Atualizando um servidor linux severamente desatualizado

Question

Eu tenho um antigo servidor dedicado executando uma versão desatualizada do Fedora Core. Como resultado da idade da distribuição, seus repositórios não são mais mantidos, então o software no servidor está ficando desatualizado e eu gostaria de atualizar as coisas para evitar riscos de segurança.

Como esse é o único servidor de um pequeno site de comércio eletrônico voltado para o público, estou tentando minimizar o tempo de inatividade - uma ou duas horas posso tolerar isso durante um período de acesso baixo, mas não tenho acesso ao hardware a máquina, portanto, limpá-la e instalar uma nova distro provavelmente resultaria em um tempo de inatividade prolongado durante um horário de pico enquanto as pessoas que não recebem ajuda de emergência estão dentro.

Quais são as minhas opções aqui para atualizá-lo?

Coisas que eu já vi até agora:

1. Atualização de distro no local apontando o yum para servidores mais novos.
2. Configure um VPS de curto prazo e coloque o site on-line lá como um host temporário enquanto o servidor principal está inativo, usando o DNS com um TTL curto para passar de um servidor para o outro.

A primeira opção parece confusa e como se fosse uma falha esperando para acontecer. Eu gosto do som da segunda opção em que parece ser uma maneira limpa de fazê-lo, mais isso significa que posso abandonar o Fedora e ir para o CentOS. No entanto, será muito trabalhoso limpar o código do site para torná-lo portátil. Isso precisa ser feito de qualquer maneira e será minha solução de longo prazo, mas levará tempo, durante o qual o servidor principal estará vulnerável. Existe alguma coisa que eu possa fazer no curto prazo para mitigar a ameaça ao servidor até que eu tenha tempo para organizar uma transição adequada?

    

Answer 1

Primeiro de tudo, acho que você precisa acessar as ameaças de segurança em sua instalação linux atual. aqui , talvez não seja tão ruim quanto você pensa, mas até que você tenha auditado sua configuração, é difícil avaliar. O problema com o fedora é que é muito sangrento. Uma mudança para o centOS a longo prazo é uma boa ideia. Eu sugiro configurar uma VM em algum lugar com um centOS instalar e tentar o seu site e ver exatamente o que quebra. É bem possível que não seja tão ruim quanto você imagina (ok, eu pareço estar dizendo que muito nesta resposta ..). Se você conseguir que este site funcione, mude o DNS para apontar para o novo site do CentOS e, em seguida, substitua o servidor que espelha a configuração.

    

Answer 2

Plano aproximado

1. Faça o backup do site primeiro!

2. Altere seu DNS para TTL curto.

3. Crie o novo site no novo servidor com algo como www2.example.com

4. TESTE BEM para ter certeza de que você está pronto para a mudança.

5. Altere seu DNS para o novo site.

6. Mantenha o site antigo por um tempo ... apenas para ser 100% seguro.

Observação: quando digo "novo site" e "novo servidor", o que realmente quero dizer é uma instância isolada separada da principal. Máquina virtual, máquina diferente, distro diferente, o que funciona para você. A ideia é criar seu novo site, atualizá-lo, corrigi-lo, protegê-lo e depois alterná-lo. Eu não sou um grande fã de manter "inseguro / peso morto" na rede.

    

Answer 3

Dos dois eu recomendaria a segunda opção, ou uma mistura dos dois: use o VPS para manter e executar o site enquanto você atualiza a máquina principal.

Atualizar uma distro antiga pode significar a atualização em algumas versões (como uma atualização direta entre essa versão e a mais recente pode não ser uma operação suportada), bem como a vantagem de deixar você com um sistema limpo e agradável para iniciar novamente, a reconstrução a partir do zero com a versão atualizada da distribuição pode, na verdade, ser mais rápida e fácil do que a opção de atualização.

Qualquer que seja o caminho, certifique-se de fazer um backup completo da máquina original, mesmo que ache que tudo foi transferido para o VPS, caso você tenha perdido alguma configuração / script / dados que você não percebe agora, mas descobrirá que precisa daqui a algumas semanas e deseja ter mantido uma segunda cópia.

Além de usar um TTL curto para configurações DNS, também recomendo rodar forwarders (o rinetd serve para a maioria dos protocolos TCP, como HTTP (S), que pode ser tudo que você precisa, você precisa de algo mais inteligente O arranjo de NAT ou VPN para lidar com outros tipos de tráfego também) forma a máquina antiga para o VPS por um tempo para cobrir o tempo de propagação do DNS, e o mesmo no VPS ao voltar para o servidor principal. Isso significa que, mesmo que existam ISPs com caches DNS mal configurados que não respeitem TTLs curtos (e há em minha experiência), você ainda não perderá esses visitantes. Isso significa deixar as duas máquinas trabalhando lado a lado por mais tempo (sugiro pelo menos um dia extra para os dois switches), mas vale a pena se o site ganhar dinheiro.

    

Answer 4

Acho que o melhor que você pode fazer aqui é um certo endurecimento básico do servidor até que você possa provisionar um substituto. Desative todos os serviços acessíveis de rede que não são necessários para o seu aplicativo, supondo que você esteja usando os módulos de desativação do apache que você não está usando e talvez passe por um documento como o Guia de Segurança do CIS. Você diz que é um site de carrinho de compras, que provavelmente implica que apache / mod_ssl são os únicos serviços acessíveis de rede (e ssh, mas isso pode ser restrito para ser permitido somente de onde você estiver fazendo o gerenciamento). Eu daria uma olhada nas vulnerabilidades de segurança publicadas para o apache e no openssl a partir do momento em que elas foram atualizadas pela última vez, eliminando as que não se aplicam à sua configuração e tentando atenuar as que o fazem. Isso deixa o seu software de carrinho de compras como uma fonte de problemas, o ideal é que suas dependências não sejam terrivelmente específicas do sistema operacional, portanto você poderá atualizá-lo independentemente de mover tudo para um sistema operacional mais suportável.

Nada disso é uma garantia de que você não vai aparecer, ou que você ainda não teve problemas que você ainda não conhece, mas é provavelmente o melhor que você pode fazer com as ferramentas que você tem .