حافظ على تشغيل تحديثات الأمان الخاصة بنظام Debian 12 على خادم بدون واجهة رسومية

لخادم Debian 12 بدون واجهة رسومية، ثبّت أداة unattended-upgradesAPT، وفعّل تحديث قائمة الحزم اليومي وإعدادات الترقية التلقائية، مع الإبقاء على قائمة السماح الافتراضية لمصادر الأمان. ثم تحقق من مؤقتات systemd وسجلاته عبر SSH. هذا يُؤتمت تحديثات الحزم المؤهلة، ولكنه لا يُجري ترقية رئيسية لإصدار Debian ولا يضمن عدم حاجة أي تطبيق إلى تحديث لاحق.

1. قم بتثبيت برنامج التحديث وتأكيد الإصدار

قم بتسجيل الدخول باستخدام حساب يمكنه استخدام هذه الميزة sudo. تحقق من إصدار الخادم وقم بتحديث فهرس الحزم الخاص به قبل التثبيت.

cat /etc/debian_version
sudo apt update
sudo apt install unattended-upgrades

تستهدف هذه العملية نظام Debian 12 (Bookworm) باستخدام مستودعات APT المعتادة. راجع خطة الحزمة قبل قبولها. إذا أبلغ APT عن أخطاء في المستودع أو نظام أسماء النطاقات (DNS) أو مساحة القرص أو التبعيات، فقم بحل هذه الأخطاء أولاً؛ إذ لا يمكن للعملية غير المراقبة إصلاح مصدر حزمة تالف أو نظام ملفات غير سليم.

٢. قم بتفعيل التحديث اليومي وتحديثات الأمان

قم بتعيين خيارات التحديث الدوري لـ APT في ملف محلي مخصص. يتيح ذلك تحديث قائمة الحزم يوميًا وتشغيل الترقية التلقائية.

sudo nano /etc/apt/apt.conf.d/20auto-upgrades

أدخل واحفظ هذين السطرين:

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

في محرر Nano، اضغط على Ctrl+Oمفتاح Enter، ثم اضغط على مفتاح Ctrl+Xالإدخال. القيمة 1تعني "يوميًا". unattended-upgradesيتحكم تكوين حزم APT في مصادر الأرشيف المسموح بتثبيتها. في إعداد Debian 12 القياسي، اتركه /etc/apt/apt.conf.d/50unattended-upgradesدون تغيير في البداية؛ فقائمة السماح الافتراضية مخصصة لاختيار تحديثات أمان Debian والتحديثات المُكوّنة ذات الصلة. لا تُضف مستودعات خارجية أو برنامج Bookworm بالكامل لمجرد إظهار حالة النظام بشكل أكثر ازدحامًا. إذا قمتَ بتوسيع قائمة السماح عمدًا، فراجع المصادر المحددة، واختبرها، وراقب الخدمة كما تفعل مع أي تغيير آخر في بيئة الإنتاج.

3. اجعل إعادة التشغيل التلقائي تحت سيطرة المسؤول

بالنسبة للخادم المُدار عن بُعد، تحقق من سياسة إعادة التشغيل في 50unattended-upgrades:

grep -n 'Automatic-Reboot' /etc/apt/apt.conf.d/50unattended-upgrades

لا تُفعّل إعادة التشغيل التلقائي إلا إذا كنت قد خططت لانقطاع الخدمة، وتحققت من استعادة التطبيقات، ولديك مسار استعادة موثوق خارج النطاق أو عبر وحدة التحكم. قد تُثبّت تحديثات أمان دبيان نواة أو مكتبات جديدة تتطلب إعادة تشغيل لتفعيلها، لكن التحديثات غير المُراقبة لا تُغني عن سياسة إعادة التشغيل أو خطة الدعم الفني عند الحاجة. مع تعطيل إعادة التشغيل التلقائي، حدّد فترة صيانة دورية وتحقق مما إذا كانت إعادة التشغيل مطلوبة بعد التحديثات.

4. اختبر الإعدادات قبل الاعتماد عليها

قم بتشغيل محاكاة من خلال SSH. --dry-runلا يقوم هذا الخيار بتثبيت الحزم، بينما --debugيوفر مزيدًا من التفاصيل في سجل التحديثات التلقائية.

sudo unattended-upgrade --dry-run --debug

اقرأ مخرجات الأمر لمعرفة المصادر المسموح بها وإجراءات الحزم المقترحة. قد تكون رسالة "لا توجد حزم للتحديث" نتيجةً طبيعيةً عندما لا يكون هناك أي حزم مؤهلة معلقة؛ لكنها لا تُثبت أن المؤقت سيعمل لاحقًا. إذا كانت المصادر المسموح بها فارغةً أو كانت هناك حزم مرشحة مفقودة بشكل غير متوقع، فتحقق من مصادر وأنماط APT الخاصة بالإصدار 50unattended-upgradesقبل تغييرها. يُوثّق دليل Bookworm هذا الأمر على أنه محاكاة، وليس تثبيتًا.

5. تحقق من المؤقتات والخدمة والسجلات

يستخدم برنامج APT وحدات مؤقت systemd في عمله اليومي. تحقق من كلا المؤقتين وخدمة الترقية.

systemctl status apt-daily.timer apt-daily-upgrade.timer
systemctl list-timers 'apt-daily*'
systemctl status apt-daily-upgrade.service

يجب تحميل المؤقتات وتفعيلها، ويجب أن تعرض القائمة موعد تشغيلها التالي. إذا كانت المؤقتات مثبتة ولكنها غير نشطة، فقم بتشغيلها وتفعيلها لعمليات التشغيل اللاحقة.

sudo systemctl enable --now apt-daily.timer apt-daily-upgrade.timer

قد تكون الخدمة غير نشطة بين عمليات التشغيل المجدولة لأنها مهمة تُنفذ لمرة واحدة؛ لذا تحقق من آخر نتيجة لها بدلاً من توقع استمرار تشغيلها. بعد انتهاء فترة التشغيل المجدولة، راجع سجل الحزمة وسجل نظام التشغيل (systemd journal).

sudo tail -n 50 /var/log/unattended-upgrades/unattended-upgrades.log
sudo tail -n 50 /var/log/unattended-upgrades/unattended-upgrades-dpkg.log
sudo journalctl -u apt-daily-upgrade.service --since "7 days ago"

ابحث عن عملية تشغيل مكتملة، والمصادر المسموح بها، وما إذا كانت الحزم قد تم تثبيتها أم لا. تحقق من حالات فشل التنزيل المتكررة، والحزم المحتجزة، أو أخطاء dpkg. يسرد الدليل مسارات السجلات هذه ويشرح أن خدمة systemd تُشغّل الواجهة الخلفية للترقية التلقائية.

ما يمكن لهذا الإعداد تأكيده وما لا يمكنه تأكيده

يعني التكوين السليم أن المؤقتات مُفعّلة، وإعدادات APT الدورية مُفعّلة، والسجلات تُظهر عمليات تشغيل ناجحة دون تدخل بشري. لكن هذا لا يُثبت تحديث جميع الحزم في جميع المستودعات، أو تفعيل إصلاح يعتمد على إعادة التشغيل، أو استمرار عمل الخدمة بشكل سليم بعد تغيير الحزمة. تبقى عملية ترقية إصدارات دبيان عملية مُخططة بشكل منفصل؛ أما التحديثات التلقائية فهي لتحديثات الحزم ضمن المصادر المُكوّنة. بالنسبة للخوادم الحيوية، أضف نظام مراقبة لعمليات التشغيل الفاشلة، واحتفظ بنسخ احتياطية، واختبر التغييرات في بيئة تمثيلية، وحدد فترة إعادة تشغيل تخضع للمراجعة البشرية.

تتبع هذه الخطوات دليل الترقية التلقائية لـ Debian Bookworm ، وإرشادات التحديثات الدورية لـ Debian ، ودليل systemd.timer الخاص بـ Bookworm . يُحدد دليل Bookworm إصدار حزمة Debian على أنه 2.9.1+nmu3؛ وقد تتغير إصدارات الحزم مع تحديثات Debian.