Élettartam és kiadásfrissítések

Modul 4: Szoftverek és frissítések · Olvasási idő: 11 perc

Tanulási cél: A lecke után meg tudja keresni disztribúciója élettartamát, tudja, mit jelent az "end of life" a szervere számára, és biztonságosan meg tud tervezni és végre tud hajtani egy kiadásfrissítést.

Kulcsfogalmak: kiadás (release), LTS, normál támogatás, Debian LTS, Ubuntu ESM és Ubuntu Pro, end of life (EOL), /etc/os-release, do-release-upgrade, minimális és teljes frissítés, külső csomagforrások, pillanatkép (snapshot), curl | bash

Minden kiadásnak van szavatossági ideje

Az automatikus frissítések (4.2. lecke) csak addig működnek, amíg a disztribúció még készít frissítéseket az Ön verziójához. A Debian és az Ubuntu minden kiadása meghatározott ideig kap biztonsági frissítéseket. Utána ez megszűnik: a szerver nem kap több javítást, súlyos biztonsági résekre sem. Ezt nevezzük end of life-nak (EOL), vagyis a támogatás végének.

Azt, hogy melyik verzió fut a szerverén, így nézheti meg:

anna@web1:~$ cat /etc/os-release
PRETTY_NAME="Debian GNU/Linux 13 (trixie)"
NAME="Debian GNU/Linux"
VERSION_ID="13"
VERSION="13 (trixie)"
VERSION_CODENAME=trixie
...

Ubuntun például ez jelenik meg: VERSION="24.04.3 LTS (Noble Numbat)".

Debian

A Debian egy kiadást körülbelül három évig támogat teljes körűen. Ezután a Debian LTS csapata veszi át további két évre, a leggyakrabban használt csomagok biztonsági frissítéseivel. A jelenlegi kiadások (2026. novemberi állapot, ellenőrizze a debian.org/releases oldalon):

A Debian 12 tehát az LTS révén még kap frissítéseket, de már az utolsó szakaszában jár. Új szervert Debian 13-ra telepítsen.

Ubuntu

Az Ubuntu kétévente, áprilisban ad ki egy LTS-kiadást (Long Term Support), öt év normál biztonsági karbantartással. Ubuntu Pro-előfizetéssel (személyes használatra néhány gépen ingyenes) ehhez jön még az ESM (Expanded Security Maintenance), összesen legfeljebb tíz évig.

Az LTS-kiadások között köztes verziók is megjelennek (például a 25.10), mindössze kilenc hónap támogatással. Ezeket nem olyan szerverre szánják, amelynek évekig kell futnia. Szerverhez mindig LTS-t válasszon.

Mit jelent Önnek az EOL

Egy olyan kiadáson futó szerver, amely már nem kap frissítéseket, ugyanúgy tovább működik. Éppen ez benne az alattomos: semmit nem vesz észre, egészen addig, amíg valaki ki nem használ egy biztonsági rést, amelyet mindenhol kijavítottak, csak Önnél nem. Ezenkívül:

• az új szoftvereket (egy új PHP-verziót, egy új Docker-kiadást) már nem fordítják le az Ön kiadására;
• a külső csomagforrások is leállnak, gyakran még korábban;
• minél tovább vár, annál nagyobb az ugrás. A Debian nem támogatja egy kiadás átugrását: a 11-esről a 13-asra a 12-esen keresztül kell eljutni.

Ezért írja be a szervere EOL-dátumát a naptárába, egy fél évvel korábbi emlékeztetővel.

Két út: frissítés vagy újraépítés

Két tiszta út vezet egy új kiadáshoz.

1. Helyben történő frissítés (in-place upgrade): a meglévő szervert frissíti az új kiadásra. Gyors, minden a helyén marad, de a régi maradványok és a saját módosítások is vele mennek.
2. Újraépítés: új szervert hoz létre az új kiadással, újra felteszi rá a szolgáltatásait (ebben segítenek a 10.4. lecke jegyzetei vagy a Docker Compose, 9. modul), átviszi az adatokat a biztonsági mentésből, és átállítja a DNS-t (7.1. lecke). Több munka, de tiszta, és egyúttal a biztonsági mentés tesztje is.

Egy kis szerverhez, néhány szolgáltatással, a helyben történő frissítés teljesen megfelelő. Ha sok egyedi beállítás fut rajta, vagy a szervert már többször frissítették, fontolja meg az újraépítést.

A helyben történő frissítés előkészítése

Mielőtt hozzákezd, gondoskodjon erről az öt dologról:

1. Egy pillanatkép a szolgáltatója paneljén, közvetlenül a kezdés előtt, és egy friss, a szerveren kívül tárolt biztonsági mentés (8. modul). A pillanatkép a gyors visszaút, ha a frissítés félúton elromlik.
2. Egy második bejárat: a szolgáltató konzolja. SSH-n keresztül dolgozik, és ha a hálózati beállítások vagy az SSH-szerver a frissítés közben megváltoznak, a konzolon keresztül akkor is tovább kell tudnia dolgozni. A Debian kiadási megjegyzései szó szerint ezt írják: előre gondoskodjon egy másik bejelentkezési módról.
3. A kiadási megjegyzések elolvasása, különösen az "Issues to be aware of" fejezeté. A Debian 13 esetében ott például ez áll: a /tmp mostantól alapértelmezetten a memóriában van, a /etc/sysctl.conf fájlt már nem olvassa be a rendszer (használja a /etc/sysctl.d/ helyet), és a /boot legyen elég nagy.
4. A külső források átnézése. Azok a csomagok, amelyek nem magától a Debiantól vagy az Ubuntutól származnak, a frissítés során ütközhetnek. Nézze meg, milyen forrásai vannak (ls /etc/apt/sources.list.d/), és hogy a készítőjük kiadott-e már verziót az új kiadáshoz.
5. Egy munkamenet, amely túléli a kapcsolat megszakadását. Indítsa a frissítést tmux vagy screen alatt. Ha megszakad az internetkapcsolata, a frissítés tovább fut, és a tmux attach paranccsal újra elérheti.

Debian: a lépések

A Debian 13 kiadási megjegyzései alapján, 12-esről 13-asra történő frissítéshez:

root@web1:~# apt update && apt full-upgrade          # először a jelenlegi kiadás teljes frissítése
root@web1:~# sed -i 's/bookworm/trixie/g' /etc/apt/sources.list.d/debian.sources
root@web1:~# apt update
root@web1:~# apt upgrade --without-new-pkgs          # minimális frissítés
root@web1:~# apt full-upgrade                        # teljes frissítés
root@web1:~# reboot

Ha még a /etc/apt/sources.list fájlt használja, ott módosítsa a kódnevet. A külső forrásokat a frissítés idejére ideiglenesen kapcsolja ki (nevezze át őket .disabled végződésűre), majd utána kapcsolja vissza őket az új kiadás kódnevével, ha a készítőjük már kínál ilyet.

A frissítés során figyeljen a konfigurációs fájlokkal kapcsolatos kérdésekre. Ha egy fájlt saját maga módosított, például a sshd_config fájlt, a dpkg megkérdezi, hogy megtartja-e a saját verzióját. Tartsa meg a sajátját, ha tudja, miért módosította, és utána vesse össze az új verzióval (.dpkg-dist).

Az újraindítás után:

anna@web1:~$ cat /etc/os-release | grep VERSION=
VERSION="13 (trixie)"
anna@web1:~$ systemctl --failed
anna@web1:~$ sudo apt autoremove

A systemctl --failed (6.1. lecke) kimenetének üresnek kell lennie. Ellenőrizze azt is, hogy a webhelyei és a konténerei működnek-e, és hogy a felügyelet (8.3. lecke) zöldet mutat-e.

Ubuntu: do-release-upgrade

Az Ubuntunak saját programja van erre:

anna@web1:~$ sudo apt update && sudo apt full-upgrade
anna@web1:~$ sudo do-release-upgrade

Két dolgot érdemes tudni. Először: az Ubuntu az egyik LTS-ről a következőre történő frissítést csak az első pontkiadás után kínálja fel (például a 26.04.1 után, néhány hónappal az áprilisi megjelenés után). Ez szándékos: az első hónapokban javítják a legnagyobb problémákat. Másodszor: ha a frissítést SSH-n keresztül futtatja, a do-release-upgrade jelzi, hogy a biztonság kedvéért egy további SSH-szervert indít egy tartalék porton. Ezt a portot a tűzfalnak (5.2. lecke) át kell engednie, ha szüksége van rá; általában nincs rá szükség, mert ott van a konzol.

A nagy csapda: a disztribúción kívülről származó szoftverek

A frissítések szinte mindig olyan szoftvereken buknak el, amelyek nem a disztribúcióból származnak. Három szokás jelenti a különbséget:

• Semmi curl https://... | bash. Egy internetről származó szkript, amelyet közvetlenül rootként futtat, bármit megváltoztathat a szerverén: forrásokat adhat hozzá, minden forráshoz megbízhatónak jelölhet kulcsokat, fájlokat írhat felül. Nem tudja, mi történt, és a következő frissítéskor elromlik. Töltse le az ilyen szkriptet, olvassa el, és a lépéseket inkább hajtsa végre saját maga.
• Kiegészítő forrás csak magától a készítőtől, saját kulccsal (Signed-By, 4.1. lecke), és jegyezze fel a szerver dokumentációjában, miért van ott.
• Semmi különálló .deb-fájl webhelyekről, ha a csomag a disztribúcióból vagy a készítő forrásából is elérhető. Ezek soha nem kapnak frissítést.

AlmaLinuxon és Rocky Linuxon

Ott egy "major" verzió (9, 10) körülbelül tíz évig kap frissítéseket, a köztes verziókra (9.6, 9.7) pedig egyszerűen a dnf upgrade paranccsal frissít. Helyben történő ugrás egy új major verzióra az ELevate segédprogrammal (AlmaLinux) lehetséges, de sok rendszergazda új major verzióra való váltáskor mégis az újraépítést választja.

A gyakorlatban

A WebOké VPS-felületén frissítés előtt pillanatképet készíthet (egyszerre legfeljebb kettőt, ugyanazon a tárhelyen, ahol a VPS is van), és második bejáratként ott van a konzol. Más szolgáltatóknál ezeknek hasonló a neve: snapshot, VNC- vagy webkonzol, rescue. A pillanatkép nem helyettesíti a szerveren kívüli biztonsági mentést; ha minden működik, törölje, mert minden módosítással együtt nő.

Összefoglalás

• Minden kiadás meghatározott ideig kap biztonsági frissítéseket; utána eléri az end of life állapotot, és a szerver nem kap több javítást.
• Debian: körülbelül három év, plusz két év LTS; Ubuntu LTS: öt év, plusz ESM-mel legfeljebb tíz év. Szerverhez mindig LTS-t válasszon, és írja be a támogatás végének dátumát a naptárába.
• Készítse elő a frissítést pillanatképpel, biztonsági mentéssel, a konzollal, a kiadási megjegyzésekkel és egy tmux-munkamenettel.
• Debian: a források átállítása az új kódnévre, apt upgrade --without-new-pkgs, apt full-upgrade; Ubuntu: do-release-upgrade, az első pontkiadás után.
• A disztribúción kívülről származó szoftverek okozzák a legtöbb frissítési problémát: semmi curl | bash, csak a készítő forrásai, saját kulccsal.

Kvíz

Feladat

Feladat O4.3: Az Ön frissítési terve. Nézze meg, melyik kiadáson fut a szervere, és meddig kap biztonsági frissítéseket. Ezután készítsen frissítési tervet: milyen külső forrásai vannak, hogyan készít pillanatképet és biztonsági mentést, hogyan jut be a konzolon keresztül, milyen lépéseket hajt végre, hogyan tesztel utána, és a helyben történő frissítést vagy az újraépítést választja-e (indoklással)?

További olvasnivaló

• VPS-ének pillanatképei és biztonsági mentései
• Saját ISO csatolása vagy a VPS újratelepítése
• Debian-kiadások és támogatási időszakok: https://www.debian.org/releases/
• Debian 13, a kiadási megjegyzések 4. (frissítés) és 5. (tudnivalók) fejezete: https://www.debian.org/releases/trixie/release-notes/
• Ubuntu, kiadási ciklus: https://ubuntu.com/about/release-cycle
• Ubuntu Server-dokumentáció, Upgrade your release: https://ubuntu.com/server/docs/how-to/software/upgrade-your-release/
• A VPS frissítése a Debian vagy az Ubuntu új verziójára
• VPS: az első bejelentkezéstől a biztonságos szerverig 1.5: Pillanatképek: biztonsági háló minden nagyobb módosításhoz