Actualizări de sistem și actualizări automate de securitate

Multe atacuri asupra serverelor folosesc vulnerabilități pentru care producătorul sistemului a publicat deja o corecție. Ghidul arată cum actualizați Ubuntu, Debian, AlmaLinux și CentOS Stream, cum aflați dacă serverul trebuie repornit și cum porniți actualizările automate. Comenzile se rulează pe server, ca root, într-o sesiune SSH (Conectarea la server prin SSH (Windows, macOS, Linux)). Repornirea se poate face și din panoul app.blackbox.md: „Serverele mele” (app.blackbox.md/my-servers) → cardul serverului → „Repornește”.

Disponibil pentru: titularul serverului, cu acces root prin SSH. BLACKBOX nu instalează actualizări pe serverul dvs.: de ele vă ocupați dvs. Pentru un server marcat „Administrat”, orice modificare se cere suportului.

Actualizarea manuală

Actualizați sistemul imediat după ce primiți serverul și apoi regulat, de exemplu o dată pe săptămână. Nu închideți sesiunea SSH cât timp rulează actualizarea.

Serviciile actualizate (de exemplu serverul web sau baza de date) sunt repornite și pot fi indisponibile pentru scurt timp. Se actualizează și pachetele din depozitele adăugate de dvs., de exemplu Docker: la actualizarea Docker, serviciul docker repornește, iar containerele se opresc pentru scurt timp. Alegeți o oră cu trafic mic.

Ubuntu și Debian

apt update
apt upgrade -y

Prima comandă descarcă lista de pachete, a doua instalează versiunile noi. Pe Ubuntu poate apărea o fereastră a programului needrestart, care întreabă ce servicii să fie repornite: lăsați selecția propusă și apăsați Enter. Ce s-a instalat puteți vedea în istoric:

tail -n 30 /var/log/apt/history.log

AlmaLinux și CentOS Stream

dnf upgrade -y

Ce s-a instalat puteți vedea în istoric:

dnf history

Trebuie repornit serverul?

Majoritatea programelor actualizate se repornesc singure. Un nucleu (kernel) nou și unele biblioteci de sistem intră în funcțiune abia după repornirea serverului.

Ubuntu și Debian

cat /var/run/reboot-required
cat /var/run/reboot-required.pkgs

Dacă repornirea este necesară, fișierul există: pe Ubuntu prima comandă afișează *** System restart required *** (pe Debian fișierul poate fi gol), iar a doua afișează pachetele care o cer. Mesajul „No such file or directory” la prima comandă înseamnă că repornirea nu este necesară. Pe Ubuntu, avertismentul despre repornire apare și la conectarea prin SSH. Pe Debian fără pachetul unattended-upgrades (vedeți „Actualizări automate pe Ubuntu și Debian”), fișierul poate lipsi chiar dacă repornirea este necesară: dacă apt a instalat un pachet linux-image-…, reporniți oricum.

AlmaLinux și CentOS Stream

Comanda needs-restarting vine din pachetul dnf-utils:

dnf install -y dnf-utils
needs-restarting -r

Rezultatul „Reboot is required to fully utilize these updates.” înseamnă că serverul trebuie repornit; „Reboot should not be necessary.” înseamnă că nu.

Cum reporniți

1. Reporniți din sesiunea SSH sau, în panou, apăsați „Repornește” pe cardul serverului și confirmați „Reporniți NUME_SERVER?”.

   reboot

2. Așteptați 30–60 de secunde și conectați-vă din nou.

3. Verificați versiunea nucleului care rulează:

   uname -r

Detalii despre butoanele din panou: Repornirea, oprirea și pornirea serverului.

Important Panoul nu are consolă web sau VNC. Dacă după o actualizare sau o repornire serverul nu mai răspunde prin SSH, urmați Nu mă pot conecta prin SSH; dacă nu ajută, doar echipa BLACKBOX poate interveni: Cum contactați suportul BLACKBOX.

Actualizări automate pe Ubuntu și Debian

Pachetul unattended-upgrades descarcă și instalează actualizările zilnic, în fundal.

1. Instalați pachetul. Dacă este deja instalat, comanda nu schimbă nimic.

   apt update
   apt install -y unattended-upgrades

2. Porniți actualizările automate. La întrebarea „Automatically download and install stable updates?” alegeți „Yes” și apăsați Enter.

   dpkg-reconfigure -plow unattended-upgrades

3. Verificați fișierul creat:

   cat /etc/apt/apt.conf.d/20auto-upgrades

   Ambele rânduri trebuie să aibă valoarea „1”:

   APT::Periodic::Update-Package-Lists "1";
   APT::Periodic::Unattended-Upgrade "1";

4. Rulați un test, care nu instalează nimic:

   unattended-upgrade --dry-run --debug

Setările sunt în /etc/apt/apt.conf.d/50unattended-upgrades. Implicit, pe Ubuntu se instalează doar actualizările de securitate, iar pe Debian actualizările de securitate și corecțiile din versiunile intermediare ale distribuției (de exemplu 12.7 → 12.8). Pachetele din depozitele adăugate de dvs. (de exemplu Docker) nu se actualizează automat: pentru ele rulați apt upgrade manual.

Repornire automată la o oră fixă

Implicit, serverul nu este repornit automat. Ca să fie repornit noaptea, când o actualizare o cere:

1. Deschideți fișierul de setări:

   nano /etc/apt/apt.conf.d/50unattended-upgrades

2. Găsiți rândurile de mai jos, ștergeți // de la începutul lor și setați valorile:

   Unattended-Upgrade::Automatic-Reboot "true";
   Unattended-Upgrade::Automatic-Reboot-Time "03:00";

3. Salvați cu Ctrl+O și Enter, apoi ieșiți cu Ctrl+X.

Serverul repornește la ora aleasă doar dacă o actualizare a cerut repornirea. Ora este cea a serverului; fusul orar îl vedeți cu:

timedatectl

Jurnale

Jurnalele sunt în /var/log/unattended-upgrades/: unattended-upgrades.log (ce s-a instalat) și unattended-upgrades-dpkg.log (detaliile instalării). Prima comandă arată ultimele intrări, a doua, când rulează următoarea actualizare automată:

tail -n 50 /var/log/unattended-upgrades/unattended-upgrades.log
systemctl list-timers 'apt-daily*'

Actualizări automate pe AlmaLinux și CentOS Stream

Pachetul dnf-automatic verifică zilnic actualizările. Implicit doar le descarcă, fără să le instaleze.

1. Instalați pachetul:

   dnf install -y dnf-automatic

2. Setați apply_updates = yes în /etc/dnf/automatic.conf, ca actualizările să fie și instalate:

   sed -i 's/^apply_updates = .*/apply_updates = yes/' /etc/dnf/automatic.conf

3. Opțional, doar pe AlmaLinux: instalați automat numai actualizările de securitate.

   sed -i 's/^upgrade_type = .*/upgrade_type = security/' /etc/dnf/automatic.conf

4. Opțional: repornire automată când o actualizare o cere.

   sed -i 's/^reboot = .*/reboot = when-needed/' /etc/dnf/automatic.conf

   Serverul repornește la câteva minute după instalarea actualizărilor, adică la ora programării zilnice (o vedeți la pasul 6).

5. Verificați setările. Dacă rândul reboot lipsește, versiunea dvs. nu are această opțiune: reporniți manual.

   grep -E '^(upgrade_type|apply_updates|reboot) ' /etc/dnf/automatic.conf

6. Porniți programarea zilnică și vedeți când rulează:

   systemctl enable --now dnf-automatic.timer
   systemctl list-timers dnf-automatic.timer

Ce s-a întâmplat la ultimele rulări:

journalctl -u dnf-automatic.service

Sfat Pe CentOS Stream lăsați upgrade_type = default: CentOS Stream nu publică marcajele de securitate, așa că varianta security poate să nu instaleze nimic. Cu default, dnf-automatic instalează toate actualizările, inclusiv din depozitele adăugate de dvs. (de exemplu Docker).

Trecerea la o versiune majoră nouă

Actualizările obișnuite păstrează versiunea sistemului: Ubuntu 22.04 rămâne 22.04. Trecerea la o versiune nouă (de exemplu Ubuntu 20.04 → 22.04) schimbă aproape toate pachetele.

Risc Trecerea la o versiune majoră poate opri site-urile și aplicațiile sau poate lăsa serverul fără acces SSH, iar BLACKBOX nu face copii de rezervă automate ale serverului. Faceți înainte backup pe alt sistem: Strategia de backup pentru serverul dvs.. Pentru un server de producție, de multe ori este mai sigur un server nou și mutarea datelor.

Ubuntu: do-release-upgrade

1. Faceți backup.

2. Instalați toate actualizările versiunii curente:

   apt update
   apt full-upgrade -y

3. Reporniți serverul, din SSH sau cu „Repornește” în panou, și conectați-vă din nou.

4. Porniți trecerea:

   do-release-upgrade

5. Programul avertizează că rulează prin SSH și anunță că pornește un server SSH suplimentar pe portul 1022. Filtrul de rețea administrat de BLACKBOX lasă să treacă implicit doar SSH (22), HTTP (80), HTTPS (443) și ping (Firewall: filtrarea din rețea și ufw/firewalld pe server), așa că nu contați pe acest port: păstrați deschisă o a doua sesiune SSH pe portul 22. Tastați y ca să continuați.

6. Confirmați cu y și celelalte întrebări. La fișierele de configurare modificate, păstrați versiunea locală (vedeți „Mesaje frecvente”). Depozitele adăugate de dvs. (de exemplu Docker) sunt dezactivate la trecere; reactivați-le apoi după documentația producătorului.

7. La final, acceptați repornirea, conectați-vă din nou și verificați versiunea:

   cat /etc/os-release

Mesajul „No new release found.” înseamnă că nu există încă o versiune LTS mai nouă disponibilă pentru trecere.

Server nou în locul trecerii

Comandați un server nou cu versiunea dorită (Sistemele de operare disponibile), mutați datele (Mutarea unui site pe serverul BLACKBOX), îndreptați domeniul către noua adresă IP (Cum îndreptați domeniul către server) și abia apoi ștergeți serverul vechi (Ștergerea definitivă a unui server). Până la ștergere, se facturează ambele servere.

Aplicațiile și panourile se actualizează separat

apt și dnf actualizează doar pachetele instalate din depozite. Aplicațiile, site-urile și unele panouri se actualizează separat:

docker compose pull
docker compose up -d

Faceți backup și înainte de actualizarea unui CMS sau a unei aplicații.

Mesaje frecvente

După o actualizare întreruptă:

dpkg --configure -a
apt upgrade -y

Întrebări frecvente

Butonul „Upgrade” din panou actualizează sistemul? Nu. „Upgrade” trece serverul la un plan mai mare și păstrează sistemul așa cum este: Upgrade server: trecerea la un plan mai mare.

Am Ubuntu 20.04 sau Debian 11. Mai are rost să actualizez? Da, dar suportul standard de la producător pentru aceste versiuni s-a încheiat. Planificați trecerea la o versiune nouă (secțiunea de mai sus). Datele de suport sunt la producători: ciclul de lansări Ubuntu și versiunile Debian.

Se actualizează și agentul serviciului Monitoring? Dacă agentul alloy a fost instalat din depozitul producătorului, apt upgrade îl actualizează ca pe orice alt pachet. Este normal. La întrebarea despre fișierul /etc/alloy/config.alloy, păstrați versiunea locală (vedeți „Mesaje frecvente”). Nu opriți și nu dezinstalați agentul: Serviciul Monitoring: agentul instalat pe server.

Poate echipa BLACKBOX să se ocupe de actualizări? Întreținerea serverului se poate cere ca serviciu separat: Servicii profesionale la cerere: administrare, DevOps, migrare.