Dotaz: Pouzivate automaticke aktualizace SW na serveru?

[polo23]

Ahoj, mam dotaz ohledne aktualizaci na serveru. Chtel jsem se zeptat zda je vhodne nechat na serveru automaticke aktualizace zapnute. Proc se ptam? Ze sveta Windows znam (ucili me to tak ve skole), ze NEKDY se automaticke aktualizace vypnou, admin si je stahne na zkusebni server kde ma SW ktery bezi na produkcnim serveru tam je zkusi - zda nezbusobuji nejake problemy a v pripade ze ne tak je instaluje na produkcni server. Dela se to na Linuxu taky tak? Ptam se taky proto ze obsas se mi na netu nenacte nejaka stranka a chybova stranka ukaze jaky je pouzivany www server. Vsimnul jsem si ze nekdy je to napr Apache 1.3 coz uz je v dnesni dobe zastarale. Obecne se porad tvrdi ze se ma aktualizovat na nejnovejsi verzi - mam to chapat tak ze admin s Apachem 1.3 svou praci zanedbava? Myslim ze ne - sice ma starou verzi Apache ale podle me stahuje zaplaty na tuhle verzi. A rozdil mezi touto a tou nejnovejsi je jen v tom ze nova poskytuje dalsi funkcinality. Opravte me pokud se mylim. A posledni vec - jak mam docilit toho aby se mi na Debianu (Lenny) stahly pouze ZAPLATY na programy ktere mam instalovane? V dokumentaci jsme se totiz docetl ze po apt-get upgrade - aktualizace stávajících balíčků novějšími verzemi ze stejné distribuce Debianu. Ja nechci novejsi verze - chci jen zaplaty na SW ktery pouzivam. Diky za rady

Odpovědi

[trekker.dk]

Ze sveta Windows znam (ucili me to tak ve skole), ze NEKDY se automaticke aktualizace vypnou, admin si je stahne na zkusebni server kde ma SW ktery bezi na produkcnim serveru tam je zkusi - zda nezbusobuji nejake problemy a v pripade ze ne tak je instaluje na produkcni server.

Co jsem tak slyšel, tak na Windows je to v podstatě nutnost. Příkladem budiž vysouzená záplata kvůli neschopákům z Opery, která upgraduje Internet Explorer na verzi 8, i když nechceš.

V dokumentaci jsme se totiz docetl ze po apt-get upgrade - aktualizace stávajících balíčků novějšími verzemi ze stejné distribuce Debianu. Ja nechci novejsi verze - chci jen zaplaty na SW ktery pouzivam

Pokud používáš Debian Lenny (tj. stable), pak novější verze (tj. novější verze balíčku) znamená záplatu - verze software se přitom nezmění a po aktualizaci by mělo všechno fungovat.

V případě, že bys měl testing nebo unstable (nebo ve zdrojích "stable" místo "lenny"), pak upgrade povyšuje i verze programů.

Osobně jsem automatické aktualizace používal na jednom routeru - úložišti, o které jsem se nechtěl moc starat. Fungovalo to víceméně dobře, akorát občas to bylo potřeba zkontrolovat, protože některé aktualizace se ptaly, jestli smí restartovat službu, tzn. upgrade se nedokončil (nebylo koho se zeptat) a musel se dodělat ručně.

Ani v takové situaci nicméně nic nespadlo. (Ale taky tam toho moc neběželo - Samba, dnsmasq a SSH, toť vše)

[polo23]

Pokud používáš Debian Lenny (tj. stable), pak novější verze (tj. novější verze balíčku) znamená záplatu - verze software se přitom nezmění a po aktualizaci by mělo všechno fungovat.

Tedka jsem se dival podle distrowatch na verze programu v Lenny. Ty ktere mam dostupne v repozitarich jsou stejne verze jako uvedene v distrowatch. To by pak znamenalo ze mas pravdu a ze upgrade = "zaplata" a ne nova verze programu. Ja jsme prave myslel ze kdyz se udela nova verze programu tak ze se ji nahradi ta stara co je v repozitari, ale ono to vypada ze v repu jsou zrejme porad ty stare baliky ktere tam byly pri uvedeni distra(Lenny) na "trh":) A nove verze se tam dostanou leda bych pridal jako zdroj Debian Sqeeze.
Jeste by me zajimal nazor na to co jsem psal ohledne toho Apache 1.3. Da se rict ze zaplatovany je stejne bezpecny jako treba Apache 2?

[Cubic]

az donedavna byl oficialne podporovany: http://www.apache.org/dist/httpd/CHANGES_1.3

prirovnal bych to k rozdilu mezi Win7 a WinXP, pokud ti XPcka vyhovujou nemusis preinstalovavat na sedmicky tak dlouho dokud na to budou vychazet zaplaty

[dfg]

Všechno má svá pro a proti.

Když máš jeden server pod svým stolem, tak můžeš v pohodě upgradovat ručně, protože to stíháš. Můžeš taky upgradovat automaticky, protože v případě problémů máš server po ruce a můžeš opravit, co se pokazilo.

Když máš serverů víc, zdá se automatický upgrade jako vítaná pomoc. Když ale nejsou tak docela po ruce, musíš si dávat pozor na to, co ugraduješ, protože se ti může stát, že po upgradu přestanou fungovat služby, kvůli kterým ten server máš puštěný. Nebo se na něj najednou vzdáleně nedostaneš.

Osobně používám na servery Debian stable a automaticky upgraduji všechno, co přímo nesouvisí se vzdáleným přístupem na server. Nebo tedy to, o čem si to myslím. Tj. ne zavaděč systému, kernel, ssh, některé knihovny. Zároveň si vzdáleně kontroluji služby, které mají na serverech fungovat. Program na automatický upgrade si také sám kontroluje, jestli při upgradu nejsou nějaké dotazy a pokud jsou, tak sám neupgraduje. Celkem se to osvědčuje.

Routery upgraduji ručně a velmi zřídka.

[polo23]

Osobně používám na servery Debian stable a automaticky upgraduji všechno, co přímo nesouvisí se vzdáleným přístupem na server.

Muzes mi napsat jak to delas ze upgradujes pouze neco? Ja mel do ted za to ze upgrade se provadi prikazem apt-get upgrade a ten upgraduje vsechny baliky co mas instalovane? Podle toho co pises to jde nejak nastavit tak abych upgradoval treba jen Apache? Zkusil jsem ted prikaz apt-get upgrade samba a stejne mi to nabidlo aktualizaci vsech baliku.

[dfg]

Mám nainstalovaný balik unattended-upgrades a v něm nastaveno, které balíky neupgradovat. Kromě toho mám nastavené /etc/apt/preferences tak, aby se mi instaloval jen stable (resp. lenny). (http://linux.die.net/man/5/apt_preferences http://wiki.debian.org/AptPreferences)

[NN]

Kdyz se ti zaktualizije jadro a prepise ti nastaveni grubu, kde mas disky v poli. Tak rucim, ze ti to po restartu uz nenajde...

NN