Идеологический подход к обновлениям

http://www.debian.org/security/

</thread>

работает - не трогай.

Если прям вот 24/7 и даже двухминутный даунтайм (kexec+init) невозможен, то только через кластеризацию и обновление серверов по очереди.

В принципе плановые работы предусматриваются, и редкие ребуты по крону ночью возможны. Но все равно обновлять страшновато.

Обновляться надо своевременно.

Но есть две крайности:

1. «работает - не трогай.»

2. обновления по крону каждую ночь

Забавно, что люди из первой крайности (школьник поимел твой уютненький форум через дыру двухлетней давности) часто ударяются во вторую. А после того, как секьюрити апдейт внезапно роняет сервер посреди ночи с Пт на Сб, когда они бухают с друзьями на даче, они начинают задумываться о компромиссном подходе.

Что-то ставится на холд, что-то обновляют руками, что-то обновляется автоматически. Минусы - приходится читать, думать и вообще выполнять свою работу.

Неплохо бы еще иметь тестовый сервер для обкатки обновлений. Ну или как минимум изучить в интернете опыт коллег.

Поднимаем тестовый сервер с полным набором пакетов и конфигов существующего, накатываем туда обновления, смотрим, есть ли грабли.
Если есть, решаем как обойти. Если нет, обновляем основной сервер.

В идеале, конечно, с таким же железом, но можно и на виртуалке.

1. Обновлять необходимый минимум, только то, что касается безопасности или не даёт работать, или точно ни на что существенное не повлияет. 2. Обновлять если не по одному, то как можно меньшими пачками - вероятность появления проблем вырастет, но их влияние и сложность починки упадёт. 3. использовать «правильный» дистрибутив, с минимумом сторонних программ - т.ч. поставщики бы сами мониторили, исправляли, тестили, и тебе рассказывали только о результатах. 4. иметь резервный сервер/бекап/план отката и т.п.