Gyvavimo trukmė ir laidų atnaujinimai

4 modulis: Programinė įranga ir atnaujinimai · Skaitymo laikas: 11 min.

Mokymosi tikslas: po šios pamokos galėsite sužinoti savo distribucijos gyvavimo trukmę, žinosite, ką Jūsų serveriui reiškia „end of life“, ir galėsite saugiai suplanuoti bei atlikti laidos atnaujinimą.

Pagrindinės sąvokos: laida (release), LTS, standartinis palaikymas, Debian LTS, Ubuntu ESM ir Ubuntu Pro, end of life (EOL), /etc/os-release, do-release-upgrade, minimalus ir pilnas atnaujinimas, trečiųjų šalių paketų šaltiniai, momentinė kopija (snapshot), curl | bash

Kiekviena laida turi galiojimo pabaigą

Automatiniai atnaujinimai (pamoka 4.2) veikia tik tol, kol Jūsų distribucija dar kuria atnaujinimus Jūsų versijai. Kiekviena Debian ir Ubuntu laida tam tikrą nustatytą laikotarpį gauna saugumo atnaujinimus. Vėliau tai baigiasi: Jūsų serveris nebegauna pataisymų, net ir rimtoms spragoms. Tai vadinama end of life (EOL), gyvavimo pabaiga.

Kokią versiją turite, galite pamatyti taip:

anna@web1:~$ cat /etc/os-release
PRETTY_NAME="Debian GNU/Linux 13 (trixie)"
NAME="Debian GNU/Linux"
VERSION_ID="13"
VERSION="13 (trixie)"
VERSION_CODENAME=trixie
...

Pavyzdžiui, Ubuntu sistemoje bus parašyta VERSION="24.04.3 LTS (Noble Numbat)".

Debian

Debian pilnai palaiko laidą maždaug trejus metus. Vėliau dar dvejiems metams palaikymą perima Debian LTS komanda, teikianti saugumo atnaujinimus dažniausiai naudojamiems paketams. Dabartinės laidos (2026 m. lapkričio duomenimis, pasitikrinkite debian.org/releases):

Taigi Debian 12 dar gauna atnaujinimus per LTS, tačiau jau yra paskutiniame etape. Naują serverį diekite su Debian 13.

Ubuntu

Ubuntu kas dvejus metus balandį išleidžia LTS laidą (Long Term Support) su penkerių metų standartine saugumo priežiūra. Turint Ubuntu Pro prenumeratą (asmeniniam naudojimui nemokama keliuose įrenginiuose), papildomai gaunama ESM (Expanded Security Maintenance), iš viso iki dešimties metų.

Tarp LTS laidų išleidžiamos tarpinės versijos (pavyzdžiui, 25.10), palaikomos tik devynis mėnesius. Jos nėra skirtos serveriui, kuris turi veikti metų metus. Serveriui visada rinkitės LTS.

Ką EOL reiškia Jums

Serveris, kurio laida nebegauna atnaujinimų, toliau veikia kaip veikęs. Būtent tai ir yra klastinga: nieko nepastebite, kol kas nors pasinaudoja spraga, kuri visur jau ištaisyta, išskyrus Jūsų serverį. Be to:

• nauja programinė įranga (nauja PHP versija, nauja Docker laida) Jūsų laidai nebekuriama;
• trečiųjų šalių paketų šaltiniai taip pat nustoja veikti, dažnai net anksčiau;
• kuo ilgiau laukiate, tuo didesnis šuolis. Debian nepalaiko laidos praleidimo: iš 11 į 13 reikia pereiti per 12.

Todėl įsirašykite savo serverio EOL datą į kalendorių su priminimu pusmečiu anksčiau.

Du būdai: atnaujinti arba sukurti iš naujo

Yra du tvarkingi keliai į naują laidą.

1. Atnaujinimas vietoje (in-place): esamą serverį atnaujinate į naują laidą. Greita, viskas lieka vietoje, tačiau kartu perkeliami ir seni likučiai bei Jūsų pačių pakeitimai.
2. Sukūrimas iš naujo: sukuriate naują serverį su nauja laida, iš naujo įdiegiate paslaugas (patogu su pastabomis iš pamokos 10.4 arba su Docker Compose, modulis 9), perkeliate duomenis iš atsarginės kopijos ir perjungiate DNS (pamoka 7.1). Daugiau darbo, tačiau švaru, be to, tai iškart ir Jūsų atsarginės kopijos patikrinimas.

Nedideliam serveriui su keliomis paslaugomis atnaujinimas vietoje visiškai tinka. Jei serveryje veikia daug individualių sprendimų arba jis jau buvo kelis kartus atnaujintas, apsvarstykite sukūrimą iš naujo.

Atnaujinimo vietoje paruošimas

Prieš pradėdami pasirūpinkite šiais penkiais dalykais:

1. Momentinė kopija (snapshot) savo teikėjo valdymo skydelyje, padaryta tiesiai prieš pradedant, ir nauja atsarginė kopija už serverio ribų (modulis 8). Momentinė kopija yra greitas kelias atgal, jei atnaujinimas nepavyksta įpusėjus.
2. Antras įėjimas: Jūsų teikėjo konsolė. Dirbate per SSH, o jei atnaujinimo metu pasikeičia tinklo nustatymai arba SSH serveris, norėsite tęsti per konsolę. Debian laidos pastabose tai pasakyta tiesiai: iš anksto pasirūpinkite kitu prisijungimo būdu.
3. Laidos pastabų perskaitymas, ypač skyriaus „Issues to be aware of“. Pavyzdžiui, Debian 13 ten nurodyta: /tmp dabar pagal numatytuosius nustatymus laikomas atmintyje, /etc/sysctl.conf nebeskaitomas (naudokite /etc/sysctl.d/), o /boot turi būti pakankamai didelis.
4. Trečiųjų šalių šaltinių peržiūra. Paketai, kurie nėra iš pačių Debian ar Ubuntu, atnaujinimo metu gali sukelti konfliktų. Patikrinkite, kokius šaltinius turite (ls /etc/apt/sources.list.d/), ir ar jų kūrėjas jau turi versiją naujai laidai.
5. Sesija, kuri išlieka nutrūkus ryšiui. Atnaujinimą pradėkite tmux arba screen sesijoje. Jei dings interneto ryšys, atnaujinimas tęsis, o prie jo grįšite su tmux attach.

Debian: žingsniai

Iš Debian 13 laidos pastabų, atnaujinant iš 12 į 13:

root@web1:~# apt update && apt full-upgrade          # pirmiausia visiškai atnaujinti dabartinį leidimą
root@web1:~# sed -i 's/bookworm/trixie/g' /etc/apt/sources.list.d/debian.sources
root@web1:~# apt update
root@web1:~# apt upgrade --without-new-pkgs          # minimalus atnaujinimas
root@web1:~# apt full-upgrade                        # pilnas atnaujinimas
root@web1:~# reboot

Jei dar naudojate /etc/apt/sources.list, kodinį pavadinimą pakeiskite ir ten. Trečiųjų šalių šaltinius atnaujinimo metu laikinai išjunkite (pervadinkite į .disabled), o vėliau vėl įjunkite su naujos laidos kodiniu pavadinimu, jei kūrėjas tokį turi.

Atnaujinimo metu atidžiai stebėkite klausimus apie konfigūracijos failus. Jei failą esate pakeitę patys, pavyzdžiui, sshd_config, dpkg paklaus, ar norite palikti savo versiją. Palikite savo versiją, jei žinote, kodėl ją pakeitėte, o vėliau palyginkite ją su naująja versija (.dpkg-dist).

Po paleidimo iš naujo:

anna@web1:~$ cat /etc/os-release | grep VERSION=
VERSION="13 (trixie)"
anna@web1:~$ systemctl --failed
anna@web1:~$ sudo apt autoremove

systemctl --failed (pamoka 6.1) turi būti tuščias. Taip pat patikrinkite, ar veikia Jūsų svetainės ir konteineriai ir ar Jūsų stebėsena (pamoka 8.3) rodo žalią spalvą.

Ubuntu: do-release-upgrade

Ubuntu tam turi atskirą programą:

anna@web1:~$ sudo apt update && sudo apt full-upgrade
anna@web1:~$ sudo do-release-upgrade

Reikia žinoti du dalykus. Pirma, Ubuntu atnaujinimą iš vienos LTS į kitą pasiūlo tik po pirmosios taškinės laidos (pavyzdžiui, 26.04.1, praėjus keliems mėnesiams po balandžio). Tai daroma sąmoningai: per pirmuosius mėnesius ištaisomos didžiausios problemos. Antra, jei atnaujinimą vykdote per SSH, do-release-upgrade praneša, kad dėl atsargumo paleidžia papildomą SSH serverį atsarginiame prievade. Tuomet šis prievadas turi būti leidžiamas Jūsų užkardoje (pamoka 5.2), jei jo prireiktų; dažniausiai jo neprireikia, nes turite konsolę.

Didžiausi spąstai: programinė įranga ne iš distribucijos

Atnaujinimai beveik visada sutrinka dėl programinės įrangos, kuri nėra iš distribucijos. Skirtumą lemia trys įpročiai:

• Jokio curl https://... | bash. Scenarijus iš interneto, kurį tiesiogiai vykdote kaip root, gali Jūsų serveryje pakeisti bet ką: pridėti šaltinių, pasitikėti raktais visiems šaltiniams, perrašyti failus. Nežinote, kas įvyko, o per kitą atnaujinimą kažkas sugenda. Tokį scenarijų atsisiųskite, perskaitykite ir geriau atlikite žingsnius patys.
• Papildomas šaltinis tik iš paties kūrėjo, su atskiru raktu (Signed-By, pamoka 4.1), ir savo serverio dokumentacijoje užsirašykite, kodėl jis ten yra.
• Jokių atskirų .deb failų iš svetainių, jei tą patį galima gauti iš distribucijos ar kūrėjo šaltinio. Jie niekada negauna atnaujinimų.

AlmaLinux ir Rocky Linux sistemose

Ten „major“ versija (9, 10) gauna atnaujinimus maždaug dešimt metų, o tarpines versijas (9.6, 9.7) tiesiog atnaujinate su dnf upgrade. Peršokti į naują major versiją vietoje galima su pagalbine programa ELevate (AlmaLinux), tačiau daugelis administratorių, pereidami prie naujos major versijos, vis tiek renkasi sukūrimą iš naujo.

Praktikoje

WebOké VPS lange prieš atnaujinimą padarote momentinę kopiją (daugiausia dvi vienu metu, toje pačioje saugykloje kaip Jūsų VPS) ir turite konsolę kaip antrą įėjimą. Kitų teikėjų sistemose tai vadinama panašiai: snapshot, VNC ar žiniatinklio konsolė, rescue. Momentinė kopija nepakeičia atsarginės kopijos už serverio ribų; kai viskas veikia, ją ištrinkite, nes ji didėja su kiekvienu pakeitimu.

Santrauka

• Kiekviena laida tam tikrą nustatytą laikotarpį gauna saugumo atnaujinimus; po to ji pasiekia end of life ir Jūsų serveris nebegauna pataisymų.
• Debian: maždaug treji metai ir dar dveji metai LTS; Ubuntu LTS: penkeri metai ir ESM iki dešimties metų. Serveriui visada rinkitės LTS ir įsirašykite pabaigos datą į kalendorių.
• Atnaujinimą paruoškite su momentine kopija, atsargine kopija, konsole, laidos pastabomis ir tmux sesija.
• Debian: šaltiniai į naują kodinį pavadinimą, apt upgrade --without-new-pkgs, apt full-upgrade; Ubuntu: do-release-upgrade, po pirmosios taškinės laidos.
• Programinė įranga ne iš distribucijos yra didžiausias atnaujinimo problemų šaltinis: jokio curl | bash, tik kūrėjo šaltiniai su atskiru raktu.

Testas (quiz)

Užduotis

Užduotis O4.3: Jūsų atnaujinimo planas. Sužinokite, kokia laida veikia Jūsų serveris ir iki kada ji gauna saugumo atnaujinimus. Tada sudarykite atnaujinimo planą: kokius trečiųjų šalių šaltinius turite, kaip padarysite momentinę kopiją ir atsarginę kopiją, kaip prisijungsite per konsolę, kokius žingsnius atliksite, kaip po to patikrinsite ir ar rinksitės atnaujinimą vietoje, ar sukūrimą iš naujo (su priežastimi)?

Skaitykite daugiau

• VPS momentinės ir atsarginės kopijos
• Nuosavo ISO prijungimas arba VPS įdiegimas iš naujo
• Debian laidos ir palaikymo laikotarpiai: https://www.debian.org/releases/
• Debian 13 laidos pastabos, 4 skyrius (atnaujinimas) ir 5 skyrius (į ką atkreipti dėmesį): https://www.debian.org/releases/trixie/release-notes/
• Ubuntu laidų ciklas: https://ubuntu.com/about/release-cycle
• Ubuntu Server dokumentacija, Upgrade your release: https://ubuntu.com/server/docs/how-to/software/upgrade-your-release/