Talos Linux: verwaltet Kubernetes-Knoten ganz ohne Shell Neuer BGP-Sprecher ersetzt die FRR-Erweiterung

Anbieter zum Thema

PANDUIT

Stäubli TEC-Systems GmbH Connectors

EPS Rechenzentrum Infrastruktur GmbH

Ein Betriebssystem ohne Login-Shell, ohne Paketmanager und ohne SSH klingt nach weniger Kontrolle. Talos Linux setzt genau darauf und steuert jeden Knoten allein über eine API. Die aktuelle Version rüstet das System für Rechenzentrumsnetze auf und bringt einen eigenen BGP-Sprecher mit.

Talos Linux ist ein unveränderliches Betriebssystem, das ausschließlich Kubernetes-Knoten betreibt. Sidero Labs stellt die Version 1.14.0 bereit und erweitert damit vor allem das Netzwerk. Der Administrator konfiguriert das System nicht über eine Textkonsole, denn eine solche fehlt. Stattdessen beschreibt er den Sollzustand in Konfigurationsdokumenten und überträgt ihn mit dem Kommandozeilenwerkzeug talosctl an die Maschinen-API.

Ein Betriebssystem als API

Talos verkleinert die Angriffsfläche eines Knotens, indem es die üblichen Zugänge weglässt. Ein System ohne Shell, ohne Paketmanager und ohne SSH-Dienst bietet einem Angreifer kaum eine Stelle für dauerhafte Präsenz. Jede Änderung läuft über die Maschinen-API. Der Administrator legt Rollen, Netzwerk und Speicher in YAML-Dokumenten fest, die Talos anschließend fortlaufend gegen den Zustand jedes Knotens abgleicht.

Ein Upgrade tauscht das komplette System-Image aus und startet den Knoten anschließend mit dem neuen Stand. Der vorherige Stand bleibt als Rückfalloption erhalten und sichert den Betrieb bei einem gescheiterten Wechsel ohne manuellen Eingriff. Scheitert der Wechsel, kehrt die Maschine selbsttätig zurück. Die Version 1.14.0 vom 03.09.2026 entfernt zudem den Parameter --mode=reboot aus dem Befehl talosctl apply-config, denn die meisten Konfigurationsänderungen greifen inzwischen ohne einen Neustart des laufenden Systems.

BGP direkt aus dem Knoten

Beim Routing setzt Talos neu an und startet ab 1.14.0 eigene BGP-Instanzen über einen eingebetteten GoBGP-Server und beschreibt jede Instanz im neuen Dokument BGPInstanceConfig mit lokaler ASN, Router-ID und einer optionalen Linux-VRF. Jeder Nachbar erhält pro Eintrag eine Hold-Time und optional BFD zur schnellen Ausfallerkennung. Über BGP kündigt der Server die Adressen seiner Dienste beim benachbarten Router an. Talos beherrscht nummeriertes und unnummeriertes Peering nach RFC 8950 über IPv6-Link-Local-Adressen.

Bisher benötigte dieser Aufbau die Routing-Suite FRR als eigene System-Erweiterung, sodass für den Anschluss an eine Leaf-Spine-Fabric künftig ein zusätzliches Paket samt eigener Pflege wegfällt. Ergänzend richtet Talos über das Dokument VethConfig virtuelle Ethernet-Paare ein, das beide Enden im Netzwerk-Namespace des Hosts erzeugt und Container-Netze ohne manuelle Skripte anbindet. Der eingebettete BGP-Sprecher nützt allerdings nur dort, wo das vorgelagerte Netz BGP spricht. In einer reinen Layer-2-Anbindung bleibt der Vorteil aus.

Verschlüsselte Namensauflösung und btrfs

Neben dem Routing härtet die Version die Namensauflösung, denn Talos löst DNS-Anfragen jetzt über DNS over TLS und DNS over HTTPS auf und wählt das Protokoll je Nameserver im Dokument ResolverConfig, sodass Angreifer im selben Segment die Anfragen nicht mehr mitlesen. Neben der authentifizierten Zeitsynchronisation prüft der Knoten die Erreichbarkeit einzelner Dienste über zusätzliche HTTP-Proben. Beim Speicher ergänzt Talos das Dateisystem btrfs für neue wie für bereits vorhandene Volumes. Snapshots und einzelne Subvolumes stehen damit ohne zusätzliche Werkzeuge für lokale Daten bereit.

Fazit

Talos Linux verschiebt die Verwaltung eines Kubernetes-Knotens vollständig auf eine API und schließt die klassischen Wartungszugänge über Shell und SSH. Die Version 1.14.0 verlagert das Routing mit GoBGP in das Betriebssystem, verschlüsselt die Namensauflösung und ergänzt btrfs als Dateisystem für lokale Volumes. Für RZ-Betreiber mit BGP-basierten Fabrics sinkt damit die Zahl der zusätzlichen Komponenten auf jedem einzelnen Knoten.

Im Kampf gegen die staatliche Internet-Zensur

TLS auf Abwegen: Forscher entwickeln neue Methoden zur Umgehung staatlicher Zensur

Das Erkennen von Zonen, DNS-Einträgen und IP-Adressen

DNS-Troubleshooting mit Nslookup

Semaphore UI: steuert Ansible und OpenTofu zentral

Kurzlebige Token statt dauerhafter Zugangsdaten

(ID:50958686)