Sådan slår du automatiske sikkerhedsopdateringer til på en VPS

Slå unattended-upgrades til på Ubuntu/Debian eller dnf-automatic på Rocky/AlmaLinux, så sikkerhedsrettelser installeres af sig selv, og beslut dig om automatiske genstarter.

De fleste servere, der bliver hacket, falder ikke for noget snedigt. De kørte software med en kendt og allerede rettet fejl, og ingen havde installeret rettelsen. Automatiske sikkerhedsopdateringer lukker det hul, uden at du skal huske at logge ind. Det er nogle af de mest givende fem minutter, du kan bruge på en ny server.

Ubuntu og Debian: unattended-upgrades

Ubuntu-images har det som regel med fra start; Debian har det måske ikke. Installér og aktivér:

apt update
apt install -y unattended-upgrades apt-listchanges
dpkg-reconfigure -plow unattended-upgrades    # answer "Yes"

Det opretter /etc/apt/apt.conf.d/20auto-upgrades:

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

De to værdier 1 betyder: opdatér pakkelisten og installér sikkerhedsopdateringer hver dag.

Beslut dig om genstarter

Kernerettelser kræver en genstart for at træde i kraft. For at genstarte automatisk på et roligt tidspunkt redigerer du /etc/apt/apt.conf.d/50unattended-upgrades og angiver:

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";
Unattended-Upgrade::Remove-Unused-Dependencies "true";

Serveren genstarter kun, når en opdatering virkelig kræver det (når /var/run/reboot-required findes).

Test det

unattended-upgrade --dry-run --debug

Logfilerne ligger i /var/log/unattended-upgrades/.

Rocky Linux og AlmaLinux: dnf-automatic

dnf install -y dnf-automatic

Redigér /etc/dnf/automatic.conf:

[commands]
upgrade_type = security
apply_updates = yes

Aktivér timeren:

systemctl enable --now dnf-automatic.timer
systemctl list-timers dnf-automatic.timer

For at se, om der skal genstartes efter opdateringer, installerer du dnf-utils og kører needs-restarting -r.

Hvilken genstartspolitik passer til dig?

Én app, der godt må blinke et minut om natten (en bot, en personlig tjeneste, et lille site): automatiske genstarter slået til.
Noget, folk bruger døgnet rundt, eller en database, du hellere selv genstarter: genstarter slået fra og en påmindelse om at genstarte, når /var/run/reboot-required dukker op.

Det dækker det ikke

Kun systempakker. Dine Docker-images, sprogafhængigheder (pip, npm) og manuelt installerede programmer opdateres ikke af sig selv: planlæg dem separat. Og opdateringer inden for en version sker automatisk; skiftet til en ny version (Ubuntu 22.04 → 24.04) er stadig et bevidst, manuelt stykke arbejde.

Hvis en dårlig opdatering en dag ødelægger opstarten, lukker webkonsollen i EQVPS-panelet dig ind uden SSH, og Managed Backups giver dig et gendannelsespunkt fra før ændringen.

Relateret

FAQ

Er det sikkert at installere opdateringer automatisk?

For sikkerhedsopdateringer, ja: det er, hvad unattended-upgrades installerer som standard. Det er små, målrettede rettelser. Risikoen ved en kendt, urettet sårbarhed er langt større end risikoen for, at en sikkerhedsrettelse ødelægger noget.

Skal serveren genstarte af sig selv?

Rettelser til kernen og grundlæggende biblioteker træder først i kraft efter en genstart. Kan din tjeneste tåle et minuts nedetid klokken fire om morgenen, så slå automatiske genstarter til. Hvis ikke, så lad dem være slået fra og genstart manuelt, når /var/run/reboot-required dukker op.

Hvordan ved jeg, at opdateringerne er installeret?

Kig i /var/log/unattended-upgrades/unattended-upgrades.log på Debian/Ubuntu eller 'journalctl -u dnf-automatic' på Rocky/Alma. En prøvekørsel med 'unattended-upgrade --dry-run --debug' viser, hvad der ville blive installeret lige nu.

Opgraderer det min distribution til en ny hovedversion?

Nej. unattended-upgrades og dnf-automatic installerer kun opdateringer inden for din nuværende version. At gå fra fx Ubuntu 22.04 til 24.04 er altid et manuelt trin.

Opdaterer det også Docker-containere?

Nej, kun systempakker. Containerimages opdateres ved at hente nye versioner og genskabe containerne, efter din egen plan.

Kommentarer

Ingen kommentarer endnu. Vær den første.