[linux kernel update] remote server, updaten of niet?

[Verwijderd]

Beste mensen,

Dit is eigenlijk geen probleem-topic, maar een 'wat zou jij doen'-topic. Ik zit namelijk met een Linux-server op afstand (ik zit in Utrecht, de server in Enschede) die Fedora Core 1 draait (niet de ideale server-distro, maar dat is even buiten de discussie).
Eens in de zoveel tijd krijg ik natuurlijk via Fedora en apt de notificatie dat er een nieuwe kernel klaar staat om te installeren.
De vraag is nu: zou jij een kernel installeren en als default instellen voor een remote server en 'm 's nachts als het rustig is rebooten?

Risico van wél doen: machine komt niet meer up en ik (of een collega ) moet naar Enschede toe om grub te vertellen dat hij niet de nieuwe default-kernel moet booten, maar een oudere die wel werkt.
Risico van niet doen: kernel (en hele machine) is niet up to date en mogelijke security vulerabilities zijn aanwezig.

Het systeem is dus een productieserver, maar kan 's nachts best even een minuut of vijf down zijn... Wat zou jij doen?

[ Voor 4% gewijzigd door Verwijderd op 28-06-2004 23:14 . Reden: paar typo's ]

[Spider.007]

Als het goed draait en er geen kritieke patches zijn is er geen enkele reden om de kernel te upgraden. Daarnaast is het volgens mij technisch mogelijk om grub na 1 foute poging automatisch weer de andere kernel te laten laden

[Verwijderd]

Spider.007 schreef op 28 juni 2004 @ 23:16:
Als het goed draait en er geen kritieke patches zijn is er geen enkele reden om de kernel te upgraden. Daarnaast is het volgens mij technisch mogelijk om grub na 1 foute poging automatisch weer de andere kernel te laten laden

Dat is interessant! Daar heb ik nog nooit over nagedacht... Iemand die hier ervaring mee heeft/weet hoe dit te doen?

[Jimbolino]

niet doen, als er geen remote exploits op mogelijk zijn, dan gewoon afblijven

het risico is klein dat het fout gaat, zeker omdat fedora alles 1000x test voordat ze het releasen, maar dan nog zou ik het risico niet nemen...

Als het een server van een shell provider is, dus waar mensen op inloggen via ssh, dan moet je wel updaten, maar dat lijkt me hier niet het geval...

[Verwijderd]

Jimbolino schreef op 28 juni 2004 @ 23:17:
...
Als het een server van een shell provider is, dus waar mensen op inloggen via ssh, dan moet je wel updaten, maar dat lijkt me hier niet het geval...

Nee, mensen doen alleen FTP en MySQL voor hun website (het is een webserver met groeiend aantal accounts)

[Skaah]

En PHP zeker? Want daar kun je ook shell mee doen. (exec())

[Spider.007]

Errm.. is het echt nuttig om nu alle mogelijk applicaties af te lopen die mogelijk door een bug in de kernel ge-exploit kunnen worden? Dat is gewoon een beslissing die de TS zelf moet maken adhv informatie die hij zelf het makkelijkste kan verzamelen lijkt me?

[Verwijderd]

Skaah schreef op 28 juni 2004 @ 23:22:
En PHP zeker? Want daar kun je ook shell mee doen. (exec())

in php.ini:

code:

safe_mode on

En nog wat functies die uitgeschakeld zijn (zoals dus inderdaad exec())

[Seth4Chaos]

Verwijderd schreef op 28 juni 2004 @ 23:17:
[...]


Dat is interessant! Daar heb ik nog nooit over nagedacht... Iemand die hier ervaring mee heeft/weet hoe dit te doen?

code:

default 0
fallback 1

met default zet je welke die default moet booten en dan met "fallback" welke die moet booten als die de default niet kan booten.
Ik heb dit nooit getest eigenlijk maar ik denk dat dit alleen werkt als die de default niet kan vinden ofzo, niet als het halverwegen het bootproces fout loop (wat overigens meestal op een kernel panic uitloopt en je een handmatige reset moet geven)

[bolluserectus]

Als serieuze systeembeheerder ga je gewoon onsite voor de upgrade.
Gaat er dan iets mis, ben je lokaal..
Voordeel is ook dat je dan je downtime kan plannen.

Het is trouwens wel een ontzettende kick om na wat tijd weer een ping-reply te zien mocht je toch besluiten om het remote te doen.