我应该多久更新一次 Linux 服务器？

Question

我负责管理我们的生产服务器（邮件、网络、数据库都在一台服务器上）和我们的测试服务器。两者都建立在 Debian 上。但是，由于我对系统管理非常陌生，因此我只在遇到必须更新的内容时才安装更新，以便我可以拥有更新的功能并获得错误修复。它现在是一个非常特别的过程，我想让它不那么重要。

所以我想知道知道他们在做什么的人如何处理这个问题？您多久对服务器执行一次升级？测试和生产之间的升级过程是否不同？您是否总是先升级任何测试服务器？您是对所有软件进行完整更新，还是只安装选定的更新？

Answer 1

我运行apt-get update -qq; apt-get upgrade -duyq每天。这将检查更新，但不会自动执行。

然后我可以在观看时手动运行升级，并且可以纠正任何可能出错的地方。

除了维护已打补丁的系统的安全问题外，我发现如果在补丁之间放置太长时间，我最终会得到一大堆要升级的软件包，这让我感到害怕——不仅仅是升级一个或每周两个左右。因此，我倾向于每周运行升级，或者如果它们是高优先级，则每天运行。这有一个额外的好处，那就是知道哪个软件包破坏了您的系统（即，如果您一次只升级几个）

我总是先升级不太重要的系统。我还有一个“回滚计划”，以防我无法修复系统。（因为我们的大多数服务器都是虚拟的，这个回滚计划通常包括在升级之前拍摄快照，如果需要我可以恢复到）

话虽如此，我认为升级在过去 4 年中只破坏了一次或两次，而且是在高度定制的系统上 - 所以你不必太偏执:)

Answer 2

除了以前的答案 - 一些更具体的 Debian 事情：您应该订阅debian-security-announce和debian-announce和/或查看Debian 安全页面。

Answer 3

假设您运行的是 Debian 的稳定版本，大多数补丁都与安全或错误相关，这意味着任何给定软件包的版本之间不会有太多重大变化。根据 debian 补丁政策，补丁在被维护者移动到稳定分支之前应该已经测试了一段时间。显然，这不会在修补时阻止损坏，但在大多数情况下应该可以防止它们。

确保您的测试服务器保持最新是谨慎的做法，并且任何有影响您和您的服务器的错误的包都应该保持最新。一旦您知道补丁是稳定的，就应该立即更新所有带有针对它们的安全建议的软件包。

Debian 通常是一个非常稳定的操作系统，您不应该过度担心损坏的操作系统，但是在更新之前始终阅读将要更新的内容，并留意任何看起来很奇怪的东西。我也在我的 /etc/ 目录上使用 VCS 以确保可以使用“git diff”命令查看任何配置文件更改。