要百胜更新? 或不?

请原谅这个相当直接的问题。

首先,我不是一个系统pipe理员,我的Linux经验有限。

大约3-4个月前,我在工作中设置了一个CentOS服务器,原因有很多。 我们用它作为网站(我们的客户可以访问)的开发服务器,颠覆服务器,并且我们也在那里为内部通信托pipe一个wiki,所以它已经成为我们非常重要的工具。 (可能比我想象的更重要!)

我注意到百胜希望更新约250个包到最新版本的回购。

由于服务器对我们来说工作正常,我应该冒更新这些软件包的风险吗? 当我更新所有内容时,安全风险是否超过了服务器崩溃的风险?

我应该指出,虽然我已经备份了所有的东西,但是需要一段时间才能把所有东西都设置成现在的样子,而且我现在没有太多的空闲时间。

如果build议要更新,是否有任何可以传递的最佳实践来使过程尽可能安全?

预先感谢您的任何build议。

更新 – 感谢您的回复大家。 如果我有足够的代表赶上每个人,我会的。 ;)我决定鬼影硬盘和更新。 不幸的是,暂时无法获得全部或部分时间的系统pipe理员,所以我只需要尽我所能来处理这个问题!

快速和肮脏(即战地pipe理员)解决scheme:

  1. 让你的系统离线(我希望你可以),并做一个NortonGhost备份(或类似的)到第二个硬盘驱动器。

  2. 启动第二个硬盘驱动器(以确保您的备份实际工作),并在该驱动器上进行yum更新。

  3. 如果一切正常……恭喜!

  4. 如果它把事情搞砸了,那就把它放在原来的驱动器里,然后拿出一个“B计划”。

更新:

只是觉得我提到真正的问题是“我是否更新了过时的系统,并冒险搞砸了它? 或者“我是否把我的完美的工作系统保持不动,并冒着被黑客入侵的危险?

答案是……一旦通过上述步骤获得了系统补丁,请尝试通过频繁备份和频繁补丁来保持最佳状态。

那么你将有两全其美。 😉

是的,更新。

RHEL(也就是CentOS)注意不要将版本更新为任何不兼容的东西,而是反向错误修正和安全修复,所以对软件包的实际改变是最小的,合理地不太可能导致兼容性问题。

如果有任何configuration文件发生了变化,软件包会告诉您有关创build的.rpmorig或.rpmnew文件。 这取决于RPM本身的configuration。 您可以查看有关正在创build的任何警告,并将旧configuration(“ cp foo foo.bak; cp foo.rpmorig foo ”)或查看.rpmnew文件并将所有更改合并到您的configuration中。

如果您定期更新,问题不太明显。

我们有很多系统每季度更新(每3个月); 很less看到软件包更新的任何问题。 (除了在系统上做一些奇怪的内核来访问SAN的LUN)

当然,升级需要时间,而在同一个庄园,如果出现问题,还需要一些时间才能恢复。如果系统上的数据是通过破解/破解删除的,那么会有多less痛苦?

大部分来自CentOS基础仓库的升级都是安全的,我唯一一次遇到CentOS更新问题的时候是我开始/或需要使用外部仓库(DAG,RPMForge等等)

这种事情的最佳设置是准备好一个热插拔的服务器,所以你可以testing它的更新之前,部署到实时服务器。

听起来像你需要一个实际的系统pipe理员需要花费几个小时来查看你的系统,更新它,并确保一切再次运行。 理想情况下,你会让这个人来一个月为你做几次。 一台服务器不是一次安装一次就忘记的事情; 它需要定期的服务。

如果这个系统如此重要,那么安全更新变得更加重要。 考虑一下,如果系统必须被拆除以重build(如果?)一个过期的软件包允许系统泄露时,会产生什么影响。 理想情况下,您将有一个testing服务器以类似的方式configuration,您可以先更新,然后检查是否有任何问题。

当你应用更新时,你需要确保一些事情:

  1. 更新时间向所有使用该系统的用户公布
  2. 你有一个如何更新和testing每个应用程序的计划
  3. 如果(当?)更新中断应用程序时,您有如何撤消更新的计划
  4. 目前的备份存在,以防万一事情真的出错

一个好的系统pipe理员会有这种工作的经验,无论如何应该做所有这些事情。 如果你的组织有任何的,那么这可能是在他们的系统pipe理的时间。 或者如果你自己这样做很紧张,那么就聘请合同上的人来做这种日常维护。 无论哪种方式,更新需要发生,因为你正在打开自己的情况下更糟糕的情况下。

这就是为什么今天,我几乎从不在真正的硬件上运行任何生产系统。 我在虚拟机中运行它们。 然后在短暂的停机时间(5分钟)期间,我从ESX本身运行快照,或者如果使用自定义的Xen / Solaris / OpenVZ安装程序,则执行服务器映像的LVM快照。 然后,我把原件备份起来,现在我有一份我可以随我做的副本。

也就是说,从更新内核和apache开始,然后从那里向后工作。 你不必采取yum报告的完整软件包列表,但是最好的攻击媒介应该是你最快打补丁的。

每次我有一个Linux系统被黑客入侵,那是因为我离开了apache,openssh,或者内核本身没有被修补。

我只是更新安全相关的软件包。

我有一年左右的确切的事情发生…我在CentOS盒子上做了yum更新,在戴尔硬件上运行,并且安装了一个不能启动的内核。 盒子上没有任何东西装上(否则我会更谨慎)。 花了很多时间搞乱它,似乎CentOS / Linux新内核和戴尔盒子之间有一些不兼容的地方。 对你的更新非常谨慎。 我仍然build议更新,因为这是正确的做法,但要做好准备从一个被破坏的系统中恢复!