Automatska bezbednosna ažuriranja

Većina proboja dolazi kroz ranjivosti koje su zakrpovane mesecima ranije. Ručna ažuriranja se odlažu; automatska ne. Razumna konfiguracija instalira samo bezbednosna ažuriranja i sve ostalo ostavlja na miru.

Debian i Ubuntu

apt install -y unattended-upgrades apt-listchanges
dpkg-reconfigure -plow unattended-upgrades

Datoteka /etc/apt/apt.conf.d/50unattended-upgrades:

Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}-security";
};
Unattended-Upgrade::Package-Blacklist {
    "postgresql-.*";
    "docker-ce";
};
Unattended-Upgrade::Remove-Unused-Dependencies "true";
Unattended-Upgrade::Automatic-Reboot "false";
Unattended-Upgrade::Mail "you@example.com";

Raspored se nalazi u /etc/apt/apt.conf.d/20auto-upgrades:

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

Probno pokretanje, bez pravljenja izmena:

unattended-upgrade --dry-run --debug
systemctl status unattended-upgrades
cat /var/log/unattended-upgrades/unattended-upgrades.log

AlmaLinux i CentOS Stream

dnf install -y dnf-automatic

U /etc/dnf/automatic.conf:

[commands]
upgrade_type = security
apply_updates = yes
reboot = never

systemctl enable --now dnf-automatic.timer
systemctl list-timers | grep dnf

Šta izuzeti

Na listu izuzetaka dodaj sve što se kvari kada mu se verzija neočekivano promeni: server baze podataka, Docker, sam motor aplikacije. Njih ažuriraj ručno u neko mirno vreme — vidi ažuriranja sistema i paketa.

Bezbednosna ažuriranja kernela se takođe instaliraju, ali stupaju na snagu tek nakon restarta:

test -f /var/run/reboot-required && cat /var/run/reboot-required.pkgs

Restartovanje: isključivo ljudska odluka

Iskušenje da podesiš Automatic-Reboot "true" je jako, ali automatski noćni restart znači da se servis podiže bez ikoga da gleda. Ako nešto ne uspe da se vrati, saznaćeš ujutru od svojih korisnika.

Razuman kompromis: ažuriranja se instaliraju sama, a ti restartuješ ručno jednom mesečno dok gledaš konzolu u panelu /hosting/vds/m/<id>. Dok si već tamo, proveri da li se servisi sami pokreću:

systemctl is-enabled nginx postgresql
systemctl list-units --state=failed

Česte greške

Automatska ažuriranja su osiguranje, ne zamena za pažnju. Jednom mesečno otvori mašinu, pogledaj dnevnik ažuriranja, listu servisa koji su pali i da li je potreban restart. Petnaest minuta mesečno pokriva većinu scenarija iz članka znaci proboja.