Proxmox VE 9.2.x 近期更新梳理：Cephx 密钥迁移、证书轮换与点版本安全修复

1. 概述

Proxmox VE 9.2 于 2026 年 5 月发布，基线为 Debian Trixie、Kernel 7.0、QEMU 11.0、LXC 7.0、ZFS 2.4，Ceph 侧提供 Squid 19.2.3 与 Tentacle 20.2.1 两个稳定选项。2026 年 8 月起，9.2 正式支持 arm64，首批官方支持的平台是 NVIDIA Grace 与 Vera，其余 UEFI + ACPI 引导的 ARMv9-A 及以上硬件按尽力支持处理，仅支持设备树的单板计算机（如树莓派）不在支持范围内。

点版本从 9.2.0 迭代到 9.2.25，节奏大致为每周一到两个。从 9.2.12 到 9.2.25 这 14 个版本里，变更可以归纳为四条主线：

功能层面的改动相对克制，安全与兼容性修复占据多数，这与 9.2 已进入稳定维护期的定位一致。

2. 主线一：Cephx 密钥迁移到 aes256k

2.1 触发条件

Ceph 19.2.6 与 20.2.4 起，会对仍使用旧 cipher 的 cephx 密钥抛出健康告警，升级后的集群会在 HEALTH_WARN 里直接提示密钥不安全。此时 Ceph 的滚动重启会被该检查阻塞——9.2.12 之前，这会让每一个刚升级的集群仓库都卡在滚动重启步骤。

9.2.12 起，迁移工具链开始成形，核心是两条命令：

• pveceph auth status：只读报告，列出仍有待迁移的密钥、当前与目标 cipher、阻塞迁移的原因（含内核兼容性）。
• pve-cephx-rotate-service-keys：引导式迁移脚本，按守护进程逐个推进。

2.2 分阶段轮换模型

迁移不是一次性替换，而是三段式：

1. 暂存（stage）：先把符合条件的 client.admin 与存储专用用户密钥以暂存形式写入，原密钥保持有效；
2. 消费方刷新：各消费方（守护进程、RBD 映射、CephFS 挂载、外部客户端）用新密钥重新连接；
3. 提交（commit）：确认消费方完成刷新后，才让新密钥生效并退役旧密钥。

9.2.19 补充了一个关键防护：当可见客户端的密钥无法识别时，拒绝确认暂存密钥，不再把"新会话建立"当作刷新成功的证据。9.2.15 起，每次轮换会列出该密钥的运行中消费方，并单独报告"可能仍持有旧密钥"的记录消费方。

2.3 特殊密钥与外部节点

• lockbox 密钥：加密 OSD 的 client.osd-lockbox 密钥同时存在于认证数据库与 LVM 标签中，需要 --rotate-lockbox-keys 单独处理。9.2.21 修复了销毁加密 OSD 时未清理 lockbox 密钥与 dm-crypt 密钥的问题，此前会在 monitor 中残留并显示为不安全的密钥。
• 存储专用用户：--rotate-all-storage-keys 可把本地 RBD 与 CephFS 存储的专用用户一起轮换，但会排除外部集群，并保留 client.admin 不动。
• 集群外主机：stretch cluster 的仲裁 monitor 这类不在本集群内的守护进程，9.2.23 起改为通过 ceph tell 查询而非 SSH，并根据其运行版本判断 cipher 支持能力；这类主机的 keyring 不会被直接改写，而是打印出刷新命令由管理员执行。

2.4 前置依赖

9.2.21 将 libpve-storage-perl 的最低版本提到 9.1.9。旧版本无法接受带 aes256k 的 keyring，迁移后 RBD 与 CephFS 存储会直接变为不可用。升级顺序上，应先更新 libpve-storage-perl，再执行密钥迁移。

3. 主线二：集群证书与 ACME 续期

9.2.25 调整了两套证书逻辑：

• 集群 CA：每日更新任务会在 CA 剩余有效期缩短到影响节点证书之前自动续期，并记录续期后节点证书的到期时间。直接信任该 CA 的客户端，必须在新 CA 生效前导入新证书。
• 离线节点：CA 轮换期间离线的节点，会在下一次每日更新时用新 CA 重新签发节点证书，无需人工介入。
• ACME：续期阈值从固定的 30 天改为按证书自身有效期计算，短期证书不再每天触发续期，避免 CA 速率限制，同时保留至少 3 天重试窗口。

Web 界面会标记已过期与临近过期的证书，并对短生命周期证书使用更短的告警窗口，防止在正常续期时间之前就告警。

4. 主线三：安全修复

9.2.22 至 9.2.24 修复了三个值得单独记录的问题：

4.1 权限检查结果被忽略

查询资源池时（GET /pools?poolid=<pool>），代码执行了 Pool.Audit 权限检查，但忽略了检查结果，导致任意已认证用户都能列出所有资源池的成员。9.2.23 修复。

4.2 配置文件注入

网络接口的 OVS 选项会被原样写入 /etc/network/interfaces。旧代码未过滤换行符，构造的参数可以注入额外的配置行。9.2.23 起拒绝包含换行的 OVS 选项。

4.3 节点 Shell 参数加固

Ceph 安装向导的命令调用原先接受任意参数，9.2.24 改为只透传已知的 Ceph 版本与仓库选项，其余一律拒绝。这类修复针对的是已获得节点 Shell 权限后的横向提权路径。

5. 内核 7.0.14-27 的关键修复

内核侧同期从 7.0.14-14 推进到 7.0.14-27，以下几项与生产稳定性直接相关：

其中 MSS 这一条与 MTU 异常的排查经验高度相关：当链路中间存在丢 ICMP 的设备时，症状是 ICMP 可达而 TCP 在握手后停滞，容易误判为防火墙策略。

6. 功能与体验改进

• 导入格式选择：.img 后缀不再一律按 raw 处理。基于 qcow2 的云镜像此前会以 raw 导入导致无法引导，9.2.22 允许用户显式选择格式。
• 资源映射校验：PCI/USB/目录映射的名称在界面上按 API 规则即时校验，不再等到提交时才报通用错误。
• 任务与日志：任务查看器增加日志下载按钮；未提供结束时间的任务改为从轮询状态推导，避免时长显示错误。
• 资源池搜索：池选择器支持键盘输入过滤，池数量较多时更实用。
• qcow2 缓存大小：9.2.13 引入磁盘 qcow2 缓存大小配置，9.2.20 因对应的 qemu-server 变更尚未铺开而回退。点版本中出现这种"引入后回退"属于正常现象，升级前应确认配套包版本是否同步。

Ceph 侧另外加入了 21.2 Umbrella 实验性版本支持、noautoscale OSD 标志（升级期间暂停 PG 自动扩缩容），以及可在界面静音/取消静音健康检查的能力。

7. 升级顺序建议

1. 先备份：/etc/pve 与关键虚机/容器的配置快照，Ceph 集群另做一次 monitor 配置导出。
2. 同步基础包：先升级 libpve-storage-perl 等底层依赖，再升级 pve-manager 与 qemu-server，避免跨版本接口不匹配。
3. Ceph 单独处理：先跑 pveceph auth status 看清待迁移密钥与阻塞原因，再按"暂存 → 刷新消费方 → 提交"推进，不要在滚动重启被健康检查阻塞时强行 --force。
4. 内核与引导：升级内核后确认 proxmox-boot-tool 的引导项顺序，保留旧内核以便回退；使用 OVH 等特定托管环境时留意 memtest86+ 引导项的已知问题。
5. 验证：升级后检查 RBD/CephFS 存储状态、Windows 虚机的 EFI 证书注册、以及集群 CA 的到期时间。

8. 结论

9.2.12 至 9.2.25 的变更以"安全收口"为主：Cephx 密钥迁移是其中工程量最大的一项，涉及守护进程、存储用户、外部 monitor 三类对象，且必须按阶段推进；证书逻辑的调整降低了长期运行集群的维护负担；权限与注入类修复则提醒我们，API 层的权限检查"执行了"不等于"生效了"。

对仍停留在 9.2.11 左右的节点，建议在一个可回退的维护窗口内完成升级，重点关注 Ceph 密钥迁移的前置包版本与集群 CA 的信任链更新。