Поддерживайте работоспособность обновлений безопасности Debian 12 на сервере без графического интерфейса.

Для безголового сервера Debian 12 установите unattended-upgrades, включите ежедневное обновление списка пакетов APT и настройки автоматического обновления, а также оставьте список разрешенных источников безопасности по умолчанию. Затем проверьте таймеры и журналы systemd по SSH. Это автоматизирует обновление подходящих пакетов; это не выполняет крупное обновление релиза Debian и не гарантирует, что каждое приложение не потребует дальнейшего обновления.

1. Установите программу обновления и подтвердите выпуск.

Подключитесь с помощью учетной записи, которая поддерживает этот сервис sudo. Перед установкой проверьте версию сервера и обновите его индекс пакетов:

cat /etc/debian_version
sudo apt update
sudo apt install unattended-upgrades

Данная процедура предназначена для Debian 12 (Bookworm) и использует стандартные репозитории APT. Перед принятием плана установки пакета ознакомьтесь с ним. Если APT сообщает об ошибках репозитория, DNS, нехватке дискового пространства или зависимостей, сначала устраните их; автоматическая работа не сможет исправить поврежденный источник пакета или неисправную файловую систему.

2. Включите ежедневное обновление и обновления безопасности.

Настройте параметры периодической обработки APT в отдельном локальном файле. Это позволит ежедневно обновлять список пакетов и запускать автоматическое обновление:

sudo nano /etc/apt/apt.conf.d/20auto-upgrades

Введите и сохраните эти две строки:

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

В Nano нажмите , Ctrl+OEnter, затем Ctrl+X. Значение 1означает «каждый день». Конфигурация пакетов APT unattended-upgradesопределяет, из каких архивных источников можно устанавливать обновления. В стандартной установке Debian 12 /etc/apt/apt.conf.d/50unattended-upgradesсначала оставьте все как есть; список разрешенных источников по умолчанию предназначен для выбора обновлений безопасности Debian и связанных с ними настроенных обновлений Debian. Не добавляйте сторонние репозитории или весь Bookworm только для того, чтобы вывод состояния выглядел более загруженным. Если вы намеренно расширите список разрешенных источников, проверьте точные источники, протестируйте их и отслеживайте работу сервиса так же, как и любые другие изменения в производственной среде.

3. Автоматическая перезагрузка должна оставаться под контролем администратора.

Для удаленно управляемого сервера проверьте политику перезагрузки в следующем файле 50unattended-upgrades:

grep -n 'Automatic-Reboot' /etc/apt/apt.conf.d/50unattended-upgrades

Не включайте автоматическую перезагрузку, если вы не запланировали прерывание работы сервиса, не проверили восстановление приложений и не имеете надежного пути восстановления вне полосы пропускания или через консоль. Обновления безопасности Debian могут устанавливать новое ядро ​​или библиотеки, для вступления которых в силу требуется перезапуск, но автоматическое обновление не заменяет политику перезагрузки или план дежурства. При отключенной автоматической перезагрузке запланируйте регулярное окно технического обслуживания и проверьте, требуется ли перезагрузка после обновлений.

4. Проверьте конфигурацию, прежде чем полагаться на нее.

Запустите симуляцию через SSH. Этот --dry-runфлаг не устанавливает пакеты, а --debugпредоставляет более подробную информацию в журнале автоматических обновлений:

sudo unattended-upgrade --dry-run --debug

Ознакомьтесь с выводом, содержащим информацию о разрешенных источниках и предлагаемых действиях с пакетами. Сообщение об отсутствии пакетов для обновления может быть нормальным результатом, если ничего подходящего не ожидается; это не означает, что таймер запустится позже. Если список разрешенных источников пуст или неожиданно отсутствуют кандидаты, проверьте источники и 50unattended-upgradesшаблоны APT для данного релиза, прежде чем вносить в них изменения. В руководстве Bookworm эта команда описана как симуляция, а не как установка.

5. Проверьте таймеры, службу и журналы.

APT использует таймеры systemd для своей повседневной работы. Проверьте оба таймера и службу обновления:

systemctl status apt-daily.timer apt-daily-upgrade.timer
systemctl list-timers 'apt-daily*'
systemctl status apt-daily-upgrade.service

Таймеры должны быть загружены и активны, а в списке должно отображаться их следующее запланированное запуск. Если таймеры установлены, но неактивны, запустите их и включите для последующих загрузок:

sudo systemctl enable --now apt-daily.timer apt-daily-upgrade.timer

Служба может быть неактивна между запланированными запусками, поскольку это одноразовая задача; проверьте её последний результат, а не ожидайте, что она продолжит работать. После истечения запланированного интервала просмотрите журнал пакетов и журнал systemd:

sudo tail -n 50 /var/log/unattended-upgrades/unattended-upgrades.log
sudo tail -n 50 /var/log/unattended-upgrades/unattended-upgrades-dpkg.log
sudo journalctl -u apt-daily-upgrade.service --since "7 days ago"

Проверьте завершение процесса, разрешенные источники и наличие установленных пакетов. Расследуйте повторяющиеся сбои загрузки, заблокированные пакеты или ошибки dpkg. В руководстве перечислены пути к этим файлам журналов и поясняется, что служба systemd запускает механизм автоматического обновления.

Что может подтвердить и что не может подтвердить данная установка

Рабочая конфигурация означает, что таймеры активны, включены периодические настройки APT, а в журналах отображаются успешные автоматические запуски. Это не доказывает, что каждый пакет в каждом репозитории обновлен, что уже активировано исправление, зависящее от перезагрузки, или что служба осталась работоспособной после изменения пакета. Процесс обновления релизов Debian остается отдельной запланированной операцией; unattended-upgrades предназначен для обновления пакетов в настроенных источниках. Для критически важных серверов добавьте мониторинг неудачных запусков, поддерживайте резервные копии, тестируйте изменения в репрезентативной среде и определите окно перезагрузки, проверяемое человеком.

Эти шаги соответствуют руководству по автоматическому обновлению Bookworm для Debian , рекомендациям по периодическим обновлениям Debian и руководству по systemd.timer для Bookworm . В руководстве Bookworm указана версия пакета Debian 2.9.1+nmu3; версии пакетов могут меняться с обновлениями Debian.