Debian 12: обновление и обслуживание с нуля

MAATRIX

Сервер, который не обслуживают, медленно превращается в проблему: копятся необновлённые пакеты с дырами, забивается диск логами, растёт список забытых зависимостей. Обновление и обслуживание Debian 12 с нуля — это несложная рутина, которая держит систему в форме и продлевает её жизнь на годы. Debian и так славится стабильностью, а грамотное обслуживание раскрывает её полностью. Разберём по шагам, как правильно обновлять пакеты и ядро, чистить лишнее, следить за местом и когда без перезагрузки не обойтись.

Зачем регулярно обслуживать сервер

Есть соблазн относиться к серверу по принципу «работает — не трогай». Но с ПО это не работает: в пакетах регулярно находят уязвимости, и необновлённая система со временем превращается в набор известных дыр, через которые её и ломают. Регулярное обновление — это в первую очередь безопасность, а уже потом новые версии и исправления ошибок. Отложенное на полгода обновление часто оказывается болезненным, тогда как еженедельное проходит незаметно.

Вторая сторона обслуживания — гигиена ресурсов. Логи, кэш пакетов, старые ядра и осиротевшие зависимости постепенно съедают дисковое пространство, а забитый под завязку диск роняет службы не хуже взлома. Поэтому обслуживание — это баланс двух задач: держать ПО свежим и не давать системе зарастать мусором. Хорошая новость в том, что и то и другое делается несколькими командами, которые легко превратить в привычку. Разберём их по порядку.

Обновляем списки и пакеты

Основа всего — две команды, которые стоит запомнить наизусть:

apt update
apt upgrade -y

Первая, apt update, не обновляет ничего — она лишь обновляет списки доступных пакетов из репозиториев, чтобы система знала, какие версии сейчас актуальны. Вторая, apt upgrade, скачивает и устанавливает свежие версии уже установленных пакетов. Важно всегда выполнять их именно в таком порядке: без предварительного update команда upgrade будет ориентироваться на устаревшие списки. Пакетный менеджер apt скачивает новые версии из проверенных репозиториев, подписанных цифровыми ключами, поэтому подмена пакета по пути исключена. Эту пару стоит запускать хотя бы раз в неделю — тогда обновления мелкие и безболезненные.

Разница между upgrade и full-upgrade

Обычный apt upgrade намеренно осторожен: он обновляет пакеты, но не станет удалять или устанавливать новые ради этого. Иногда обновление требует именно таких изменений — например, новая версия зависит от нового пакета. Для полного обновления используйте:

apt full-upgrade -y

full-upgrade разрешает системе устанавливать и удалять пакеты, чтобы довести обновление до конца, включая переход на новые версии ядра. Это мощнее, но и требует внимания: перед запуском на боевом сервере стоит прочитать, что именно он собирается удалить. Особенно насторожитесь, если система планирует что-то удалить, — в обычном обновлении удалений нет. Для рутинного еженедельного обслуживания достаточно обычного upgrade, а full-upgrade применяйте осознанно, когда обычный сообщает, что какие-то пакеты «удержаны» (kept back).

Чистим ненужное

После обновлений в системе накапливаются старые зависимости и скачанные архивы пакетов. Их безопасно удалить, освободив место:

apt autoremove --purge -y
apt autoclean

Команда autoremove удаляет пакеты, которые были установлены как зависимости, но больше никому не нужны, — в том числе старые ядра, которые иначе копятся и занимают немало места в разделе /boot. Флаг --purge убирает и их конфигурационные файлы. Команда autoclean вычищает кэш скачанных пакетов, оставляя только актуальное. Эти две команды — безопасная рутина, их можно смело выполнять после каждого крупного обновления. А более агрессивную apt clean, полностью очищающую кэш, применяйте реже, только когда действительно нужно освободить место.

Управляем логами systemd

Журнал systemd со временем разрастается и может занять гигабайты. Проверьте его размер и при необходимости ограничьте:

journalctl --disk-usage
journalctl --vacuum-time=14d

Первая команда покажет, сколько места занимает журнал. Вторая удаляет записи старше двух недель — обычно этой глубины истории достаточно для диагностики, а место освобождается заметно. Чтобы журнал не рос бесконтрольно в будущем, можно задать постоянный лимит размера параметром SystemMaxUse в файле /etc/systemd/journald.conf, например 500 мегабайт. Логи — частый скрытый пожиратель диска, и держать их в узде стоит с самого начала, а не когда раздел уже заполнен под завязку.

Следим за дисковым пространством

Заполненный диск — одна из самых частых причин внезапных сбоев: службам негде писать, база отказывается работать, сайт падает. Держите место под контролем:

df -h

Смотрите на строку с корнем /: если заполненность подбирается к 90%, пора разбираться. Найти крупных потребителей помогает du -sh /var/* | sort -h — чаще всего это логи, кэши и старые бэкапы. Возьмите за правило заглядывать в df -h при каждом обслуживании: заметить приближение к пределу заранее гораздо приятнее, чем ловить аварию посреди ночи. Если места хронически не хватает даже после чистки, это честный сигнал, что пора увеличить диск на тарифе — данные растут, и это нормально.

Автообновления и перезагрузка ядра

Часть рутины можно переложить на систему. Пакет unattended-upgrades ставит критические обновления безопасности сам:

apt install -y unattended-upgrades

Это не отменяет ручного обслуживания, но снимает самую острую задачу — своевременное закрытие свежих уязвимостей. Отдельно стоит знать про перезагрузку. Большинство обновлений применяются на лету, но обновление ядра вступает в силу только после перезагрузки. Debian подсказывает, когда она нужна: если после обновления появился файл /var/run/reboot-required, значит, установлено новое ядро и стоит запланировать sudo reboot в удобное время. Работать на старом ядре, когда установлено новое с исправлениями безопасности, — распространённая недоработка. Проверяйте наличие этого файла после крупных обновлений и перезагружайтесь в спокойное окно, а не откладывайте на месяцы.

Частые вопросы