Vanha Ubuntu palvelimella: päivitys uuteen LTS:ään

Palvelin toimii, sivusto aukeaa, kukaan ei valita. Mutta jos kirjautuessa järjestelmä kertoo, että version vakiotuki on päättynyt, kaikki ei ole kunnossa. Se tarkoittaa, että tietoturvapäivityksiä ei enää tule.

Jokaisella Ubuntun LTS-versiolla on viisi vuotta vakiotukea. Sen ajan tietoturvapäivitykset tulevat itsestään. Sen jälkeen tukea voi osittain jatkaa (Ubuntu Pro / ESM), mutta se on lykkäys, ei suunnitelma. Ennemmin tai myöhemmin palvelin on siirrettävä uudempaan LTS-versioon.

Alla: mitä vaihtoehtoja on, kumpaa suosittelen missäkin tilanteessa ja mitä kannattaa tarkistaa ennen kuin mihinkään koskee.

Mitä tuen päättyminen käytännössä tarkoittaa

Palvelin ei sammu tuen päättymispäivänä. Ongelmat tulevat hiljaa:

• Haavoittuvuudet jäävät paikkaamatta. Kun OpenSSL:stä, SSH:sta tai ytimestä löytyy virhe, korjaus ei tule palvelimellesi. Julkisesti tunnettu haavoittuvuus paikkaamattomalla palvelimella on juuri sitä, mitä automaattiset skannerit etsivät.
• Uusi ohjelmisto ei asennu. Sovelluksen uusi versio vaatii uudemman PHP:n, Pythonin tai kirjaston kuin vanha versio tarjoaa.
• Ongelma kasvaa ajan myötä. Yhden LTS-askeleen päivitys on rutiinia. Kolmen askeleen jälkeenjääneisyys on jo projekti.

Kaksi tietä: päivitys paikallaan tai uusi palvelin

Päivitys paikallaan (do-release-upgrade)

Ubuntun oma työkalu vie järjestelmän seuraavaan LTS-versioon. Tärkeä rajoitus: yksi LTS-askel kerrallaan — esimerkiksi 22.04 → 24.04 → 26.04. Version yli ei voi hypätä. LTS:stä LTS:ään päivitystä tarjotaan yleensä vasta uuden version ensimmäisen korjausjulkaisun jälkeen.

Sopii, kun palvelin on kohtuullisessa kunnossa, jäljessä ollaan yksi askel, asetukset tunnetaan ja sovelluksia on vähän.

Riskit: jos jokin hajoaa kesken, palvelin jää puoliksi päivitettyyn tilaan. Kolmannen osapuolen ohjelmistolähteet (PPA:t) poistetaan päivityksen ajaksi käytöstä ja ne on palautettava käsin. Jos askelia on useita, jokainen ajetaan ja testataan erikseen.

Uusi palvelin Ubuntu 26.04:llä ja siirto

Uusi kone asennetaan puhtaalta pöydältä, sovellukset ja data siirretään, ja vanha palvelin toimii siihen asti, kunnes uusi on tarkistettu.

Sopii, kun jäljessä ollaan useita versioita, vuosien aikana on kertynyt dokumentoimattomia muutoksia tai palveluntarjoajan tai laitteiston vaihto on muutenkin suunnitteilla.

Etu: paluutie on aina olemassa. Asennan uudet palvelimet Ubuntu 26.04:lle, ja tämä on hyvä hetki vihdoin dokumentoida asetukset. Itse siirto on kuvattu vaihe vaiheelta erikseen: palvelimen siirto ilman käyttökatkoa.

Nyrkkisääntöni: yksi LTS-askel ja siisti palvelin → päivitys paikallaan. Kaksi askelta tai enemmän, tai ”kukaan ei oikein tiedä, mitä siellä pyörii” → uusi palvelin.

Tarkistuslista ennen päivitystä

1. Täysi varmuuskopio tai tilannevedos

Ensin: koko palvelimen tilannevedos (jos palveluntarjoaja sen mahdollistaa) ja erikseen tietokantadumpit ja tiedostojen kopio. Tarkista myös, että varmuuskopiosta todella pystyy palauttamaan. Varmuuskopio, jota ei ole koskaan palautettu, on toive, ei suunnitelma.

2. Harjoittele kloonilla

Kopioi palvelin ja tee päivitys ensin kopiolle. Näet, mikä hajoaa, ilman että oikea sivusto on alhaalla. Tämä on listan arvokkain yksittäinen vaihe.

3. Kieli- ja tietokantaversioiden hypyt

Tässä kohtaa jokin hajoaa useimmin. Uusi Ubuntu tuo uuden PHP:n, Pythonin, PostgreSQL:n tai MySQL:n/MariaDB:n:

• vanha PHP-koodi, joka käyttää poistettuja funktioita, alkaa antaa virheitä;
• Python-sovelluksen virtuaaliympäristö on luotava uudelleen uuden Pythonin päälle;
• PostgreSQL:n uusi pääversio vaatii datan siirron vanhasta klusterista uuteen;
• MySQL:n ja MariaDB:n välillä sekä versioiden välillä oletusasetukset muuttuvat.

Selvitä etukäteen, mitkä versiot ovat nyt käytössä ja mitä sovellus tukee.

4. Asetustiedostojen erot

Jos asetustiedostoa on muokattu käsin, päivitys kysyy, pidetäänkö oma versio vai otetaanko paketin uusi. Väärä vastaus voi pyyhkiä vuosien säädöt — tai jättää vanhan tiedoston, joka ei enää toimi uuden version kanssa. Ota /etc-hakemistosta kopio, niin on mihin verrata.

5. Kolmannen osapuolen ohjelmistolähteet

PPA:t ja valmistajien ohjelmistolähteet (esim. tietokannan, Dockerin tai Elasticsearchin omat) eivät päivity järjestelmän mukana. Listaa ne, tarkista, onko uudelle Ubuntulle olemassa vastaava versio, ja määritä ne päivityksen jälkeen uudelleen.

6. Käyttökatkon suunnittelu

Paikallaan päivitys tarkoittaa hetkeä, jolloin palvelut käynnistyvät uudelleen. Valitse hiljainen ajankohta, kerro käyttäjille ja aja päivitys tmux- tai screen-istunnossa, jotta katkeava SSH-yhteys ei jätä prosessia kesken.

7. Palautussuunnitelma

Kirjaa ennen aloittamista: missä kohtaa päätät, että jokin meni pieleen, ja mitä silloin teet. Palautus tilannevedoksesta, DNS takaisin vanhalle palvelimelle — mitä se onkin, se on päätettävä etukäteen, ei keskellä yötä.

Päivityksen jälkeen

Tarkista lokit, palveluiden tila, varmenteen uusiminen, ajastetut tehtävät (cron), varmuuskopiointi ja sähköpostin lähetys. Käy sitten läpi tietoturva-asetukset — uusi järjestelmä on hyvä hetki laittaa ne kuntoon. Siihen on erillinen Linux-palvelimen suojaamisen tarkistuslista.

Jos haluat antaa tämän minulle

Ylläpidän Linux-palvelimia päivittäin — mieluiten Ubuntua, mutta myös Debiania ja RHEL-perhettä — yhdessä Nginxin, Apache2:n, PostgreSQL:n, MySQL:n/MariaDB:n, Dockerin, Tomcatin ja Elasticsearchin/OpenSearchin kanssa. Olen myös siirtänyt yli kymmenen vuotta vanhoja sovelluksia nykyversioihin niin, että liiketoiminnallinen toiminnallisuus säilyi. Lue lisää Linux-palvelinten ylläpidosta.

Jos palvelimesi pyörii vanhalla Ubuntulla etkä ole varma, kumpi tie sopii, kirjoita minulle. Kuvaa tilanteesi parilla lauseella täällä — mikä Ubuntu-versio ja mitä palvelimella pyörii — niin vastaan yhden työpäivän kuluessa ja kerron rehellisesti, voinko auttaa ja miten. Jos haluat käyttää yleistä lomaketta, löydät sen yhteystietosivulta.

Usein kysyttyä

Voiko useamman version yli hypätä kerralla?

Paikallaan päivityksessä ei — jokainen LTS-askel tehdään erikseen. Jos askelia on useita, uusi palvelin ja siirto on usein nopeampi ja turvallisempi.

Ratkaiseeko Ubuntu Pro / ESM ongelman?

Se jatkaa tietoturvapäivityksiä osalle paketeista ja antaa aikaa. Kieli- ja tietokantaversiot jäävät kuitenkin vanhoiksi, joten päivitys on edessä joka tapauksessa — vain myöhemmin.

Onko sivusto alhaalla päivityksen aikana?

Paikallaan päivityksessä lyhyt katko on väistämätön. Uudella palvelimella ja siirrolla katko voidaan pitää minimissä, koska vanha palvelin toimii vaihtohetkeen asti.