jak na updaty v Debianu

19.5.2011 11:01 | Přečteno: 1721× | poslední úprava: 19.5.2011 11:01

Vyšla bezpečnostní záplata balíčku libapr1. Jedná se o knihovnu využívanou Apachem, tak jsem hezky způsobně shodil apache2, zavolal apt-get upgrade a zase nahodil apache2. Potom jsem nevěděl, jestli nemám ten stroj ještě rebootovat.

Řeč je o sdílené knihovně, čili kousek binárního kódu, který je mmapped a v paměti ho používají běžící programy, v tomto případě Apachové. Když jsem ty běžící programy shodil, došlo k od-mmapování? Jestliže ne, změnil se text knihovny nejen na disku ale i v paměti, nebo se nový soubor vytvořil vedle a ten starý zůstal otevřený v původním tvaru? Co by se stalo, kdybych apache neshodil? Změnil by se mu kus binárky a program by vesele pokračoval? Jeden pan kolega mě přesvědčuje, že přece Debiani nejsou volové. Asi má pravdu, volové jsme my uživatelé. Uděláme si

apt-get update

apt-get upgrade

ono nám to nepadne, takže server běží dál s původním textem běžících programů před pečem dalšího půl roku.

       

Komentáře

[Jirka P.]

To má být otázka, povzdech nebo návod?

Pokud to první, tak věz, že

- ano, kód programů, které běžely před updatem, je nezměněn, včetně knihoven

- fyzicky se stará knihovna smaže, až když ji přestane používat poslední program

- nově spuštěné programy používají nové knihovny

- k tomu, aby v systému neběžely nepatchované kusy kódu, je v Debianu program checkrestart

Platí pro knihovny i pro jakékoli jiné soubory. MMAP s tín nemá nic společného.

[krnoha]

Měla to být otázka. Děkuji, checkrestart je to po čem jsem toužil.

[CEST]

A neni to neco podobnyho, jako kdyz se meni nejakej glibc nebo libssl nebo ktery knihovny, pak vybehne okno, ze se musi restartovat seznam sluzeb, aby update byl kopletni. Clovek to pak odbouchne a sluzby se restartujou. Tohle se pri apr nedeje, ani to automaticky apache nerestartuje? ... hmmm, blby

[mnicky]

Pre uplnost: checkrestart sa v Debiane nachadza v balicku debian-goodies

[miro]

checkrestart mi na Ubuntu 8.04 tvrdí po čerstvém restartu:

Found 1 processes using old versions of upgraded files
(1 distinct programs)
(1 distinct packages)
These processes do not seem to have an associated init script to restart them:
upstart:
	1	/sbin/init

Netuším proč, Google mi nijak nenapověděl.

[Jirka P.]

Prozkoumejte lsof | grep init.

[miro]

init         1     root  cwd       DIR        8,4     4096          2 /
init         1     root  rtd       DIR        8,4     4096          2 /
init         1     root  txt       REG        8,4    89604      16406 /sbin/init
init         1     root  mem       REG        8,4  1364388     329286 /lib/tls/i686/cmov/libc-2.7.so
init         1     root  mem       REG        8,4   109152     327696 /lib/ld-2.7.so
init         1     root    0u      CHR        5,1                 567 /dev/console (deleted)
init         1     root    1u      CHR        5,1                 567 /dev/console (deleted)
init         1     root    2u      CHR        5,1                 567 /dev/console (deleted)
init         1     root    3r     FIFO        0,5                5975 pipe
init         1     root    4w     FIFO        0,5                5975 pipe
init         1     root    5u     unix 0xdd59ae00                5976 socket
init         1     root    6r      DIR       0,10        0          1 /inotify

[miro]

přitom

# ls -alF /dev | grep console
crw-------  1 root   dialout   5,   1 2011-05-19 17:21 console
prw-r-----  1 syslog adm            0 2011-05-19 19:25 xconsole|

[Michal Kubeček]

Odhadoval bych, že init při svém startu otevře /dev/console a pak ho během startovacích skriptů udev smaže a vytvoří znovu. Vzhledem k tomu, že je to znakové zařízení, nemá smysl to řešit (ve smyslu obávat se toho, že používáte nějakou starou verzi).

Ale asi by bylo dobré to opravit. "zypper ps" dřív taky ukazoval různé smazané dočasné soubory, ale teď už se chová rozumně a ukazuje jen to, co opravdu má.

[miro]

Díky za tip, vypadá to pravděpodobně:

# grep console /var/log/udev 
UEVENT[1305818467.833339] add      /devices/virtual/tty/console (tty)
DEVPATH=/devices/virtual/tty/console
UEVENT[1305818467.887579] add      /devices/virtual/vtconsole/vtcon0 (vtconsole)
DEVPATH=/devices/virtual/vtconsole/vtcon0
SUBSYSTEM=vtconsole
UDEV  [1305818468.326913] add      /devices/virtual/tty/console (tty)
DEVPATH=/devices/virtual/tty/console
DEVNAME=/dev/console
UDEV  [1305818474.783186] add      /devices/virtual/vtconsole/vtcon0 (vtconsole)
DEVPATH=/devices/virtual/vtconsole/vtcon0
SUBSYSTEM=vtconsole

/etc/init.d/udev přeplácne /dev mountem:

[ ... ]

        if ! mountpoint -q /dev; then
            # initramfs didn't mount /dev, so we'll need to do that
            mount -n --bind /dev /etc/udev
            mount -n -t tmpfs -o mode=0755 udev /dev
            mkdir -m 0700 -p /dev/.static/dev
            mount -n --move /etc/udev /dev/.static/dev
        fi

        # Copy over default device tree
        cp -a -f /lib/udev/devices/* /dev

        # It's all over netlink now
        if [ -e /proc/sys/kernel/hotplug ]; then
            echo "" > /proc/sys/kernel/hotplug
        fi

        # Start udevd
        log_begin_msg "Starting kernel event manager..."
        if start-stop-daemon --start --quiet --exec /sbin/udevd -- --daemon; then
            log_end_msg 0
        else
            log_end_msg $?
        fi
[ ... ]

init tak zřejmě bude mít otevřený soubor /dev/console v původním /dev, jehož obsah se stal vytvořením mountpointu nedostupný.

[petr_p]

v původním /dev, jehož obsah se stal vytvořením mountpointu nedostupný

Nikoliv. Citovaný skript jej přesunul do /dev/.static/dev.

[mnicky]

skuste checkrestart -v

[miro]

Výstup z checkrestart -v je identický s výstupem z checkrestart. V manu není žádný přepínač popsán, takže bych řekl, že to přepínače ignoruje (zkusil jsem i přepínače -vv -vvv -a a vždy se to chovalo naprosto stejně.

[Kvakor]

- fyzicky se stará knihovna smaže, až když ji přestane používat poslední program.

To platí obecně - soubor, resp. jeho inoda je smazána jen tehdy, poklesne-li počet referencí na ni na nulu. Takže aby se soubor skutečně smazal, musí se smazat nejen pod svým původním jménem, ale musí být odstraněný i všechny hardlinky a soubor nesmí být otevřen, protože to se také počítá jako reference.

Spustitelné programy mají navíc tu specialitu, že nemohou být měněny, pokud jsou používány jako "text" (tj. programový kód) běžícího procesu. Nicméně mohu být smazány, takže běžný postup upgradu spustitelného souboru či knihovny je nikoliv přepsat stará data novými, ale smazat původní soubor a vytvořit nový. Smazaný soubor je pak následně sám smazán, jakmile je příslušný proces ukončen.

PS: Na vysvětlení tohoto principu laikům se mi jako příklad osvědčil Voldemort a jeho viteály z Harryho Pottera

Platí pro knihovny i pro jakékoli jiné soubory. MMAP s tín nemá nic společného.

Má a nemá - spouštění procesů se v Linuxu, jako v jiných unixoidních systénmech, provádí tak, že se oblast souboru se sputitelným kódem mapuje do paměti podle toho, jak je třeba, což dělá za běžných okoností právě mmap(), nicméně pokud soborový systém mmap() nepodporuje, spušťění se obejde i bez něj (např. u síťových souborových systémů) a jádro to řeší přímým čtením (teda pokud si to dobře pamatuju z dob 2.0.x).

[dolik.rce]

způsobně shodil apache2, zavolal apt-get upgrade a zase nahodil apache2

Jen bych doplnil, že většinou se to dělá v pořadí apt-get upgrade a pak teprve restartovat všechny aplikaceu kterých došlo k upgradu závislostí. Je pak menší downtime a kód v paměti se znovu načte tak jako tak. Pokud vám na downtime nezáleží, tak je to samozřejmě jedno...

[sidik]

Já se tedy vypínáním procesů nezabývám. U většiny služeb (Apache, databáze) to za mě dělá aptitude hned po upgradu.