معظم الخوادم التي تُخترق لا تسقط بحيلة ذكية. كانت تشغّل برمجيات فيها خلل معروف أُصلح منذ زمن، ولم يثبّت أحد الإصلاح. تحديثات الأمان التلقائية تسدّ تلك الفجوة دون أن تحتاج إلى تذكّر تسجيل الدخول. إنها من أكثر الدقائق الخمس جدوى التي يمكنك منحها لخادم جديد.
Ubuntu وDebian: unattended-upgrades
صور Ubuntu تتضمنه عادةً مسبقًا؛ وقد لا تتضمنه Debian. ثبّته وفعّله:
apt update
apt install -y unattended-upgrades apt-listchanges
dpkg-reconfigure -plow unattended-upgrades # answer "Yes"
هذا ينشئ /etc/apt/apt.conf.d/20auto-upgrades:
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";
القيمتان 1 تعنيان: حدّث قوائم الحزم وثبّت تحديثات الأمان كل يوم.
قرّر بشأن إعادة التشغيل
تصحيحات النواة تحتاج إعادة تشغيل لتسري. لإعادة التشغيل تلقائيًا في ساعة هادئة، حرّر /etc/apt/apt.conf.d/50unattended-upgrades واضبط:
Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";
Unattended-Upgrade::Remove-Unused-Dependencies "true";
لا يُعاد تشغيل الخادم إلا حين يحتاج تحديث ذلك فعلًا (حين يوجد /var/run/reboot-required).
اختبره
unattended-upgrade --dry-run --debug
السجلات موجودة في /var/log/unattended-upgrades/.
Rocky Linux وAlmaLinux: dnf-automatic
dnf install -y dnf-automatic
حرّر /etc/dnf/automatic.conf:
[commands]
upgrade_type = security
apply_updates = yes
فعّل المؤقّت:
systemctl enable --now dnf-automatic.timer
systemctl list-timers dnf-automatic.timer
لمعرفة ما إذا كان التحديث يحتاج إعادة تشغيل، ثبّت dnf-utils وشغّل needs-restarting -r.
أي سياسة لإعادة التشغيل تناسبك؟
- تطبيق واحد يحتمل التوقف دقيقة ليلًا (بوت، خدمة شخصية، موقع صغير): إعادة التشغيل التلقائية مفعّلة.
- شيء يستخدمه الناس على مدار الساعة، أو قاعدة بيانات تفضّل إعادة تشغيلها بنفسك: إعادة التشغيل التلقائية معطّلة، مع تذكير بإعادة التشغيل حين يظهر
/var/run/reboot-required.
ما الذي لا يغطيه
حزم النظام فقط. صور Docker، واعتماديات اللغات (pip وnpm)، والملفات التنفيذية المثبّتة يدويًا لا تتحدّث تلقائيًا: خصّص لها جدولًا منفصلًا. والتحديثات ضمن الإصدار تلقائية؛ أما الانتقال إلى إصدار جديد (Ubuntu 22.04 ← 24.04) فيظل عملًا يدويًا متعمّدًا.
إن كسر تحديث سيئ الإقلاع يومًا ما، فإن وحدة التحكم عبر الويب في لوحة EQVPS تتيح لك الدخول دون SSH، وManaged Backups تمنحك نقطة استعادة من قبل التغيير.
التعليقات
لا تعليقات بعد. كن الأول.