Hoe/ hoe vaak Ubuntu LTS updaten

[aojudo]

Hoi! Ik heb een klein servertje gemaakt voor een paar taken, bijvoorbeeld een vpn server. Het is een nuc (4gb ram, celeron) en ik heb er Ubuntu LTS (desktop) op draaien. Ik wil de server in de meterkast hangen en er zo min mogelijk omkijken naar hebben. Maar ubuntu moet natuurlijk wel geupdate worden, vooral de security updates lijken me wel belangrijk. Betekent dit dat ik de server om de zoveel tijd handmatig moet gaan updaten? Hoe vaak zou dat ongeveer moeten?

Als het om een keer per jaar gaat is dat niet zo'n probleem. Maar als ik om de twee weken dat ding handmatig moet updaten schiet dat niet zo op natuurlijk.

Ik heb geprobeerd een programma te maken zodat ik een mail krijg als er een security update is. Ik ben net begonnen met java te leren en de ubuntu terminal was nieuw voor mij, dus dat schoot niet op. Ik kreeg het uberhaupt niet voor elkaar om uit de terminal een mailtje naar mezelf te sturen Dit plan viel dus af.

Een ander idee is om een script te schrijven dat updates automatisch download en installeert. Hierbij vraag ik mij alleen af of dit helemaal veilig is omdat ik zelf dan niet zie wat er geinstalleerd wordt (een trema op de i typen lukt niet in ubuntu...?). Dus mocht er wat verkeerd gaan kom ik er pas achter als het al niet meer werkt. En mij lijkt dat er reboots nodig zijn voor bepaalde updates, dat is ook niet handig als dat in een keer gebeurt.

Ik zou dus graag jullie mening hierover horen. Dus of ik de updates handmatig kan doen eens per jaar bijvoorbeeld, of dat er ook een slimmere oplossing is. Ohja, ik denk dat openVPN bijvoorbeeld ook geupdate moet worden. Moet dat dan ook handmatig?

Alvast bedankt!!

[Ultraman]

Waarom niet automatisch laten updaten? Dat doe ik ook. Unattented security updates heb ik aan staan op een VPS en elke 2 maanden log ik een keer in om de logs, diskspace e.d. te bekijken en de machine in geval van een kernel update een reboot te geven.
Hoef je geen script voor te schrijven, alles staat al klaar in de config van apt. Enkel activeren.

[ Voor 16% gewijzigd door Ultraman op 04-06-2020 23:18 ]

[aojudo]

Ultraman schreef op donderdag 4 juni 2020 @ 23:18:
Waarom niet automatisch laten updaten? Dat doe ik ook. Unattented security updates heb ik aan staan op een VPS en elke 2 maanden log ik een keer in om de logs, diskspace e.d. te bekijken en de machine in geval van een kernel update een reboot te geven.
Hoef je geen script voor te schrijven, alles staat al klaar in de config van apt. Enkel activeren.

Dus als ik unattended security updates aan zet, doet hij de security updates automatisch, zonder reboot? En kan ik dan bijvoorbeeld ook om het half jaar checken voor kernel updates?

[Dr Pro]

Maar dat hij in de meterkast hangt maakt toch niet zo veel uit?
Ik neem aan dat je SSH erop hebt staan?

Zet er anders Cockpit op, erg handig voor remote beheer.

[Ultraman]

aojudo schreef op donderdag 4 juni 2020 @ 23:23:
[...]

Dus als ik unattended security updates aan zet, doet hij de security updates automatisch, zonder reboot? En kan ik dan bijvoorbeeld ook om het half jaar checken voor kernel updates?

Yup, dat kan.
Let wel op als je een aparte /boot partitie hebt dat die niet vol loopt met kernel updates. Is prima op te lossen wanneer het gebeurt, maar dat heb ik bij klanten nog wel eens mis zien gaan (en ook regelmatig weer opgelost).

Overigens is beheer niet echt spannend. Maak gebruik van SSH en wellicht is de suggestie van Cockpit idd ook een leuke. Dat heb ik op Fedora testdozen regelmatig gebruikt, heel handig.

[ Voor 14% gewijzigd door Ultraman op 04-06-2020 23:29 ]

[aojudo]

Dr Pro schreef op donderdag 4 juni 2020 @ 23:26:
Maar dat hij in de meterkast hangt maakt toch niet zo veel uit?
Ik neem aan dat je SSH erop hebt staan?

Zet er anders Cockpit op, erg handig voor remote beheer.

Ik heb nog niks er op staan qua remote beheer, ik ben nu alles via de desktop aan het instellen omdat ik wil zien hoe dat allemaal werkt. Updates ga ik wel remote te checken, maar hoe minder vaak dat hoeft, hoe beter

Ultraman schreef op donderdag 4 juni 2020 @ 23:28:
[...]

Yup, dat kan.
Let wel op als je een aparte /boot partitie hebt dat die niet vol loopt met kernel updates. Is prima op te lossen wanneer het gebeurt, maar dat heb ik bij klanten nog wel eens mis zien gaan (en ook regelmatig weer opgelost).

Overigens is beheer niet echt spannend. Maak gebruik van SSH en wellicht is de suggestie van Cockpit idd ook een leuke. Dat heb ik op Fedora testdozen regelmatig gebruikt, heel handig.

Er is inderdaad een losse boot partitie. Hoe zorg ik dat die niet vol raakt? Of moet ik dan gewoon regelmatig updaten?

[ Voor 40% gewijzigd door aojudo op 04-06-2020 23:31 ]

[Ultraman]

Nou, allereerst zorg je dat ie niet 512MB is zoals vroeger wel eens een default was.
Beter laat je de installatie helemaal geen aparte /boot aanmaken. Kan goed zijn dat dat inmiddels de default is geworden. Ik houd Ubuntu niet zo in de gaten, daarom weet ik dat niet zo ff.
Een aparte /boot is niet nodig in de meeste gevallen. Lekker op de root partitie houden, keep it simple stupid

Kwestie van diskspace-gebruik in de gaten houden als je een aparte /boot hebt. En als ie voller loopt gooi je een hoop kernels weg door enkel degene die op dat moment actief is te behouden en de recentste.

[ Voor 20% gewijzigd door Ultraman op 04-06-2020 23:38 ]

[aojudo]

Ultraman schreef op donderdag 4 juni 2020 @ 23:35:
Nou, allereerst zorg je dat ie niet 512MB is zoals vroeger wel eens een default was.
Beter laat je de installatie helemaal geen aparte /boot aanmaken. Kan goed zijn dat dat inmiddels de default is geworden. Is gewoon helemaal niet nodig in de meeste gevallen. Keep it simple stupid

Kwestie van diskspace-gebruik in de gaten houden als je een aparte /boot hebt. En als ie voller loopt gooi je een hoop kernels weg door enkel degene die op dat moment actief is te behouden en de recentste.

Hmm ik heb alles al geinstalleerd, hij is idd 500mb. Nu is hij 1,7% gevuld dus zou zeggen dat er nog wel wat bij kan. Kan ik de partitie nu groter maken? Nee zeker...

[Dr Pro]

aojudo schreef op donderdag 4 juni 2020 @ 23:38:
[...]


Hmm ik heb alles al geinstalleerd, hij is idd 500mb. Nu is hij 1,7% gevuld dus zou zeggen dat er nog wel wat bij kan. Kan ik de partitie nu groter maken? Nee zeker...

Alles kan
https://askubuntu.com/que...-resize-my-boot-partition

[Ultraman]

aojudo schreef op donderdag 4 juni 2020 @ 23:38:
[...]


Hmm ik heb alles al geinstalleerd, hij is idd 500mb. Nu is hij 1,7% gevuld dus zou zeggen dat er nog wel wat bij kan. Kan ik de partitie nu groter maken? Nee zeker...

Als je kunt: herinstalleren en die aparte /boot lekker weglaten of groter maken. 1GB is al prettiger, dan heb je gewoon meer rek als je aantal maanden niet inlogt om netjes een apt-get autoremove te kunnen doen.

In-place vergroten kan ook zoals hierboven aangegeven wordt. Maar de boot partitie staat vooraan, met direct andere partities er achter. Dus als je die wilt vergroten moeten partities en de data er op gemoved worden. Dat kan wel met een live medium zoals GParted, maar kun je niet op het systeem zelf doen terwijl deze actief is.

[ Voor 25% gewijzigd door Ultraman op 04-06-2020 23:53 ]

[aojudo]

Ultraman schreef op donderdag 4 juni 2020 @ 23:51:
[...]

Als je kunt: herinstalleren en die aparte /boot lekker weglaten of groter maken. 1GB is al prettiger, dan heb je gewoon meer rek als je aantal maanden niet inlogt om netjes een apt-get autoremove te kunnen doen.

In-place vergroten kan ook zoals hierboven aangegeven wordt. Maar de boot partitie staat vooraan, met direct andere partities er achter. Dus als je die wilt vergroten moeten partities en de data er op gemoved worden. Dat kan wel met een live medium zoals GParted, maar kun je niet op het systeem zelf doen terwijl deze actief is.

Ik denk dat een herinstallatie er sowieso in zit. Ik heb nu ubuntu 20.04, maar openvpn acces server draait alleen maar op 16.04 en 18.04. Dus ik ga 18.04 installeren, kan ik meteen de boot partitie groter maken of weglaten als dat lukt.

Is het niet raar dat openvpn acces server niet op de nieuwste ubuntu draait? En als openvpn 20.04 in een keer wel gaat ondersteunen kan ik toch gewoon ubuntu upgraden en openvpn opnieuw installeren?

EDIT: zolang ubuntu 18.04 ondersteund is (tot 2023) blijft deze gewoon veilig met updates etc toch?

[ Voor 4% gewijzigd door aojudo op 05-06-2020 00:37 ]

[Dr Pro]

aojudo schreef op vrijdag 5 juni 2020 @ 00:05:
[...]

Ik denk dat een herinstallatie er sowieso in zit. Ik heb nu ubuntu 20.04, maar openvpn acces server draait alleen maar op 16.04 en 18.04. Dus ik ga 18.04 installeren, kan ik meteen de boot partitie groter maken of weglaten als dat lukt.

Is het niet raar dat openvpn acces server niet op de nieuwste ubuntu draait? En als openvpn 20.04 in een keer wel gaat ondersteunen kan ik toch gewoon ubuntu upgraden en openvpn opnieuw installeren?

EDIT: zolang ubuntu 18.04 ondersteund is (tot 2023) blijft deze gewoon veilig met updates etc toch?

Check ook PiVPN.
Is een schil die over OpenVPN of WireGuard is heengezet. Die werkt wel met 20.04LTS.
Installatie/configuratie is mega simpel

[DaFeliX]

aojudo schreef op vrijdag 5 juni 2020 @ 00:05:
[...]

Ik denk dat een herinstallatie er sowieso in zit. Ik heb nu ubuntu 20.04, maar openvpn acces server draait alleen maar op 16.04 en 18.04. Dus ik ga 18.04 installeren, kan ik meteen de boot partitie groter maken of weglaten als dat lukt.

Is het niet raar dat openvpn acces server niet op de nieuwste ubuntu draait? En als openvpn 20.04 in een keer wel gaat ondersteunen kan ik toch gewoon ubuntu upgraden en openvpn opnieuw installeren?

EDIT: zolang ubuntu 18.04 ondersteund is (tot 2023) blijft deze gewoon veilig met updates etc toch?

20.04 is net een maand uit, dus ik kan mij voorstellen dat nog niet alle software dit ondersteund. Ik zou liever 20.04 installeren omdat die langere ondersteuning heeft (hij 'vervangt' immers 18.04), maar als dat nu nog niet kan kun je dit altijd later upgraden.

Overigens kun je met unnattended upgrades ook je machine automatisch laten rebooten, door in /etc/apt/apt.conf.d/50unattended-upgrades de instructie Unattended-Upgrade::Automatic-Reboot "true"; te plaatsen. Let er dan wel op dat het apparaat dan "ineens" kan gaan rebooten na een kernel update.

Ook het automatisch weghalen van oude packages (dus ook kernels) kun je configureren met Unattended-Upgrade::Remove-Unused-Dependencies "true";. Daarnaast kun je ook nog Unattended-Upgrade::Mail "[e-mail]"; instellen zodat je ook mailtjes krijgt dat er updates zijn geinstalleerd en het apparaat is gereboot. Je hebt er dan nog weinig omkijken naar.

[Hero of Time]

^^DAT! Precies wat @DaFeliX zegt. Er is een apart package (unattended-upgrades), die als het goed is al standaard geïnstalleerd staat voor je automatische updates. Je hoeft het alleen nog even in te schakelen dat het ook werkelijk zut gaat installeren en indien nodig op een vaste tijd gaat rebooten. Standaard doet het security updates, maar je wilt misschien dat het alles bijwerkt.

Let ook goed op dat je autoremove kernels aan hebt staan. Dan boeit het niet meer of je nou een aparte /boot hebt of niet en of deze maar 500 MB is.

Ik vraag mij wel af waarom je een complete desktop hebt geïnstalleerd als het systeem toch maar in de meterkast staat. De Nuc heeft maar 4 GB geheugen, dat kan beter gebruikt worden voor zaken die je wel echt draait, dan een GUI dat uit de neus staat te eten. Waar je het voor gebruikt heb je helemaal niets aan een GUI.

[ Voor 17% gewijzigd door Hero of Time op 05-06-2020 08:32 ]

[aojudo]

Dr Pro schreef op vrijdag 5 juni 2020 @ 07:13:
[...]


Check ook PiVPN.
Is een schil die over OpenVPN of WireGuard is heengezet. Die werkt wel met 20.04LTS.
Installatie/configuratie is mega simpel

Ja heb ik geprobeerd, maar had helaas niet alle functionaliteiten die ik nodig had. Vandaar dat ik nu openvpn acces server gebruik.

DaFeliX schreef op vrijdag 5 juni 2020 @ 07:23:
[...]


20.04 is net een maand uit, dus ik kan mij voorstellen dat nog niet alle software dit ondersteund. Ik zou liever 20.04 installeren omdat die langere ondersteuning heeft (hij 'vervangt' immers 18.04), maar als dat nu nog niet kan kun je dit altijd later upgraden.

Overigens kun je met unnattended upgrades ook je machine automatisch laten rebooten, door in /etc/apt/apt.conf.d/50unattended-upgrades de instructie Unattended-Upgrade::Automatic-Reboot "true"; te plaatsen. Let er dan wel op dat het apparaat dan "ineens" kan gaan rebooten na een kernel update.

Ook het automatisch weghalen van oude packages (dus ook kernels) kun je configureren met Unattended-Upgrade::Remove-Unused-Dependencies "true";. Daarnaast kun je ook nog Unattended-Upgrade::Mail "[e-mail]"; instellen zodat je ook mailtjes krijgt dat er updates zijn geinstalleerd en het apparaat is gereboot. Je hebt er dan nog weinig omkijken naar.

Dat ineens rebooten lijkt me niet heel fijn, als ik via de vpn aan het werkt ben is het niet handig als hij in een keer uit gaat. Kan ik dat inplannen dat hij dat bijvoorbeeld 's nachts doet? En een kernel update is toch bijvoorbeeld 18.04 -> 20.04? Dat moet ik dan sowieso niet instellen, want dan zou openvpn in een keer niet meer werken

Hoef ik om een mailtje te versturen verder niets in te stellen?

Hero of Time schreef op vrijdag 5 juni 2020 @ 08:30:
^^DAT! Precies wat @DaFeliX zegt. Er is een apart package (unattended-upgrades), die als het goed is al standaard geïnstalleerd staat voor je automatische updates. Je hoeft het alleen nog even in te schakelen dat het ook werkelijk zut gaat installeren en indien nodig op een vaste tijd gaat rebooten. Standaard doet het security updates, maar je wilt misschien dat het alles bijwerkt.

Let ook goed op dat je autoremove kernels aan hebt staan. Dan boeit het niet meer of je nou een aparte /boot hebt of niet en of deze maar 500 MB is.

Ik vraag mij wel af waarom je een complete desktop hebt geïnstalleerd als het systeem toch maar in de meterkast staat. De Nuc heeft maar 4 GB geheugen, dat kan beter gebruikt worden voor zaken die je wel echt draait, dan een GUI dat uit de neus staat te eten. Waar je het voor gebruikt heb je helemaal niets aan een GUI.

Ohh je zegt het al, op een vaste tijd rebooten kan dus! Top. Is reboot alleen nodig voor kernel updates, of ook voor security of andere? Autoremove kernel ga ik ook instellen, bedankt.

Ik heb de desktop geïnstalleerd omdat het allemaal een beetje nieuw is. Maar ik las dat je de GUI achteraf 'weg kan halen', dus dat het dan eigenlijk gewoon ubuntu server is. Dat doe ik als ik klaar ben.

[DaFeliX]

aojudo schreef op vrijdag 5 juni 2020 @ 10:02:

[...]


Dat ineens rebooten lijkt me niet heel fijn, als ik via de vpn aan het werkt ben is het niet handig als hij in een keer uit gaat. Kan ik dat inplannen dat hij dat bijvoorbeeld 's nachts doet? En een kernel update is toch bijvoorbeeld 18.04 -> 20.04? Dat moet ik dan sowieso niet instellen, want dan zou openvpn in een keer niet meer werken

kernel update is niet hetzelfde als versie update. Het updaten van 18.04 naar 20.04 doet hij niet automatisch, dus daar hoef je niet bang voor te zijn. Je moet dit dan wel zelf een keertje doen, dus plan alvast een plekje in je agenda

Je zou natuurlijk je apparaat gewoon elke nacht kunnen laten rebooten dmv een cron op een moment dat je er geen last van hebt, zodat eventuele kernels geinstalleerd worden.

aojudo schreef op vrijdag 5 juni 2020 @ 10:02:

[...]

Hoef ik om een mailtje te versturen verder niets in te stellen?

Je moet iig kunnen mailen vanaf de command-line, dus sudo apt install mailx. Maar zie daarvoor de documentatie .

[...]


Ohh je zegt het al, op een vaste tijd rebooten kan dus! Top. Is reboot alleen nodig voor kernel updates, of ook voor security of andere? Autoremove kernel ga ik ook instellen, bedankt.

[...]

Rebooten is alleen nodig voor kernel updates (en evt drivers die inhaken op je kernel, natuurlijk). Sommige services moeten wel herstart worden na een upgrade, en daar zorgt een reboot natuurlijk ook voor

[aojudo]

DaFeliX schreef op vrijdag 5 juni 2020 @ 10:10:
[...]


kernel update is niet hetzelfde als versie update. Het updaten van 18.04 naar 20.04 doet hij niet automatisch, dus daar hoef je niet bang voor te zijn. Je moet dit dan wel zelf een keertje doen, dus plan alvast een plekje in je agenda

Je zou natuurlijk je apparaat gewoon elke nacht kunnen laten rebooten dmv een cron op een moment dat je er geen last van hebt, zodat eventuele kernels geinstalleerd worden.


[...]


Je moet iig kunnen mailen vanaf de command-line, dus sudo apt install mailx. Maar zie daarvoor de documentatie .


[...]


Rebooten is alleen nodig voor kernel updates (en evt drivers die inhaken op je kernel, natuurlijk). Sommige services moeten wel herstart worden na een upgrade, en daar zorgt een reboot natuurlijk ook voor

Oke, dus dit is dan denk ik wat ik in ga stellen:
1 Haal automatisch updates binnen (maar niet automatisch rebooten)
2 Reboot elke dag op een bepaald tijdstip
3 Verwijder na een reboot alle oude packages als er updates uitgevoerd zijn
4 Stuur een mailtje als er updates uitgevoerd zijn

Zijn er vaak updates? Dan is het misschien niet ideaal om elke keer een mail te krijgen. Misschien is het nuttiger als ik een mail krijg als er iets niet goed is gegaan. Kan dat ook?

Ook moet ik ervoor zorgen dat openvpn en andere applicaties automatisch opstarten bij booten, maar dat kan volgens mij wel. Als ik dit dan allemaal gedaan heb, dan haal ik de GUI eraf.

Edit: zie op internet dat het toch lastig is om de GUI helemaal weg te krijgen. Dus misschien beter nu het nog kan ubuntu nog een keer herinstalleren en dan nu de server versie...

[ Voor 5% gewijzigd door aojudo op 05-06-2020 11:17 ]

[jan99999]

https://ubuntu.com/livepatch

[geenwindows]

je kunt ook gewoon Ubuntu server edition installeren en bij de installatie desktop aanvinken, voordeel is dat de server editie stuk minder toeters en bellen mee levert, en minder toeters en bellen betekend ook vaak minder instabiliteit (meestal) zo heeft de server is +desktop interface geen geluidsdriver.
je kan dan evt ook VNC er bij op zetten zodat je alsnog de GUI kan gebruiken op afstand (met 'afstand' bedoel ik; je lokale netwerk)
ik weet niet of "live patch" ook beschikbaar is op de server editie, heb het hier draaien op mijn desktop (staat 24/7 aan)
maar als ik het me goed herinner kan je op ook aangeven dat ie gewoon update en enkel bij cruciale updates je aandacht nodig heeft (o.a. met apt update / apt upgrade etc.)
maar ik ben al een jaartje of 5 weg bij Ubuntu als zijnde server, kennis is hier dan ook een beetje verwaterd..

[Anoniem: 316512]

aojudo schreef op vrijdag 5 juni 2020 @ 11:09:
[...]


Oke, dus dit is dan denk ik wat ik in ga stellen:
1 Haal automatisch updates binnen (maar niet automatisch rebooten)
2 Reboot elke dag op een bepaald tijdstip
3 Verwijder na een reboot alle oude packages als er updates uitgevoerd zijn
4 Stuur een mailtje als er updates uitgevoerd zijn

Zijn er vaak updates? Dan is het misschien niet ideaal om elke keer een mail te krijgen. Misschien is het nuttiger als ik een mail krijg als er iets niet goed is gegaan. Kan dat ook?

Ook moet ik ervoor zorgen dat openvpn en andere applicaties automatisch opstarten bij booten, maar dat kan volgens mij wel. Als ik dit dan allemaal gedaan heb, dan haal ik de GUI eraf.

Edit: zie op internet dat het toch lastig is om de GUI helemaal weg te krijgen. Dus misschien beter nu het nog kan ubuntu nog een keer herinstalleren en dan nu de server versie...

Je kan ook gewoon instellen dat hij reboot wanneer er updates geinstalleerd zijn, maar wel op een geschikt moment. Elke dag rebooten is wat overdreven.

[init6]

Wekelijks security updates via crontab, CVE's bij houden en de security mailing lists voor adhoc ernstige dingen (waarbij reboot nodig is bijv). Eens per kwartaal is het streven om nieuwe OS updates te doen, maar is de laatste tijd eens per half jaar door drukte.

Ik werk alleen in omgevingen met 100+ servers. Dagelijkse reboots zijn onwenselijk en ook totaal niet nodig. Je kan controlleren of je kernel geupdate is en daarna een reboot doen. Heb ergens een script, dacht dat het met /boot/vmlinuz en een check tegen uname -r gedaan kon worden.

Je updates zijn meestal niet het probleem, je machine open zetten naar de wereld toe zeker in het begin dat je linux leert zijn problematisch. Er draaien binnen vele omgevingen machines die 5-10 jaar geen update zien, maar toch nooit gekraakt worden. De reden is dat ze dicht staan van buiten.

[ Voor 21% gewijzigd door init6 op 05-06-2020 14:33 ]

[Hero of Time]

@aojudo, heb je zelf al eens verder gekeken dan de reacties in dit topic? Je stelt namelijk vragen die je zelf kan beantwoorden als je naar de opties van unattended-upgrades gaat kijken. Zie bijvoorbeeld de documentatie van Ubuntu zelf: https://help.ubuntu.com/community/AutomaticSecurityUpdates. Of de wiki van Debian: https://wiki.debian.org/UnattendedUpgrades.

Je hoeft zelf ook echt niet te gaan uitvogelen of je systeem een reboot nodig heeft na een bepaalde update. Dat doet UU ook gewoon voor je als het bestand /var/run/reboot-required bestaat.

[aojudo]

geenwindows schreef op vrijdag 5 juni 2020 @ 12:52:
je kunt ook gewoon Ubuntu server edition installeren en bij de installatie desktop aanvinken, voordeel is dat de server editie stuk minder toeters en bellen mee levert, en minder toeters en bellen betekend ook vaak minder instabiliteit (meestal) zo heeft de server is +desktop interface geen geluidsdriver.
je kan dan evt ook VNC er bij op zetten zodat je alsnog de GUI kan gebruiken op afstand (met 'afstand' bedoel ik; je lokale netwerk)
ik weet niet of "live patch" ook beschikbaar is op de server editie, heb het hier draaien op mijn desktop (staat 24/7 aan)
maar als ik het me goed herinner kan je op ook aangeven dat ie gewoon update en enkel bij cruciale updates je aandacht nodig heeft (o.a. met apt update / apt upgrade etc.)
maar ik ben al een jaartje of 5 weg bij Ubuntu als zijnde server, kennis is hier dan ook een beetje verwaterd..

Oh dat is handig, dat ga ik dan doen. Wat ik begreep uit wat ik gevonden heb is dat je de desktop dan wel volledig uit kan schakelen, dus dat is ideaal voor mij! Ik ga inderdaad uitzoeken dat ik alleen een berichtje krijg als er iets 'bijzonders' aan de hand is.

Anoniem: 316512 schreef op vrijdag 5 juni 2020 @ 14:05:
[...]

Je kan ook gewoon instellen dat hij reboot wanneer er updates geinstalleerd zijn, maar wel op een geschikt moment. Elke dag rebooten is wat overdreven.

Ja misschien is elke dag wat vaak inderdaad Ik dacht dat ik de opties had of na updaten op een willekeurig moment, of op een vast tijdstip. Maar op een handig tijdstip na een update is nog beter.

init6 schreef op vrijdag 5 juni 2020 @ 14:30:
Wekelijks security updates via crontab, CVE's bij houden en de security mailing lists voor adhoc ernstige dingen (waarbij reboot nodig is bijv). Eens per kwartaal is het streven om nieuwe OS updates te doen, maar is de laatste tijd eens per half jaar door drukte.

Ik werk alleen in omgevingen met 100+ servers. Dagelijkse reboots zijn onwenselijk en ook totaal niet nodig. Je kan controlleren of je kernel geupdate is en daarna een reboot doen. Heb ergens een script, dacht dat het met /boot/vmlinuz en een check tegen uname -r gedaan kon worden.

Je updates zijn meestal niet het probleem, je machine open zetten naar de wereld toe zeker in het begin dat je linux leert zijn problematisch. Er draaien binnen vele omgevingen machines die 5-10 jaar geen update zien, maar toch nooit gekraakt worden. De reden is dat ze dicht staan van buiten.

Ik zag dat de LTS versies 5 jaar ondersteund worden, dus voor mij zou nieuw OS om de twee jaar oid prima zijn. Ja ik weet dat er risico's aan vast zitten om hem open te zetten naar de wereld, vandaar dat ik ook google authenticator wil gebruiken bijvoorbeeld. En dat is ook de rede dat ik de updates zo belangrijk vind.

Hero of Time schreef op vrijdag 5 juni 2020 @ 18:47:
@aojudo, heb je zelf al eens verder gekeken dan de reacties in dit topic? Je stelt namelijk vragen die je zelf kan beantwoorden als je naar de opties van unattended-upgrades gaat kijken. Zie bijvoorbeeld de documentatie van Ubuntu zelf: https://help.ubuntu.com/community/AutomaticSecurityUpdates. Of de wiki van Debian: https://wiki.debian.org/UnattendedUpgrades.

Je hoeft zelf ook echt niet te gaan uitvogelen of je systeem een reboot nodig heeft na een bepaalde update. Dat doet UU ook gewoon voor je als het bestand /var/run/reboot-required bestaat.

Jazeker, het is alleen erg lastig zoeken als je niet weet waarnaar je opzoek bent. Daarom vind ik het erg fijn dat iedereen hier mij op de goede weg wijst.

[init6]

aojudo schreef op vrijdag 5 juni 2020 @ 19:02:
[...]


Oh dat is handig, dat ga ik dan doen. Wat ik begreep uit wat ik gevonden heb is dat je de desktop dan wel volledig uit kan schakelen, dus dat is ideaal voor mij! Ik ga inderdaad uitzoeken dat ik alleen een berichtje krijg als er iets 'bijzonders' aan de hand is.


[...]


Ja misschien is elke dag wat vaak inderdaad Ik dacht dat ik de opties had of na updaten op een willekeurig moment, of op een vast tijdstip. Maar op een handig tijdstip na een update is nog beter.


[...]


Ik zag dat de LTS versies 5 jaar ondersteund worden, dus voor mij zou nieuw OS om de twee jaar oid prima zijn. Ja ik weet dat er risico's aan vast zitten om hem open te zetten naar de wereld, vandaar dat ik ook google authenticator wil gebruiken bijvoorbeeld. En dat is ook de rede dat ik de updates zo belangrijk vind.


[...]


Jazeker, het is alleen erg lastig zoeken als je niet weet waarnaar je opzoek bent. Daarom vind ik het erg fijn dat iedereen hier mij op de goede weg wijst.

Ik zou even kijken naar SSH public private keypairs, voor thuis situatie heb je geen google authenticatie nodig. Het is wel leuk op te zetten, maar een keypair geeft je al ongelooflijk veel security vergeleken met wachtwoorden. GitHub heeft meestal goede guide hoe je een keypair genereert.

De enige keer dat ik zelf gepakt ben is op een vrijdag middag een vm aanzetten voor een test welke een standaard wachtwoord had met SSH open naar heel internet en deze vergeten af te sluiten. Dan kom je maandag op kantoor en dan draait dat ding ineens op 100%. Dan leer je en wordt je policy om per default security rules/iptables op al je vms te zetten(10+ jaar geleden) en SSH keypairs verplicht.

Je zou nog even kunnen zoeken naar system hardening kunnen kijken, staan meestal wel goede dingen in zoals: draai je database niet met internet connectie.

[synoniem]

SSH met public key is inderdaad verplichte kost voor elke machine die aan het internet hangt. Daarnaast helpt het ook al als je een firewall gebruikt. Voor een eenvoudige installatie en beheer kun je beginnen met ufw dat een prima basale firewall is.

[aawe mwan]

Ik heb pas 20.04 geinstalleerd en die deed alles op 1 partitie, dus geen /swap meer en geen /boot partitie meer. Een van de weinige dingen waar Unix niet tegen kan is dat de systeemdisk volloopt, dus je zou een scriptje kunnen schrijven om dat te zien aankomen.

Als je automatisch updaten aanzet, downloadt en installeert je systeem de meeste updates zelf, behalve kernelupdates omdat je daar opnieuw voor moet opstarten. Maar daarvoor hebben ze bij Ubuntu LivePatch bedacht: dan kan je systeem kernelupdates installeren terwijl het systeem gewoon doorloopt. Nou ja, dat is de theorie dan; in de praktijk werkt dit alleen voor de belangrijkste security patches, want ze moeten extra werk doen om een kernel aanpassing LivePatch-baar te maken. Gelukkig zitten in de praktijk de meeste security updates voor problemen die via internet bij je binnenkomen op een andere plek dan in de kernel.

Je kunt een lijst opvragen van updates die op jouw systeem geïnstalleerd zouden kunnen worden
(apt list --upgradable) en dat lijstje kan je dan naar jezelf laten mailen elke keer als er wat aan verandert (tooltje: urlwatch), zo doe ik het zelf ook. Voor het uitvoeren van de updates en reboot hoef je niet eens in te loggen; je kunt via SSH een commando naar de computer sturen dat hij dan gewoon uitvoert zonder dat je er zelf bij hoeft te zijn.

Ik ben momenteel heel fanatiek met updaten en zie op versies 16.04 en 18.04 ongeveer een keer per twee weken een update langskomen waarvoor je moet rebooten om hem te activeren. Maar als je dan niet reboot, draait het systeem gewoon door, want dingen als een service te herstarten, dat doet de update gewoon zelf al. Updates in Ubuntu werken snel en goed. In de praktijk is de noodzaak om meteen te herstarten voor een update er eigenlijk alleen als je heel groot op Tweakers leest dat alle Unix systemen kwetsbaar zijn voor een enorme fout in de kernel en dat is dus maar heel heel zelden. Elke dag rebooten moet je zeker niet doen.

Tot slot nog een tip: de software die je nooit gebruikt gewoon meteen na installatie verwijderen, dan heb je ook geen last van beveiligingsproblemen in die software en je hoeft hem nooit te updaten. Toepassingen opnieuw installeren als je het ooit wel nodig hebt, gaat toch heel gemakkelijk en snel.

[ Voor 15% gewijzigd door aawe mwan op 06-06-2020 10:49 ]

[aojudo]

init6 schreef op zaterdag 6 juni 2020 @ 09:36:
[...]


Ik zou even kijken naar SSH public private keypairs, voor thuis situatie heb je geen google authenticatie nodig. Het is wel leuk op te zetten, maar een keypair geeft je al ongelooflijk veel security vergeleken met wachtwoorden. GitHub heeft meestal goede guide hoe je een keypair genereert.

De enige keer dat ik zelf gepakt ben is op een vrijdag middag een vm aanzetten voor een test welke een standaard wachtwoord had met SSH open naar heel internet en deze vergeten af te sluiten. Dan kom je maandag op kantoor en dan draait dat ding ineens op 100%. Dan leer je en wordt je policy om per default security rules/iptables op al je vms te zetten(10+ jaar geleden) en SSH keypairs verplicht.

Je zou nog even kunnen zoeken naar system hardening kunnen kijken, staan meestal wel goede dingen in zoals: draai je database niet met internet connectie.

Ik heb google authenticator al draaien en ik vind het prima werken. Ik gebruik dat om bij openvpn in te loggen en zo via remote desktop op mijn eigen pc te kunnen werken. Dus wel een veilig gevoel de extra beveiliging van authenticator. SSH gebruik ik toch alleen om vanaf mijn windows pc (in hetzelfde netwerk als de server) op de server te kunnen werken, bijvoorbeeld met putty? Dit bedoel ik: https://vitux.com/how-to-...a-ubuntu-server-with-ssh/

synoniem schreef op zaterdag 6 juni 2020 @ 09:52:
SSH met public key is inderdaad verplichte kost voor elke machine die aan het internet hangt. Daarnaast helpt het ook al als je een firewall gebruikt. Voor een eenvoudige installatie en beheer kun je beginnen met ufw dat een prima basale firewall is.

Bedankt voor de tip van UFW, ga ik gebruiken!

aawe mwan schreef op zaterdag 6 juni 2020 @ 10:27:
Ik heb pas 20.04 geinstalleerd en die deed alles op 1 partitie, dus geen /swap meer en geen /boot partitie meer. Een van de weinige dingen waar Unix niet tegen kan is dat de systeemdisk volloopt, dus je zou een scriptje kunnen schrijven om dat te zien aankomen.

Als je automatisch updaten aanzet, downloadt en installeert je systeem de meeste updates zelf, behalve kernelupdates omdat je daar opnieuw voor moet opstarten. Maar daarvoor hebben ze bij Ubuntu LivePatch bedacht: dan kan je systeem kernelupdates installeren terwijl het systeem gewoon doorloopt. Nou ja, dat is de theorie dan; in de praktijk werkt dit alleen voor de belangrijkste security patches, want ze moeten extra werk doen om een kernel aanpassing LivePatch-baar te maken. Gelukkig zitten in de praktijk de meeste security updates voor problemen die via internet bij je binnenkomen op een andere plek dan in de kernel.

Je kunt een lijst opvragen van updates die op jouw systeem geïnstalleerd zouden kunnen worden
(apt list --upgradable) en dat lijstje kan je dan naar jezelf laten mailen elke keer als er wat aan verandert (tooltje: urlwatch), zo doe ik het zelf ook. Voor het uitvoeren van de updates en reboot hoef je niet eens in te loggen; je kunt via SSH een commando naar de computer sturen dat hij dan gewoon uitvoert zonder dat je er zelf bij hoeft te zijn.

Ik ben momenteel heel fanatiek met updaten en zie op versies 16.04 en 18.04 ongeveer een keer per twee weken een update langskomen waarvoor je moet rebooten om hem te activeren. Maar als je dan niet reboot, draait het systeem gewoon door, want dingen als een service te herstarten, dat doet de update gewoon zelf al. Updates in Ubuntu werken snel en goed. In de praktijk is de noodzaak om meteen te herstarten voor een update er eigenlijk alleen als je heel groot op Tweakers leest dat alle Unix systemen kwetsbaar zijn voor een enorme fout in de kernel en dat is dus maar heel heel zelden. Elke dag rebooten moet je zeker niet doen.

Tot slot nog een tip: de software die je nooit gebruikt gewoon meteen na installatie verwijderen, dan heb je ook geen last van beveiligingsproblemen in die software en je hoeft hem nooit te updaten. Toepassingen opnieuw installeren als je het ooit wel nodig hebt, gaat toch heel gemakkelijk en snel.

Dan kan ik hem toch gewoon elke twee weken een keer rebooten? Het lijkt me namelijk wel heel makkelijk als ik daar voor de rest geen omkijken naar heb. En dan laat ik hem inderdaad, zoals jij zegt, een mailtje sturen wanneer er iets verandert aan het update lijstje, zodat ik zie of er nieuwe updates zijn. En ik kan hem ook een mail laten sturen na elke reboot wat er dan geupdate is. Dat hoeft trouwens niet eens eigenlijk, want ik neem aan dat hij alle updates meeneemt bij een reboot.

[aawe mwan]

aojudo schreef op zaterdag 6 juni 2020 @ 14:52:
[...]
En ik kan hem ook een mail laten sturen na elke reboot wat er dan geupdate is. Dat hoeft trouwens niet eens eigenlijk, want ik neem aan dat hij alle updates meeneemt bij een reboot.

Aha, nu snap ik wat het misverstand is. Wat je hierboven schrijft is hoe het werkt bij Windows. Maar in Ubuntu worden de updates normaal gesproken geïnstalleerd bij het updaten en is een reboot alleen een reboot.

[aojudo]

aawe mwan schreef op zaterdag 6 juni 2020 @ 15:29:
[...]


Aha, nu snap ik wat het misverstand is. Wat je hierboven schrijft is hoe het werkt bij Windows. Maar in Ubuntu worden de updates normaal gesproken geïnstalleerd bij het updaten en is een reboot alleen een reboot.

Dat verklaard een hele hoop! Maar aangezien het wel voor de kernel updates nodig is zal ik hem soms laten rebooten.

[MainframeX]

Unattended upgrades staan volgens mij standaard aan onder Ubuntu voor security updates. Dat is in ieder geval voor Ubuntu server het geval. Voor de kernel zou je nog Livepatch kunnen installeren/instellen. Dan kan je zonder te rebooten de kernel voorzien van de laatste security patches en het is gratis tot 1 systeem.

Op deze manier kan je het systeem onaangeroerd in je meterkast laten draaien tot het OS zelf uit support loopt.

[aojudo]

MainframeX schreef op zaterdag 20 juni 2020 @ 00:13:
Unattended upgrades staan volgens mij standaard aan onder Ubuntu voor security updates. Dat is in ieder geval voor Ubuntu server het geval. Voor de kernel zou je nog Livepatch kunnen installeren/instellen. Dan kan je zonder te rebooten de kernel voorzien van de laatste security patches en het is gratis tot 1 systeem.

Op deze manier kan je het systeem onaangeroerd in je meterkast laten draaien tot het OS zelf uit support loopt.

Simpelste antwoord tot nu toe Bedankt!

[Room42]

MainframeX schreef op zaterdag 20 juni 2020 @ 00:13:
[...] en het is gratis tot 1 systeem.

Drie machines zelfs https://ubuntu.com/livepatch

[MainframeX]

Room42 schreef op zaterdag 20 juni 2020 @ 00:26:
[...]

Drie machines zelfs https://ubuntu.com/livepatch

Ah mooi! Zo gelijk maar even op een m'n vpsje erbij prutsen!

[Room42]

MainframeX schreef op zaterdag 20 juni 2020 @ 00:30:
[...]


Ah mooi! Zo gelijk maar even op een m'n vpsje erbij prutsen!

offtopic:
Je kunt toch gewoon een extra account maken als je meer machines nodig hebt? Zakelijk zou ik netjes betalen maar privé zou ik me er geen zorgen over maken.

[MainframeX]

Room42 schreef op zaterdag 20 juni 2020 @ 00:31:
[...]

offtopic:
Je kunt toch gewoon een extra account maken als je meer machines nodig hebt? Zakelijk zou ik netjes betalen maar privé zou ik me er geen zorgen over maken.

Dat kan zeker, maar gewoon nooit bij stil gestaan. Wat me aanvankelijk ook tegenhield is de afhankelijkheid van de snap daemon. Maargoed, we zijn ruim 2 jaar verder en uiteindelijk werkt dat ook wel prima.

[FreshMaker]

aojudo schreef op zondag 7 juni 2020 @ 00:29:
[...]


Dat verklaard een hele hoop! Maar aangezien het wel voor de kernel updates nodig is zal ik hem soms laten rebooten.

Van één amateur-beheerder naar de ander
Leer je wensen via de commandline te doen.

Mijn fileserver, annex downloader en remote toegangaanbieder draait op de ubuntu 19.10 ( nog wel )
Vrijwel alles handel ik via SSH af, met Putty en zoekresultaten is het een kwestie van kopiëren en plakken.
Het eerste wat ik daarna installeer is Webmin



Webmin geeft me via een webpagina alle informatie en instellingen verder die ik zoek
Updates gaan hier, en eventuele reboots kan je ook hier starten / automatiseren.

Een desktop is leuk, maar voor een server in de meterkast niet echt noodzakelijk ( onhandig, of je moet in diezelfde meterkast ook een monitor hebben )

[Room42]

Voor Ubuntu-updates heb ik dit script. Dat geeft direct ook aan of je moet herstarten of niet.

/sbin/apt-upgrade

Bash:

#!/bin/bash

# Updates apt repositories, installs upgrades, removes left overs and cleans the deb cache.

# Check if run as root
if [ "$EUID" -ne 0 ]
  then echo "Please run as root"
  exit
fi

echo -e "\n\n=== UPDATING REPOSITORIES (update) ==="; \
apt update && \
echo -e "\n\n=== LISTING AVAILABLE UPDATES (upgradable) ==="; \
apt list --upgradable ; sleep 3 && \
echo -e "\n\n=== INSTALLING UPDATES (upgrade) ==="; \
apt upgrade -y && \
echo -e "\n\n=== REMOVING NO LONGER NEEDED PACKAGES (autoremove) ==="; \
apt autoremove -y && \
echo -e "\n\n=== CLEANING UP OLD DEBS (autoclean) ==="; \
apt autoclean

echo -e "\n\n=== CHECK IF REBOOT IS REQUIRED ===";
if [ -f /var/run/reboot-required ]
then
  echo -e "[*** Reboot is required ***]\n\n"
else
  echo -e "Reboot not required\n\n"
fi

Om het mezelf makkelijk te maken heb ik ook ingesteld dat ik dit zonder password uit kan voeren:

/etc/sudoers.d/run-apt-update

code:

# Allows the sudo group to run apt-update without password entry
%sudo   ALL=NOPASSWD: /sbin/apt-upgrade

Op m'n desktop draai ik momenteel geen LTS, dus livepatch is geen optie en dus is rebooten nog een ding.

[ Voor 4% gewijzigd door Room42 op 20-06-2020 12:05 ]

[aojudo]

Nog een vraagje over de firewall: is het nodig om een firewall op de server te zetten? Hij zit achter de firewall van de router neem ik aan dus wat dat betreft misschien niet nodig? Aan de andere kant is hij wel via port forwarding opengezet naar het internet.

[ThinkPad]

Room42 schreef op zaterdag 20 juni 2020 @ 12:01:
Voor Ubuntu-updates heb ik dit script. Dat geeft direct ook aan of je moet herstarten of niet.

[...]

De ingebouwde unattended-upgrades doet in principe hetzelfde toch, maar dan geautomatiseerd

[Room42]

ThinkPadd schreef op donderdag 25 juni 2020 @ 08:41:
[...]

De ingebouwde unattended-upgrades doet in principe hetzelfde toch, maar dan geautomatiseerd

Twee dingetjes:
- Die doet toch alleen de security-updates?
- Zo kan ik een beetje zien wat (en wanneer) er precies gebeurt op mijn systeem.

[ThinkPad]

Room42 schreef op donderdag 25 juni 2020 @ 10:07:
[...]

Twee dingetjes:
- Die doet toch alleen de security-updates?
- Zo kan ik een beetje zien wat (en wanneer) er precies gebeurt op mijn systeem.

Dat eerste kun je aanpassen (ook blacklisten welke packages hij niet mag bijwerken bijv.) en voor dat tweede kun je mailnotificatie instellen in de config van unattended-upgrades

https://askubuntu.com/que...osed-and-backports-in-etc

Uitleg hoe je de hele riedel instelt https://gist.github.com/dwilkie/41ae0c7acc48186e6058

[ Voor 30% gewijzigd door ThinkPad op 25-06-2020 10:34 ]

[Room42]

ThinkPadd schreef op donderdag 25 juni 2020 @ 10:31:
[...]

Dat eerste kun je aanpassen (ook blacklisten welke packages hij niet mag bijwerken bijv.) en voor dat tweede kun je mailnotificatie instellen in de config van unattended-upgrades

Jaja. Nou, dit script werkt dan dus prima!