เซิร์ฟเวอร์ส่วนใหญ่ที่ถูกเจาะไม่ได้แพ้ให้กับเทคนิคล้ำลึก มันรันซอฟต์แวร์ที่มีช่องโหว่ซึ่งรู้กันแล้วและมีแพตช์แล้ว แต่ไม่มีใครติดตั้งแพตช์นั้น การอัปเดตความปลอดภัยอัตโนมัติปิดช่องโหว่นั้นโดยคุณไม่ต้องจำว่าต้องล็อกอิน นี่คือห้านาทีที่คุ้มค่าที่สุดที่คุณจะให้กับเซิร์ฟเวอร์ใหม่
Ubuntu และ Debian: unattended-upgrades
อิมเมจ Ubuntu มักติดตั้งมาให้แล้ว แต่ Debian อาจยังไม่มี ให้ติดตั้งและเปิดใช้งาน:
apt update
apt install -y unattended-upgrades apt-listchanges
dpkg-reconfigure -plow unattended-upgrades # answer "Yes"
คำสั่งนี้สร้าง /etc/apt/apt.conf.d/20auto-upgrades:
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";
ค่า 1 สองตัวหมายถึง: รีเฟรชรายการแพ็กเกจและติดตั้งอัปเดตความปลอดภัยทุกวัน
ตัดสินใจเรื่องการรีบูต
แพตช์เคอร์เนลต้องรีบูตจึงจะมีผล หากต้องการรีบูตอัตโนมัติในช่วงเวลาที่เงียบ ให้แก้ไข /etc/apt/apt.conf.d/50unattended-upgrades และตั้งค่า:
Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";
Unattended-Upgrade::Remove-Unused-Dependencies "true";
เซิร์ฟเวอร์จะรีบูตเฉพาะเมื่ออัปเดตต้องการจริง ๆ (เมื่อมีไฟล์ /var/run/reboot-required)
ทดสอบ
unattended-upgrade --dry-run --debug
บันทึกอยู่ใน /var/log/unattended-upgrades/
Rocky Linux และ AlmaLinux: dnf-automatic
dnf install -y dnf-automatic
แก้ไข /etc/dnf/automatic.conf:
[commands]
upgrade_type = security
apply_updates = yes
เปิดตัวตั้งเวลา:
systemctl enable --now dnf-automatic.timer
systemctl list-timers dnf-automatic.timer
หากต้องการรู้ว่าหลังอัปเดตต้องรีบูตหรือไม่ ให้ติดตั้ง dnf-utils แล้วรัน needs-restarting -r
นโยบายรีบูตแบบไหนเหมาะกับคุณ?
- แอปเดียวที่สะดุดได้หนึ่งนาทีตอนกลางคืน (บอท บริการส่วนตัว เว็บเล็ก ๆ): เปิดการรีบูตอัตโนมัติ
- สิ่งที่คนใช้ตลอด 24 ชั่วโมง หรือฐานข้อมูลที่คุณอยากรีบูตเอง: ปิดการรีบูตอัตโนมัติ และตั้งเตือนให้รีบูตเมื่อ
/var/run/reboot-requiredปรากฏ
สิ่งที่ไม่ครอบคลุม
เฉพาะแพ็กเกจระบบเท่านั้น image ของ Docker ไลบรารีของภาษา (pip, npm) และไบนารีที่ติดตั้งเองจะไม่อัปเดตตัวเอง: ให้วางกำหนดการแยก การอัปเดตภายในเวอร์ชันเดียวกันเป็นแบบอัตโนมัติ แต่การย้ายไปเวอร์ชันใหม่ (Ubuntu 22.04 → 24.04) ยังเป็นงานที่ต้องตั้งใจทำเอง
หากอัปเดตที่มีปัญหาทำให้บูตไม่ขึ้น คอนโซลเว็บ ในแผงควบคุม EQVPS จะให้คุณเข้าเครื่องได้โดยไม่ต้องใช้ SSH และ Managed Backups ให้จุดกู้คืนจากก่อนการเปลี่ยนแปลง
ความคิดเห็น
ยังไม่มีความคิดเห็น เป็นคนแรกสิ