Units opnieuw inladen            |
| `journalctl -u <service>`            | Service-log bekijken             |
| `systemd-analyze security <service>` | Service-hardening analyseren     |

---

## 🌷 Tulpencraft uitgangspunten

Binnen Tulpencraft gelden voor systemd de volgende uitgangspunten:

1. ⚙️ Alle permanente Minecraft-services worden via systemd beheerd.
2. 🚀 Services starten automatisch na een reboot.
3. 👤 Minecraft draait niet als root.
4. 🔄 Onverwachte crashes kunnen automatisch worden herstart.
5. 📋 Service-output is via journald beschikbaar.
6. 🔐 systemd-hardening wordt toegepast waar dit compatibel is met Minecraft.
7. 🛡️ systemd vormt een aanvullende beveiligingslaag naast SELinux en firewalld.
8. 🧪 Wijzigingen worden eerst getest voordat ze productie worden.
9. 📝 Lokale systemd-aanpassingen worden waar mogelijk via overrides beheerd.
10. 🔎 Bij problemen wordt eerst de oorzaak onderzocht voordat services blind worden herstart.

---

## 📚 Gerelateerde documentatie

* [[technische-infrastructuur:overzicht|Technische infrastructuur]]
* [[technische-infrastructuur:rocky-linux-10|Rocky Linux 10]]
* [[technische-infrastructuur:os-installatie|OS-installatie]]
* [[technische-infrastructuur:server-hardening|Server hardening]]
* [[technische-infrastructuur:firewall|Firewall]]
* [[technische-infrastructuur:selinux|SELinux]]
* [[technische-infrastructuur:java|Java]]
* [[technische-infrastructuur:monitoring|Monitoring & logging]]
* [[beheer:server-starten|Server starten]]
* [[beheer:server-stoppen|Server stoppen]]

---

## 📖 Bronnen

De technische basis van deze pagina is gebaseerd op de Rocky Linux-documentatie over systemd, system services en system targets.