Qual è la migliore pratica per mantenere aggiornato un server Ubuntu Linux (compilare pacchetti, dist-upgrade, alt repos ...)

Stiamo eseguendo un server di produzione basato su Ubuntu 9.10 Karmic Koala , il kernel è quasi aggiornato (2.6.38.2-grsec-xxxx-grs-ipv6-64) ma il repository di pacchetti karmic è ora ridicolmente obsoleto, ad es. Nginx è 0.7.62 - veramente buggy - mentre l'ultima scuderia è 1.0.x !!

Inoltre Karmic ha appena raggiunto la fine della sua vita.

Questa domanda: le migliori pratiche per mantenere aggiornati i pacchetti UNIX? sembra simile ma in realtà include solo alcuni suggerimenti sui gestori di pacchetti; non è affatto quello di cui ho bisogno!

quindi le opzioni che vedo sono:

1. ottenere una nuova macchina, installarla da zero, migrare
2. aggiornamento della distribuzione
3. usa un repository diverso ( launchpad / ppa / backport / pinning )
4. costruisci il tuo

Gli svantaggi di 1. sono abbastanza evidenti.

Non oso però fare un percorso dist-upgrade, poiché i tempi di inattività e le possibili conseguenze catastrofiche sono semplicemente impossibili da prevedere per un server di produzione e attualmente stanno principalmente ricostruendo i miei pacchetti richiesti. Ma sono sicuro che mi mancherà un po '.

Non mi è veramente chiaro quali siano i rischi (stabilità / compatibilità) dell'utilizzo dei backport di Ubuntu, inoltre non è più previsto ufficialmente 9.10. I Launchpad sono build individuali, domande simili: quanto è meglio che compilare le tue.

La creazione di pacchetti sembra a posto, ma: 1. a volte ho difficoltà a riprodurre le opzioni ./configure corrette per riutilizzare i miei file di configurazione esistenti 1. Sono sicuro che ci sono tonnellate di pacchetti e dipendenze che ora sono piuttosto obsoleti e possibili fonti di bug

Finalmente ... che dire dei pacchetti "vecchi" in una distribuzione recente? Immagino non ci sia altro modo che ricostruirli da solo? Una combinazione di 2. e 4. è finalmente il percorso migliore?

Esiste un consenso oggettivo su qual è il modo migliore per farlo, o motivi per cui alcune delle mie opzioni vanno bene / no?

Se davvero non c'è, accetterò che la domanda venga chiusa prima di creare un thread infinito!

Mantenere la propria distribuzione richiede molto lavoro. Anche se mantieni i backport, sarai presto sopraffatto dai problemi di sicurezza da risolvere e dovrai estrarre librerie di basso livello per continuare ad aggiornare il tuo software, il che potrebbe interrompere altre cose (mantengo i server che eseguono distribuzioni di 6 anni, è non è divertente).

L'aggiornamento è generalmente una buona soluzione. do-release-upgradeè ben fatto e dovresti essere in grado di aggiornare senza problemi (specialmente se hai usato solo pacchetti ufficiali).

La mia soluzione preferita potrebbe essere il percorso di reinstallazione. Più specificamente, i server dovrebbero essere gestiti utilizzando un sistema di gestione della configurazione come Puppet, Cfengine o Chef. Se tutte le esigenze di configurazione / pacchetto sono specificate utilizzando tale strumento e i tuoi dati sono al sicuro su una partizione separata, è molto più facile reinstallare rapidamente. È sufficiente installare una nuova distribuzione senza cancellare le partizioni di dati, quindi eseguire lo strumento di gestione della configurazione per ripristinare i pacchetti / le configurazioni. Credo che questo sia il modo più pulito di fare, soprattutto se hai diversi server da gestire.

Se si utilizzano pacchetti non ufficiali, è possibile identificarli prima di aggiornare / reinstallare. manutenzione-controllo può aiutarti a identificare i pacchetti che non sono ufficialmente gestiti da Ubuntu:

$ bzr branch lp:ubuntu-maintenance-check
$ cd ubuntu-maintenance-check
$ ./maintenance-check -f n

Se si desidera reinstallare, è anche possibile esportare l'elenco dei pacchetti installati:

$ dpkg --get-selections > myinstall.txt

e il tuo database debconf:

$ debconf-get-selections > debconf.txt # from the debconf-utils package

Come nota, dal momento che stai usando Karmic, potrebbe non essere troppo violento aggiornare a Lucid, che è una versione LTS, ancora supportata fino al 2015 per i pacchetti del server principale. Ciò dovrebbe lasciarti abbastanza tempo per configurare un'installazione automatizzata praticabile per il futuro.

Quando chiedi dei pacchetti di Launchpad, suppongo che intendi i PPA. Ci sono tonnellate di PPA diversi. Alcuni sono sperimentali, altri sono stabili. Alcuni sono gestiti da sviluppatori Ubuntu ufficiali, altri sono gestiti da persone che non sanno come fare correttamente un pacchetto. È difficile dire in generale se i pacchetti che trovi su PPA sono buoni, non esiste una regola generale. Il miglior suggerimento in questo caso potrebbe essere quello di guardare il proprietario dei PPA per avere un'idea della possibile qualità dei loro pacchetti.

Se il server non è esposto al mondo e ti fidi assolutamente dei tuoi utenti (in genere non è una buona idea), allora se funziona, potresti semplicemente lasciarlo.

Se è in qualche modo esposto al mondo esterno e / o intrattieni l'idea di un utente legittimo che ci gioca in modo illegittimo, allora hai assolutamente bisogno di correzioni e patch per il tuo software installato.

In questo caso, hai due opzioni:

1. Esegui una distribuzione supportata e ottieni aggiornamenti per il tuo software o

2. Esegui il backport di tutte le correzioni per la tua distribuzione non supportata, che, francamente, non sembra fattibile.

Non sono un utente Ubuntu, quindi non posso commentare la completezza delle patch che otterresti attraverso l'opzione 3, ma se hai qualche dubbio, suppongo che non avrai una copertura completa.

La soluzione migliore è passare a una versione LTS di Ubuntu, che ti fornirà supporto per le versioni del pacchetto indicate per qualche tempo. Con il tempo, alcuni dei pacchetti saranno obsoleti, ma l'ambiente avrà patch di sicurezza e sarà stabile (nessun aumento della versione del pacchetto). In base alla mia esperienza, la stabilità di un ambiente di lavoro noto è generalmente più preziosa delle nuove funzionalità.

Sembra che la tua posizione attuale non sia mantenibile e tu devi muoverti. L'unico modo sicuro è ottenere una seconda macchina (o una macchina virtuale) e testare le migrazioni fino a quando non si ha una procedura ripetibile riuscita, quindi applicarla alla macchina di produzione. Se si utilizzano i backup per eseguire migrazioni di prova, si avrà anche una buona opportunità di testare le procedure di backup.

L'unica vera via da seguire è un aggiornamento della distribuzione. Posso capire che sei nervoso per questo, dato che ormai salterai diverse versioni (11.04 è appena stato rilasciato).

Vorrei raccomandare di creare un clone delle unità in questa macchina e quindi utilizzare un computer separato per eseguire con i cloni e utilizzarlo per eseguire una serie di aggiornamenti di prova. Prendi nota di tutti i problemi riscontrati e ripeti fino a quando non avrai una procedura chiara per tutti. Quindi applicare questo al tuo server live.

Se non puoi permetterti alcun tempo morto, la migrazione è la tua unica via d'uscita. Dimentica il pinning e i backport, che ti terranno in vita solo per un periodo di tempo limitato. E l'opzione "roll your own" non vale nemmeno la pena considerare. Vale solo i miei 2 penny.