Manter o Samba em centenas de caixas do Ubuntu com várias versões

Question

Esta é uma pergunta difícil, e espero que eu a descreva corretamente. Nós utilizamos o Ubuntu como sistema operacional para um dispositivo de rede proprietário em várias redes. Existem centenas deles na existência agora. Eles são cerca de 50/50 no Hardy LTS ou Lucid LTS. Todos executam o Samba, que é onde nossa história realmente começa ...

O Samba teve muitas correções de bugs críticas lançadas nos últimos anos e agora estão na versão 3.6.0. O banco de dados de pacotes do Lucid só vai até 3.4.7, que possui várias vulnerabilidades principais que foram corrigidas nas versões 3.5.x.

Qual é a melhor maneira de manter a versão do Samba nessas unidades no campo? Eu quero evitar ter que substituí-los, o que pode ser caro; Eu quero tentar evitar a execução de upgrades de linha de comando para a distro (ou seja, de Hardy para Lucid), uma vez que não temos acesso físico a todas as unidades e as atualizações seriam feitas remotamente.

Nós temos um servidor para rodar um repositório de pacotes personalizado do Ubuntu, mas eu tenho medo que ele quebre Hardy. Pensamentos sobre uma prática recomendada para isso? Passo 1, venha com um plano de longo prazo para manter a distro nos lançamentos mais recentes do LTS, mas depois disso, como vamos obter a versão mais recente dos lançamentos LTS quando o LTS não o tiver ...

    

Answer 1

A política normal de várias distribuições orientadas ao servidor é manter o número da versão e backport atualizações importantes para essa versão. Atualizações importantes sendo definidas como correções de segurança / estabilidade. O ponto principal do "suporte de longo prazo" é fornecer aos usuários duas coisas:

1. Estabilidade de recursos. O máximo e o mais recente é maravilhoso, a menos que você tenha que alterar a configuração de todas as suas máquinas de produção agora, porque a nova versão se comporta de maneira diferente / mudou o formato de configuração / entrada / saída.
2. Estabilidade e segurança. Como os usuários não podem atualizar para a versão mais recente do pacote (consulte 1.), os mantenedores da distribuição backport alterações importantes na versão suportada. O esforço necessário para este backporting é uma das principais razões, que apenas algumas versões de algumas distribuições estão sendo mantidas por longos períodos de tempo.

Portanto, eu acho que seu problema é reduzido para atualizar suas caixas para o que há de mais recente na distribuição, desde que as duas estejam sendo mantidas. Você também pode verificar as notas de lançamento dos pacotes, que os bugs de segurança foram corrigidos nas versões atualizadas. Eles devem ser, mas é bom ter provas por escrito.

Se alguma distribuição que você usa já está fora de suporte, você volta para o quadrado 1. Nesse caso, a opção mais segura, na minha opinião, no geral, seria atualizar as caixas para uma distribuição suportada. Doloroso e caro, eu sei, mas segurança e estabilidade são o que os clientes pagam. Até mesmo clientes internos. Se você não obtiver recursos para a atualização necessária, eu obteria isso por escrito (ou seja, e-mail) do seu gerente e backup, e arquivaria várias cópias dele no momento em que uma das máquinas travasse / fosse hackeada devido à falta da atualização. Política de autopreservação prudente.

É claro, você pode criar pacotes personalizados (possivelmente com dependências) e enviá-los ao campo para atualizações, mas você deve:

1. Mantenha-se atualizado com as correções de erros.
2. Compile e empacote o software atualizado.
3. Verifique se é estável, não se comporta de maneira diferente da versão anterior e geralmente não quebra nada em seu sistema.
4. Verifique se o procedimento de atualização em si funciona.
5. Distribuir para o campo.
6. Ir para 1.

Isso é possível, mas requer muito tempo e esforço, praticamente desafia o uso de uma distribuição LTS. Outra coisa: o Samba não é o único problema em potencial. E quanto ao kernel / glibc / outros pacotes essenciais?

No entanto, você precisa de alguma infraestrutura para atualizar as caixas. O mais fácil (mas nem sempre viável, eu sei) seria usar aquele criado pelos mantenedores da distribuição.