Automatikus frissítések

Modul 4: Szoftverek és frissítések · Olvasási idő: 10 perc

Tanulási cél: A lecke után Ön képes lesz bekapcsolni és ellenőrizni az automatikus biztonsági frissítéseket, tudni fogja, mi történik automatikusan és mi nem, és azt is, mikor van szükség újraindításra.

Kulcsfogalmak: unattended-upgrades, 20auto-upgrades, 50unattended-upgrades, Origins-Pattern és Allowed-Origins, apt-daily időzítők, needrestart, /var/run/reboot-required, Automatic-Reboot, kernelfrissítés, dnf-automatic

Miért automatikusan?

A biztonsági réseket felfedezik, kijavítják, majd aktívan kihasználják, gyakran néhány napon belül. Egy havonta egyszer frissített szerver tehát átlagosan hetekig nyitva áll az ismert résekkel szemben. A holland NCSC a frissítések időben történő telepítését a digitális ellenálló képesség alapelvei közé sorolja: „A szoftverek időben történő frissítése és javítása segít a sérülékenységek gyors megszüntetésében.”

Ugyanakkor a „minden automatikusan” sem jó megoldás. Egy program új verziója másként viselkedhet, mint a régi, és egy szerver, amely a nap közepén magától újraindul, érintheti a látogatóit. Debianon és Ubuntun a bevett középút a következő:

• biztonsági frissítések automatikusan, minden nap;
• egyéb frissítések és kiadásfrissítések kézzel, egy Ön által választott időpontban, előtte pillanatképpel;
• tervezett újraindítás, egy nyugodt időpontban, ellenőrzötten.

Az ezt kezelő program neve unattended-upgrades.

Az unattended-upgrades bekapcsolása

Ubuntu Serveren az unattended-upgrades alapból telepítve van, és az automatikus biztonsági frissítések a telepítés után azonnal be vannak kapcsolva. Debianon is sok telepítésen és image-en megtalálható, de nem mindig. Ellenőrizze, és kapcsolja be:

anna@web1:~$ sudo apt install unattended-upgrades
anna@web1:~$ sudo dpkg-reconfigure -plow unattended-upgrades

A második parancs ezt kérdezi: „Automatically download and install stable updates?” (vagyis: automatikusan letöltse és telepítse-e a stabil frissítéseket). Válassza a Yes lehetőséget. Ez létrehozza a /etc/apt/apt.conf.d/20auto-upgrades fájlt:

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

A 1 jelentése: minden nap. A 0 értékkel kikapcsolja. Magát a munkát két systemd-időzítő indítja (6.3. lecke), ezeket így tekintheti meg:

anna@web1:~$ systemctl list-timers 'apt*'
NEXT                        LEFT     LAST                        PASSED  UNIT                    ACTIVATES
Tue 2026-11-10 06:24:11 CET 9h left  Mon 2026-11-09 06:41:03 CET 14h ago apt-daily-upgrade.timer apt-daily-upgrade.service
Tue 2026-11-10 08:02:47 CET 11h left Mon 2026-11-09 19:12:30 CET 1h ago  apt-daily.timer         apt-daily.service

A apt-daily letölti a listákat (mint a apt update), a apt-daily-upgrade telepíti a frissítéseket. Az időpontok véletlenszerűen szóródnak, hogy a világ összes szervere ne egyszerre terhelje a csomagforrásokat.

Mi települ automatikusan?

Ezt a /etc/apt/apt.conf.d/50unattended-upgrades határozza meg. Debianon a blokk neve Unattended-Upgrade::Origins-Pattern, Ubuntun Unattended-Upgrade::Allowed-Origins. Alapértelmezés szerint a biztonsági forrás és a kiadás stabil forrása be van kapcsolva, a -updates forrás pedig ki. Ubuntun így néz ki:

Unattended-Upgrade::Allowed-Origins {
        "${distro_id}:${distro_codename}";
        "${distro_id}:${distro_codename}-security";
        "${distro_id}ESMApps:${distro_codename}-apps-security";
        "${distro_id}ESM:${distro_codename}-infra-security";
//      "${distro_id}:${distro_codename}-updates";
//      "${distro_id}:${distro_codename}-proposed";
//      "${distro_id}:${distro_codename}-backports";
};

A // jellel kezdődő sorok ki vannak kapcsolva. Egy első szervernél hagyja így. A fájlt ne módosítsa közvetlenül, mert a csomag egy következő verziója le akarhatja cserélni. A Debian azt javasolja, hogy a saját módosításait tegye egy külön fájlba, például a /etc/apt/apt.conf.d/52unattended-upgrades-local fájlba; a későbbi fájlok elsőbbséget élveznek a korábbiakkal szemben.

Az extra forrásokból származó csomagok (Docker, Caddy, a fejlesztőtől származó PostgreSQL) alapból nem frissülnek automatikusan. Ez tudatos döntés: ezeket Ön követi (9.4. lecke), vagy kézzel hozzáadja a forrást a listához, ha megbízik a fejlesztőben és ismeri a következményeket.

Néhány beállítás, amelyre gyakran szükség van:

// /etc/apt/apt.conf.d/52unattended-upgrades-local
Unattended-Upgrade::Mail "root";
Unattended-Upgrade::MailReport "only-on-error";
Unattended-Upgrade::Remove-Unused-Kernel-Packages "true";
Unattended-Upgrade::Automatic-Reboot "false";

A Mail csak akkor működik, ha a szerver tud levelet küldeni (egy kis relay, 8.3. lecke). Ha erre nincs lehetőség, hagyja ki, és használja a 8.3. leckében bemutatott felügyeletet.

Annak ellenőrzése, hogy működik

Egy csendben leálló automatizmus veszélyesebb, mint ha nem is lenne automatizmus, mert azt hiszi, hogy biztonságban van. Ezért három dolgot ellenőrizzen.

1. Próbafuttatás. Ez megmutatja, mi történne, anélkül hogy bármit megváltoztatna:

anna@web1:~$ sudo unattended-upgrade --dry-run --debug
...
Allowed origins are: origin=Debian,codename=trixie,label=Debian, origin=Debian,codename=trixie-security,label=Debian-Security, ...
Packages that will be upgraded: libssl3t64 openssh-server

2. A napló. Minden futás a /var/log/unattended-upgrades/unattended-upgrades.log helyre ír:

anna@web1:~$ sudo tail -n 5 /var/log/unattended-upgrades/unattended-upgrades.log
2026-11-09 06:41:15,201 INFO Packages that will be upgraded: openssh-server
2026-11-09 06:41:15,202 INFO Writing dpkg log to /var/log/unattended-upgrades/unattended-upgrades-dpkg.log
2026-11-09 06:41:29,874 INFO All upgrades installed

3. Ami még függőben van. A apt list --upgradable (4.1. lecke) egy éjszaka után már nem mutathat csomagokat a -security forrásból. Ha napokig egymás után ott vannak, valami akadozik: megtelt a lemez, egy elakadt kézi apt zárolást tart, vagy egy csomag kérdést tesz fel.

Újraindítás: szolgáltatások és a kernel

Egy lemezen frissített program még nem ugyanaz, mint egy memóriában frissített program. Ha az OpenSSH már három hete fut, a régi kód fut, amíg a szolgáltatás újra nem indul.

• Szolgáltatások: a needrestart program egy frissítés után megnézi, mely szolgáltatások használnak még régi könyvtárakat. Ubuntu 24.04-en és újabb verziókon az unattended-upgrades alapból magától újraindítja ezeket a szolgáltatásokat a needrestart segítségével. Debianon a needrestart egy külön csomag (apt install needrestart), amely interaktívan megkérdezi, mely szolgáltatásokat kell újraindítani.
• A kernel: egy új kernel csak a teljes szerver újraindítása után lép életbe. Ilyenkor a Debian és az Ubuntu létrehozza a /var/run/reboot-required fájlt:

anna@web1:~$ cat /var/run/reboot-required
*** System restart required ***
anna@web1:~$ cat /var/run/reboot-required.pkgs
linux-image-6.12.57+deb13-amd64

Két lehetősége van. Vagy saját maga indítja újra, például hetente egy rögzített időpontban, miután megnézte, hogy a fájl létezik-e. Vagy rábízza az unattended-upgrades programra:

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:30";

Az alapértelmezés false. Csak akkor kapcsolja be, ha biztos abban, hogy újraindítás után minden magától újra elindul: a szolgáltatások enable beállítással (6.1. lecke), a konténerek restart: szabállyal (9.3. lecke), és van egy felügyelet, amely figyelmezteti, ha ez nem így történik (8.3. lecke). Előbb tesztelje egyszer kézzel: sudo reboot, és nézze meg, hogy minden visszajön-e.

Az Ubuntu az Ubuntu Pro keretében Livepatch szolgáltatást is kínál, amely egyes kerneljavításokat újraindítás nélkül alkalmaz. Ez kiegészítés, nem helyettesítés: Livepatch mellett is újra kell indítani időnként.

Amit nem automatikusan végez

• Kiadásfrissítések (Debian 12-ről 13-ra, Ubuntu 24.04-ről 26.04-re): mindig kézzel, terv alapján (4.3. lecke).
• Saját alkalmazásainak nagy verziói (egy adatbázis vagy egy CMS új főverziója): mindig kézzel, biztonsági mentés és a kiadási megjegyzések elolvasása után.
• Konténerek: ezeket az unattended-upgrades nem frissíti. Egy 2024-es image 2024-es image marad, amíg Ön le nem futtatja a docker compose pull parancsot (9.4. lecke).

AlmaLinuxon és Rocky Linuxon

Itt az eszköz neve dnf-automatic. Telepítés: dnf install dnf-automatic. A /etc/dnf/automatic.conf fájlban állítsa be a upgrade_type = security és a apply_updates = yes értéket, majd kapcsolja be az időzítőt a systemctl enable --now dnf-automatic.timer paranccsal. RHEL-alapú rendszereken a kernel utáni újraindítás ugyanúgy szükséges, mint Debianon; a dnf needs-restarting -r megmondja, hogy erre szükség van-e.

A gyakorlatban

A WebOké-nál egy VPS ugyanúgy működik, mint máshol: azt, hogy a szerveren belül mi frissül, Ön kezeli. A szolgáltató a hardvert és a virtualizációs platformot frissíti, az operációs rendszerét nem. Egy kézi, nagy frissítés előtt készítsen pillanatképet a szolgáltatója paneljén; a napi automatikus biztonsági frissítésekhez erre nincs szükség.

Összefoglalás

• Kapcsolja be az automatikus biztonsági frissítéseket az unattended-upgrades segítségével (Ubuntu: alapból be van kapcsolva; Debian: ellenőrizze a dpkg-reconfigure -plow unattended-upgrades paranccsal).
• Alapból csak a biztonsági forrás és a kiadás stabil forrása frissül automatikusan, az extra források nem.
• Ellenőrizzen próbafuttatással, a /var/log/unattended-upgrades/ naplóval és a apt list --upgradable paranccsal.
• A szolgáltatásokat frissítés után újra kell indítani (needrestart), a kernel a szerver újraindítását igényli (/var/run/reboot-required).
• A kiadásfrissítéseket, az alkalmazások nagy verzióit és a konténereket kézzel frissíti.

Kvíz

Feladat

O4.2. feladat: Automatikus frissítések bekapcsolása és ellenőrzése. Kapcsolja be az unattended-upgrades programot a saját szerverén (vagy ellenőrizze, hogy be van-e kapcsolva), végezzen próbafuttatást, és nézze meg a naplót és az időzítőket. Töltse ki az ellenőrzőlistát, és válaszoljon: mely források frissülnek Önnél automatikusan, mikor volt az utolsó futás, függőben van-e most újraindítás, és hogyan fogja újraindítani a szervert (saját maga egy rögzített időpontban vagy automatikusan, és miért)?

További olvasnivaló

• A VPS biztonságossá tétele: az első öt perc
• Debian Wiki, automatikus frissítések (UnattendedUpgrades): https://wiki.debian.org/PeriodicUpdates
• A holland NCSC (holland nyelvű forrás), 3. alapelv: rendszerek, alkalmazások és eszközök védelme: https://www.ncsc.nl/basisprincipes/basisprincipe-3-bescherm-systemen-applicaties-en-apparaten
• Ubuntu Server dokumentáció, Automatic updates: https://ubuntu.com/server/docs/how-to/software/automatic-updates/
• VPS: az első bejelentkezéstől a biztonságos szerverig 3.3: Frissítések és automatikus frissítések