Cum pornești actualizările automate de securitate pe un VPS

Pornește unattended-upgrades pe Ubuntu/Debian sau dnf-automatic pe Rocky/AlmaLinux, ca patch-urile de securitate să se instaleze singure — și decide ce faci cu repornirile automate.

Majoritatea serverelor sparte n-au fost lovite de ceva ingenios. Rulau software cu o gaură cunoscută, deja reparată, iar nimeni n-a instalat reparația. Actualizările automate de securitate închid golul ăsta fără să trebuiască să-ți amintești să intri pe server. Sunt printre cele mai valoroase cinci minute pe care le poți petrece pe un server nou.

Ubuntu și Debian: unattended-upgrades

Imaginile Ubuntu vin de obicei cu el; Debian s-ar putea să nu. Instalează-l și pornește-l:

apt update
apt install -y unattended-upgrades apt-listchanges
dpkg-reconfigure -plow unattended-upgrades    # answer "Yes"

Asta creează /etc/apt/apt.conf.d/20auto-upgrades:

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

Ambele valori 1 înseamnă: reîmprospătează zilnic listele de pachete și instalează actualizările de securitate.

Decide ce faci cu repornirile

Patch-urile de kernel au nevoie de o repornire ca să aibă efect. Ca serverul să repornească automat la o oră liniștită, editează /etc/apt/apt.conf.d/50unattended-upgrades și setează:

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";
Unattended-Upgrade::Remove-Unused-Dependencies "true";

Serverul repornește doar când o actualizare chiar o cere (când există /var/run/reboot-required).

Testează

unattended-upgrade --dry-run --debug

Logurile stau în /var/log/unattended-upgrades/.

Rocky Linux și AlmaLinux: dnf-automatic

dnf install -y dnf-automatic

Editează /etc/dnf/automatic.conf:

[commands]
upgrade_type = security
apply_updates = yes

Pornește timerul:

systemctl enable --now dnf-automatic.timer
systemctl list-timers dnf-automatic.timer

Ca să vezi dacă e nevoie de o repornire după actualizări, instalează dnf-utils și rulează needs-restarting -r.

Ce politică de repornire e potrivită?

O singură aplicație care poate clipi un minut noaptea (un bot, un serviciu personal, un site mic): repornirile automate, pornite.
Ceva folosit de oameni 24/7 sau o bază de date pe care preferi s-o repornești singur: repornirile, oprite, și o notă să repornești când apare /var/run/reboot-required.

Ce nu acoperă

Doar pachetele de sistem. Imaginile Docker, dependențele de limbaj (pip, npm) și binarele instalate de tine nu se actualizează singure — programează-le separat. Iar actualizările în cadrul unei versiuni sunt automate; trecerea la o versiune nouă (Ubuntu 22.04 → 24.04) rămâne o treabă deliberată, manuală.

Dacă vreodată o actualizare proastă strică pornirea, consola web din dashboardul EQVPS te duce înăuntru fără SSH, iar Backup-urile administrate îți dau un punct de restaurare de dinainte de schimbare.

Legate

Întrebări frecvente

E sigur să instalez actualizările automat?

Pentru actualizările de securitate, da — exact pe acestea le instalează implicit unattended-upgrades. Sunt corecturi mici, țintite. Riscul unei vulnerabilități cunoscute și necorectate e mult mai mare decât riscul ca un patch de securitate să strice ceva.

Ar trebui serverul să repornească automat?

Patch-urile pentru kernel și bibliotecile de bază au efect doar după o repornire. Dacă serviciul tău suportă un minut de întrerupere la 4 dimineața, pornește repornirile automate. Dacă nu, lasă-le oprite și repornește manual când apare /var/run/reboot-required.

De unde știu că actualizările chiar au rulat?

Verifică /var/log/unattended-upgrades/unattended-upgrades.log pe Debian/Ubuntu sau 'journalctl -u dnf-automatic' pe Rocky/Alma. O rulare de probă cu 'unattended-upgrade --dry-run --debug' arată ce s-ar instala chiar acum.

Îmi va actualiza asta distribuția la o versiune majoră nouă?

Nu. unattended-upgrades și dnf-automatic instalează doar actualizări în cadrul versiunii curente. Trecerea de la Ubuntu 22.04 la 24.04, de exemplu, e întotdeauna un pas manual.

Actualizează și containerele Docker?

Nu — doar pachetele de sistem. Imaginile de containere le actualizezi descărcând versiuni noi și recreând containerele, după programul tău.

Comentarii

Încă nu există comentarii. Fii primul.