Cum se configurează actualizări automate Headless Debian cu upgrade-uri nesupravegheate

Ce face unattended-upgrades pe un server Debian headless

unattended-upgradeseste pachetul Debian pentru descărcarea și instalarea automată a anumitor actualizări APT fără autentificare interactivă. Pe un server headless, acest lucru îl face util pentru întreținerea securității atunci când nu este disponibilă nicio sesiune desktop și nu se așteaptă ca nimeni să ruleze apt upgradeîn fiecare zi.

Începând cu octombrie 2026, Debian 13 „trixie” este versiunea stabilă Debian, iar unattended-upgradespachetul stabil este versiunea 2.12. Pachetul este destinat actualizărilor normale ale pachetelor, în special actualizărilor de securitate și stabile. Nu înlocuiește procesul separat, planificat, de actualizare de la o versiune majoră Debian la alta.

Modelul practic este simplu: mecanismul APT reîmprospătează periodic indexurile pachetelor, apt-daily-upgrade.serviceinvocă backend-ul de actualizare nesupravegheată la timp, iar politica dvs. decide ce origini de pachete sunt permise. Debian înregistrează rezultatul în /var/log/unattended-upgrades/.

Listă de verificare pentru configurare rapidă

1. Instalați upgrade-uri nesupravegheate

Executați instalarea dintr-o shell administrativă:

sudo apt update
sudo apt install unattended-upgrades

Instalarea pachetului poate fi repetată în siguranță: APT va raporta pur și simplu că este deja instalat dacă gazda îl are deja. Debian descrie pachetul ca un instalator automat pentru upgrade-uri de securitate și alte actualizări selectate prin politică.

Pentru o flotă, nu presupuneți că fiecare imagine are aceeași stare implicită. Unele instalări Debian includ deja actualizări nesupravegheate; altele nu, iar o configurație existentă poate fi dezactivată. După instalare, inspectați configurația efectivă în loc să presupuneți că prezența pachetului înseamnă că politica dorită este activă.

2. Activează reîmprospătările periodice ale listei de pachete și rulările nesupravegheate

Fișierul README din Debian spune că o configurare manuală are nevoie de aceste două valori periodice APT:

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

Valoarea "1"înseamnă că activitatea este eligibilă pentru a fi rulată zilnic. Un fragment local practic este:

sudo nano /etc/apt/apt.conf.d/20auto-upgrades

Apoi adăugați cele două linii de mai sus. Puteți inspecta configurația APT îmbinată cu:

apt-config dump | grep -E 'APT::Periodic::(Update-Package-Lists|Unattended-Upgrade)'

Nu citiți asta ca pe o promisiune că o lucrare va începe exact la miezul nopții în fiecare zi. Pe sistemele Debian bazate pe systemd, APT folosește unități de temporizare și un comportament de planificare randomizat. Pentru operațiuni, verificați starea reală a temporizatorului și următoarea declanșare pe gazdă, în loc să proiectați monitorizarea în jurul unui timp de ceas ghicit.

3. Definiți ce depozite pot actualiza automat pachetele

Politica cheie se află sub Unattended-Upgrade::Origins-Patternsau în Allowed-Originsforma mai veche. Documentația Debian 2.12 recomandă crearea unui fragment APT local care sortează după 50unattended-upgradesfișierul împachetat, de exemplu:

sudo nano /etc/apt/apt.conf.d/52unattended-upgrades-local

Acest lucru este preferabil editării permanente a fișierului livrat, deoarece actualizările pachetului pot înlocui sau intra în conflict cu configurația gestionată de furnizor. Înainte de a scrie modele, inspectați metadatele lansării pe care APT le vede de fapt:

apt-cache policy

Pentru majoritatea serverelor headless, o politică conservatoare este de a menține actualizările automate limitate la canalele stabile și de securitate normale ale Debian. Modelele exacte pot diferi în funcție de aspectul repozitoriului, mirror-uri, furnizori terți și reguli de fixare, așadar tratați-le apt-cache policyca fiind sursa de adevăr pentru fiecare mediu.

Controale opționale care merită știute

Configurația 2.12 acceptă liste negre și liste albe de pachete, reporniri automate, rapoarte de e-mail, eliminarea dependențelor neutilizate, limite de lățime de bandă, restricții de actualizare și ieșire syslog. Câteva opțiuni sunt deosebit de relevante pe serverele la distanță:

Unattended-Upgrade::Automatic-Reboot "false";
Unattended-Upgrade::MailReport "only-on-error";
Unattended-Upgrade::SyslogEnable "true";

Configurați e-mailul doar dacă mașina are un transport de e-mail funcțional. Dacă activați repornirea automată, comportamentul implicit al Debian este semnificativ: când Automatic-Rebooteste adevărat și /var/run/reboot-requiredexistă, gazda poate reporni fără confirmare. Puteți seta Unattended-Upgrade::Automatic-Reboot-Timeprogramarea acestei reporniri pentru o fereastră de mentenanță.

Pentru multe sisteme de producție, este mai sigur să lăsați repornirea automată dezactivată, cu excepția cazului în care serviciul este redundant, ferestrele de întreținere sunt definite și verificările de sănătate post-repornire sunt automatizate.

4. Verificați temporizatoarele systemd și rulați un test fără procesare

unattended-upgrades.timerPe o instalare Debian normală bazată pe systemd, verificați temporizatoarele APT în loc să căutați o unitate inventată :

systemctl status apt-daily.timer apt-daily-upgrade.timer
systemctl list-timers apt-daily.timer apt-daily-upgrade.timer

apt-daily.timereste asociat cu activitatea de rutină de descărcare/indexare a pachetelor, în timp ce apt-daily-upgrade.timerdeclanșează calea serviciului de actualizare/curățare utilizată de actualizările nesupravegheate.

Apoi, testați politica fără a modifica pachetele:

sudo unattended-upgrade --debug --dry-run

Aceasta este cea mai utilă verificare preflight, deoarece evaluează configurația reală APT și înregistrează detaliile de depanare. Examinați rezultatul pentru pachete care ar fi selectate sau reținute, origini neașteptate de la terți, probleme de dependență și solicitări ale fișierelor de configurare.

Dacă simularea nu selectează nimic, acest lucru poate fi perfect normal atunci când serverul este curent. Confirmați că există într-adevăr actualizări în așteptare cu apt list --upgradable, apoi comparați originile și politica acestora cu modelele configurate.

5. Monitorizați actualizările nesupravegheate și gestionați repornirile în mod deliberat

Pachetul își scrie jurnalul principal de activitate și ieșirea dpkg sub:

/var/log/unattended-upgrades/unattended-upgrades.log
/var/log/unattended-upgrades/unattended-upgrades-dpkg.log

Verificările utile includ:

sudo tail -n 100 /var/log/unattended-upgrades/unattended-upgrades.log
sudo journalctl -u apt-daily-upgrade.service --since "7 days ago"
test -f /var/run/reboot-required && cat /var/run/reboot-required

Pentru o singură mașină de laborator acasă, revizuirea periodică a jurnalelor poate fi suficientă. Pentru sistemele de business, trimiteți erorile către monitorizarea centrală sau syslog, astfel încât o eroare silențioasă a depozitului, un sistem de fișiere plin, o dependență defectă sau o stare dpkg întreruptă să nu persiste neobservată.

Setări de referință pentru politicile comune ale serverului

Referință rapidă pentru depanare

Cronometrul este activ, dar nu sunt instalate pachete.

Verificați dacă există actualizări în așteptare, dacă originea depozitului lor corespunde politicii permise și dacă o listă neagră sau o constrângere de dependență împiedică selecția. Rulați sudo unattended-upgrade --debug --dry-runpentru dovezi în loc să modificați politica la întâmplare.

Serverul așteaptă configurarea pachetului

unattended-upgradeseste conceput pentru a evita actualizările care ar necesita solicitări de configurare dpkg nerezolvate. Dacă un pachet este reținut în mod repetat, inspectați jurnalul și decideți dacă decizia privind fișierul de configurare ar trebui gestionată manual.

Actualizările nu rulează niciodată după clonarea unei imagini VM

Confirmați că temporizatoarele sunt activate și active, apoi inspectați apt-config dump. Imaginile aurii conțin adesea fragmente APT locale, mascare sau suprascrieri de politici care diferă de setările implicite ale pachetului.

Trebuie să opriți actualizările automate

Folosește calea de reconfigurare acceptată de Debian:

sudo dpkg-reconfigure -plow unattended-upgrades

Dezactivarea pachetului nu înlocuiește gestionarea normală a patch-urilor; pur și simplu readuce responsabilitatea la procesul de orchestrare manuală sau externă.

Lista de verificare finală pentru validare

• unattended-upgradeseste instalat dintr-un depozit Debian de încredere.
• Reîmprospătarea periodică a listei de pachete APT și valorile de actualizare nesupravegheate sunt activate.
• Politica locală este stocată într-un fișier de suprascriere ulterioară, cum ar fi 52unattended-upgrades-local.
• Originile permise au fost verificate în raport cu apt-cache policy.
• apt-daily.timerși apt-daily-upgrade.timersunt activi.
• sudo unattended-upgrade --debug --dry-runse finalizează fără selecții neașteptate sau erori.
• Jurnalele sunt monitorizate, iar politica de repornire corespunde modelului dvs. de întreținere.
• Actualizările majore ale versiunilor Debian rămân o procedură planificată separată.

Referințe oficiale

Folosește documentația proprie a Debian atunci când validezi comportamentul într-o anumită versiune:

• Pagina de pachet Debian stabil pentru actualizări nesupravegheate
• README upstream pentru upgrade-uri nesupravegheate 2.12 în sursele Debian
• Configurația implicită a actualizărilor nesupravegheate pentru Debian 2.12
• Pagina de manual pentru actualizarea nesupravegheată Debian Trixie