Elinkaari ja julkaisupäivitykset

Moduuli 4: Ohjelmistot ja päivitykset · Lukuaika: 11 minuuttia

Tavoite: Tämän oppitunnin jälkeen osaat tarkistaa jakelusi elinkaaren, tiedät mitä "end of life" tarkoittaa palvelimellesi ja osaat suunnitella ja tehdä julkaisupäivityksen turvallisesti.

Keskeiset käsitteet: julkaisu (release), LTS, vakiotuki, Debian LTS, Ubuntu ESM ja Ubuntu Pro, end of life (EOL), /etc/os-release, do-release-upgrade, minimaalinen ja täysi päivitys, kolmansien osapuolten pakettilähteet, tilannevedos (snapshot), curl | bash

Jokaisella julkaisulla on viimeinen käyttöpäivä

Automaattiset päivitykset (oppitunti 4.2) toimivat vain niin kauan kuin jakelusi vielä tekee päivityksiä versiollesi. Jokainen Debianin ja Ubuntun julkaisu saa tietoturvapäivityksiä määrätyn ajan. Sen jälkeen ne loppuvat: palvelimesi ei saa enää korjauksia, ei edes vakaviin haavoittuvuuksiin. Tätä kutsutaan nimellä end of life (EOL).

Näin näet, mikä versio sinulla on:

anna@web1:~$ cat /etc/os-release
PRETTY_NAME="Debian GNU/Linux 13 (trixie)"
NAME="Debian GNU/Linux"
VERSION_ID="13"
VERSION="13 (trixie)"
VERSION_CODENAME=trixie
...

Ubuntussa siinä lukee esimerkiksi VERSION="24.04.3 LTS (Noble Numbat)".

Debian

Debian tukee julkaisua täysimääräisesti noin kolme vuotta. Sen jälkeen Debian LTS -tiimi jatkaa vielä kaksi vuotta ja tuottaa tietoturvapäivityksiä yleisimmin käytetyille paketeille. Nykyiset julkaisut (tilanne marraskuussa 2026, tarkista osoitteesta debian.org/releases):

Debian 12 saa siis vielä päivityksiä LTS:n kautta, mutta se on viimeisessä vaiheessaan. Uuden palvelimen asennat Debian 13:lle.

Ubuntu

Ubuntu julkaisee joka toinen vuosi huhtikuussa LTS-julkaisun (Long Term Support), jolla on viisi vuotta vakiomuotoista tietoturvaylläpitoa. Ubuntu Pro -tilauksella (henkilökohtaiseen käyttöön ilmainen muutamalle koneelle) saat lisäksi ESM:n (Expanded Security Maintenance), yhteensä enintään kymmenen vuotta.

LTS-julkaisujen välissä ilmestyy välijulkaisuja (kuten 25.10), joiden tuki kestää vain yhdeksän kuukautta. Niitä ei ole tarkoitettu palvelimelle, jonka pitää toimia vuosia. Valitse palvelimelle aina LTS.

Mitä EOL tarkoittaa sinulle

Palvelin, jonka julkaisu ei enää saa päivityksiä, toimii ihan normaalisti. Juuri se on salakavalaa: et huomaa mitään, ennen kuin joku käyttää haavoittuvuutta, joka on korjattu kaikkialla muualla paitsi sinulla. Lisäksi:

• uusia ohjelmistoja (uusi PHP-versio, uusi Docker-julkaisu) ei enää käännetä julkaisullesi;
• kolmansien osapuolten pakettilähteetkin lopettavat, usein aiemmin;
• mitä kauemmin odotat, sitä suurempi hyppy on edessä. Debian ei tue julkaisun ohittamista: versiosta 11 versioon 13 on mentävä version 12 kautta.

Merkitse siksi palvelimesi EOL-päivä kalenteriisi ja lisää muistutus puoli vuotta ennen sitä.

Kaksi tapaa: päivitä tai rakenna uudelleen

Uuteen julkaisuun on kaksi siistiä reittiä.

1. Paikallaan tehtävä päivitys (in-place): päivität nykyisen palvelimen uuteen julkaisuun. Nopeaa ja kaikki säilyy, mutta myös vanhat jäänteet ja omat muutokset kulkevat mukana.
2. Uudelleenrakentaminen: teet uuden palvelimen uudella julkaisulla, asennat palvelusi siihen uudelleen (helppoa oppitunnin 10.4 muistiinpanoilla tai Docker Composella, moduuli 9), siirrät tiedot varmuuskopiosta ja vaihdat DNS:n (oppitunti 7.1). Enemmän työtä, mutta lopputulos on puhdas ja samalla testaat varmuuskopiosi.

Pienelle palvelimelle, jossa on muutama palvelu, paikallaan tehtävä päivitys sopii hyvin. Jos palvelimella on paljon räätälöintiä tai se on jo päivitetty muutaman kerran, harkitse uudelleenrakentamista.

Paikallaan tehtävän päivityksen valmistelu

Huolehdi näistä viidestä asiasta ennen kuin aloitat:

1. Tilannevedos palveluntarjoajasi hallintapaneelissa juuri ennen aloitusta, sekä tuore varmuuskopio palvelimen ulkopuolella (moduuli 8). Tilannevedos on nopea paluureittisi, jos päivitys menee puolivälissä pieleen.
2. Toinen sisäänkäynti: palveluntarjoajasi konsoli. Työskentelet SSH:n kautta, ja jos verkkoasetukset tai SSH-palvelin muuttuvat päivityksen aikana, haluat voida jatkaa konsolin kautta. Debianin julkaisutiedoissa sanotaan suoraan: varmista etukäteen toinen tapa kirjautua sisään.
3. Lue julkaisutiedot, erityisesti luku "Issues to be aware of". Debian 13:n kohdalla siellä mainitaan esimerkiksi, että /tmp on nyt oletuksena muistissa, /etc/sysctl.conf ei enää lueta (käytä /etc/sysctl.d/) ja /boot on oltava riittävän suuri.
4. Käy kolmansien osapuolten lähteet läpi. Paketit, jotka eivät tule Debianilta tai Ubuntulta itseltään, voivat aiheuttaa ristiriitoja päivityksen aikana. Katso, mitä lähteitä sinulla on (ls /etc/apt/sources.list.d/) ja onko tekijällä jo versio uudelle julkaisulle.
5. Istunto, joka kestää yhteyden katkeamisen. Käynnistä päivitys tmux- tai screen-istunnossa. Jos nettiyhteytesi katkeaa, päivitys jatkuu ja pääset siihen takaisin komennolla tmux attach.

Debian: vaiheet

Debian 13:n julkaisutiedoista, päivitys versiosta 12 versioon 13:

root@web1:~# apt update && apt full-upgrade          # päivitä ensin nykyinen julkaisu kokonaan
root@web1:~# sed -i 's/bookworm/trixie/g' /etc/apt/sources.list.d/debian.sources
root@web1:~# apt update
root@web1:~# apt upgrade --without-new-pkgs          # minimaalinen päivitys
root@web1:~# apt full-upgrade                        # täysi päivitys
root@web1:~# reboot

Jos käytät vielä tiedostoa /etc/apt/sources.list, vaihda koodinimi myös siihen. Kolmansien osapuolten lähteet poistat käytöstä päivityksen ajaksi (nimeä ne muotoon .disabled) ja otat ne sen jälkeen takaisin käyttöön uuden julkaisun koodinimellä, jos tekijällä on sellainen.

Seuraa päivityksen aikana asetustiedostoja koskevia kysymyksiä. Jos olet muokannut tiedostoa itse, kuten sshd_config, dpkg kysyy, haluatko säilyttää oman versiosi. Säilytä oma versiosi, jos tiedät miksi muokkasit sitä, ja vertaa sitä jälkikäteen uuteen versioon (.dpkg-dist).

Uudelleenkäynnistyksen jälkeen:

anna@web1:~$ cat /etc/os-release | grep VERSION=
VERSION="13 (trixie)"
anna@web1:~$ systemctl --failed
anna@web1:~$ sudo apt autoremove

Komennon systemctl --failed (oppitunti 6.1) tulosteen pitää olla tyhjä. Tarkista myös, että sivustosi ja konttisi toimivat ja että valvontasi (oppitunti 8.3) näyttää vihreää.

Ubuntu: do-release-upgrade

Ubuntulla on tähän oma ohjelmansa:

anna@web1:~$ sudo apt update && sudo apt full-upgrade
anna@web1:~$ sudo do-release-upgrade

Kaksi asiaa on hyvä tietää. Ensinnäkin Ubuntu tarjoaa päivitystä LTS-julkaisusta seuraavaan vasta ensimmäisen pistejulkaisun jälkeen (esimerkiksi 26.04.1, muutama kuukausi huhtikuun jälkeen). Se on tarkoituksellista: ensimmäisten kuukausien aikana suurimmat ongelmat korjataan. Toiseksi: jos ajat päivityksen SSH:n kautta, do-release-upgrade ilmoittaa käynnistävänsä varmuuden vuoksi ylimääräisen SSH-palvelimen varaportissa. Palomuurisi (oppitunti 5.2) pitää silloin päästää se portti läpi, jos tarvitset sitä; yleensä et tarvitse, koska sinulla on konsoli.

Suurin sudenkuoppa: jakelun ulkopuoliset ohjelmistot

Päivitykset menevät pieleen lähes aina ohjelmistoissa, jotka eivät tule jakelusta. Kolme tapaa ratkaisee:

• Ei curl https://... | bash. Netistä haettu skripti, jonka ajat suoraan rootina, voi muuttaa palvelimellasi mitä tahansa: lisätä lähteitä, luottaa avaimiin kaikille lähteille, ylikirjoittaa tiedostoja. Et tiedä mitä tapahtui, ja seuraavassa päivityksessä jokin hajoaa. Lataa tällainen skripti, lue se ja tee vaiheet mieluummin itse.
• Ylimääräinen lähde vain tekijältä itseltään, omalla avaimella (Signed-By, oppitunti 4.1), ja kirjaa palvelimesi dokumentaatioon, miksi se on siellä.
• Ei irrallisia .deb-tiedostoja verkkosivuilta, jos saman saa jakelusta tai tekijän lähteestä. Ne eivät koskaan saa päivityksiä.

AlmaLinuxissa ja Rocky Linuxissa

Niissä "major"-versio (9, 10) saa päivityksiä noin kymmenen vuotta, ja välijulkaisuihin (9.6, 9.7) päivität tavalliseen tapaan komennolla dnf upgrade. Paikallaan tehtävä hyppy uuteen major-versioon onnistuu ELevate-työkalulla (AlmaLinux), mutta moni ylläpitäjä valitsee uuteen major-versioon siirtyessään silti uudelleenrakentamisen.

Käytännössä

WebOkén VPS-näkymässä teet ennen päivitystä tilannevedoksen (enintään kaksi kerrallaan, samalla tallennustilalla kuin VPS:si) ja sinulla on konsoli toisena sisäänkäyntinä. Muilla palveluntarjoajilla nimet ovat samantapaisia: snapshot, VNC- tai web-konsoli, rescue. Tilannevedos ei korvaa palvelimen ulkopuolista varmuuskopiota; poista se, kun kaikki toimii, koska se kasvaa jokaisen muutoksen myötä.

Yhteenveto

• Jokainen julkaisu saa tietoturvapäivityksiä määrätyn ajan; sen jälkeen se on end of life eikä palvelimesi saa enää korjauksia.
• Debian: noin kolme vuotta ja lisäksi kaksi vuotta LTS:ää; Ubuntu LTS: viisi vuotta ja ESM:llä jopa kymmenen. Valitse palvelimelle aina LTS ja merkitse päättymispäivä kalenteriisi.
• Valmistele päivitys tilannevedoksella, varmuuskopiolla, konsolilla, julkaisutiedoilla ja tmux-istunnolla.
• Debian: lähteet uuteen koodinimeen, apt upgrade --without-new-pkgs, apt full-upgrade; Ubuntu: do-release-upgrade, ensimmäisen pistejulkaisun jälkeen.
• Jakelun ulkopuoliset ohjelmistot ovat suurin päivitysongelmien lähde: ei curl | bash, vain tekijän omia lähteitä omalla avaimella.

Tietovisa (quiz)

Tehtävä

Tehtävä O4.3: Päivityssuunnitelmasi. Selvitä, mitä julkaisua palvelimesi käyttää ja mihin asti se saa tietoturvapäivityksiä. Tee sen jälkeen päivityssuunnitelma: mitä kolmansien osapuolten lähteitä sinulla on, miten teet tilannevedoksen ja varmuuskopion, miten pääset sisään konsolin kautta, mitkä vaiheet teet, miten testaat jälkikäteen, ja valitsetko paikallaan tehtävän päivityksen vai uudelleenrakentamisen (perusteluineen)?

Lue lisää

• VPS:n tilannevedokset ja varmuuskopiot
• Oman ISO-levyn liittäminen tai VPS-palvelimen uudelleenasennus
• Debian-julkaisut ja tukikaudet: https://www.debian.org/releases/
• Debian 13, julkaisutietojen luku 4 (päivittäminen) ja 5 (huomioitavat asiat): https://www.debian.org/releases/trixie/release-notes/
• Ubuntu, julkaisusykli: https://ubuntu.com/about/release-cycle
• Ubuntu Serverin dokumentaatio, Upgrade your release: https://ubuntu.com/server/docs/how-to/software/upgrade-your-release/
• VPS:n päivittäminen uuteen Debian- tai Ubuntu-versioon
• VPS: ensimmäisestä kirjautumisesta turvalliseen palvelimeen 1.5: Snapshotit: turvaverkko jokaiseen suureen muutokseen