רוב השרתים שנפרצים לא נופלים בגלל טריק מתוחכם. הם הריצו תוכנה עם באג ידוע שכבר תוקן מזמן, ואף אחד לא התקין את התיקון. עדכוני אבטחה אוטומטיים סוגרים את הפער הזה בלי שתצטרכו לזכור להתחבר. אלה מחמש הדקות המשתלמות ביותר שאפשר לתת לשרת חדש.
Ubuntu ו-Debian: unattended-upgrades
ב-images של Ubuntu זה בדרך כלל מותקן מראש; ב-Debian אולי לא. התקינו והפעילו:
apt update
apt install -y unattended-upgrades apt-listchanges
dpkg-reconfigure -plow unattended-upgrades # answer "Yes"
זה יוצר את /etc/apt/apt.conf.d/20auto-upgrades:
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";
שני ה-1 אומרים: לרענן את רשימות החבילות ולהתקין עדכוני אבטחה כל יום.
החליטו לגבי אתחולים
תיקוני קרנל צריכים אתחול כדי להיכנס לתוקף. כדי לאתחל אוטומטית בשעה שקטה, ערכו את /etc/apt/apt.conf.d/50unattended-upgrades והגדירו:
Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";
Unattended-Upgrade::Remove-Unused-Dependencies "true";
השרת מאתחל רק כשעדכון באמת צריך את זה (כש-/var/run/reboot-required קיים).
בדקו
unattended-upgrade --dry-run --debug
הלוגים נמצאים ב-/var/log/unattended-upgrades/.
Rocky Linux ו-AlmaLinux: dnf-automatic
dnf install -y dnf-automatic
ערכו את /etc/dnf/automatic.conf:
[commands]
upgrade_type = security
apply_updates = yes
הפעילו את הטיימר:
systemctl enable --now dnf-automatic.timer
systemctl list-timers dnf-automatic.timer
כדי לדעת אם עדכון צריך אתחול, התקינו dnf-utils והריצו needs-restarting -r.
איזו מדיניות אתחול מתאימה לכם?
- אפליקציה אחת שיכולה לעצור לדקה בלילה (בוט, שירות אישי, אתר קטן): אתחול אוטומטי פעיל.
- משהו שאנשים משתמשים בו מסביב לשעון, או מסד נתונים שאתם מעדיפים לאתחל בעצמכם: אתחול אוטומטי כבוי, ועוד תזכורת לאתחל כש-
/var/run/reboot-requiredמופיע.
מה זה לא מכסה
רק חבילות מערכת. ה-images של Docker, תלויות שפה (pip, npm) ובינאריים שהותקנו ידנית לא מתעדכנים מעצמם: תזמנו אותם בנפרד. ועדכונים בתוך גרסה הם אוטומטיים; מעבר לגרסה חדשה (Ubuntu 22.04 ← 24.04) נשאר עבודה ידנית ומכוונת.
אם עדכון גרוע ישבור פעם את האתחול, קונסולת ה-web בפאנל של EQVPS מכניסה אתכם בלי SSH, ו-Managed Backups נותנים נקודת שחזור מלפני השינוי.
תגובות
אין עדיין תגובות. היו הראשונים.