Levetid og release-opgraderinger

Modul 4: Software og opdateringer · Læsetid: 11 minutter

Læringsmål: Efter denne lektion kan du slå levetiden for din distribution op, du ved, hvad "end of life" betyder for din server, og du kan planlægge og gennemføre en release-opgradering sikkert.

Centrale begreber: release, LTS, standardsupport, Debian LTS, Ubuntu ESM og Ubuntu Pro, end of life (EOL), /etc/os-release, do-release-upgrade, minimal og fuld opgradering, pakkekilder fra tredjeparter, snapshot, curl | bash

Hver release har en sidste salgsdato

Automatiske opdateringer (lektion 4.2) virker kun, så længe din distribution stadig laver opdateringer til din version. Hver release af Debian og Ubuntu får sikkerhedsopdateringer i en fast periode. Derefter stopper det: din server får ikke flere rettelser, heller ikke til alvorlige sårbarheder. Det kaldes end of life (EOL).

Sådan ser du, hvilken version du har:

anna@web1:~$ cat /etc/os-release
PRETTY_NAME="Debian GNU/Linux 13 (trixie)"
NAME="Debian GNU/Linux"
VERSION_ID="13"
VERSION="13 (trixie)"
VERSION_CODENAME=trixie
...

På Ubuntu står der for eksempel VERSION="24.04.3 LTS (Noble Numbat)".

Debian

Debian understøtter en release fuldt ud i cirka tre år. Derefter overtager Debian LTS-teamet i yderligere to år, med sikkerhedsopdateringer til de mest brugte pakker. For de nuværende releases (status november 2026, tjek på debian.org/releases):

Debian 12 får altså stadig opdateringer via LTS, men er i sin sidste fase. En ny server installerer du med Debian 13.

Ubuntu

Ubuntu udgiver hvert andet år i april en LTS-release (Long Term Support) med fem års standard sikkerhedsvedligeholdelse. Med et Ubuntu Pro-abonnement (gratis til personligt brug på nogle få maskiner) får du også ESM (Expanded Security Maintenance), op til ti år i alt.

Mellem LTS-releaserne kommer der mellemversioner (som 25.10) med kun ni måneders support. De er ikke beregnet til en server, der skal køre i årevis. Vælg altid en LTS til en server.

Hvad EOL betyder for dig

En server på en release, der ikke længere får opdateringer, kører bare videre. Det er netop det lumske: du mærker intet, indtil nogen udnytter en sårbarhed, der er lukket alle andre steder end hos dig. Derudover:

• ny software (en ny PHP-version, en ny Docker-release) bliver ikke længere bygget til din release;
• pakkekilder fra tredjeparter stopper også, ofte tidligere;
• jo længere du venter, jo større bliver springet. Debian understøtter ikke, at du springer en release over: fra 11 til 13 skal gå via 12.

Skriv derfor EOL-datoen for din server i din kalender, med en påmindelse et halvt år før.

To veje: opgrader eller byg forfra

Der er to ordentlige veje til en ny release.

1. In-place-opgradering: du opdaterer den eksisterende server til den nye release. Hurtigt, alt bliver stående, men gamle rester og egne tilpasninger følger med.
2. Byg forfra: du laver en ny server med den nye release, sætter dine tjenester op igen (nemt med noterne fra lektion 10.4 eller med Docker Compose, modul 9), flytter dataene over fra din backup og skifter DNS (lektion 7.1). Mere arbejde, men rent, og det er samtidig en test af din backup.

Til en lille server med nogle få tjenester er en in-place-opgradering fint. Kører der meget specialtilpasset, eller er serveren allerede opgraderet et par gange, så overvej at bygge forfra.

Forbered en in-place-opgradering

Sørg for disse fem ting, før du går i gang:

1. Et snapshot i din udbyders panel, lige før du begynder, og en nylig backup uden for serveren (modul 8). Et snapshot er din hurtige vej tilbage, hvis opgraderingen går galt halvvejs.
2. En ekstra indgang: din udbyders konsol. Du arbejder via SSH, og hvis netværksindstillingerne eller SSH-serveren ændrer sig under opgraderingen, vil du kunne fortsætte via konsollen. Debians release notes siger det direkte: sørg på forhånd for en anden måde at logge ind på.
3. Læs release notes, især kapitlet "Issues to be aware of". For Debian 13 står der for eksempel: /tmp ligger nu som standard i hukommelsen, /etc/sysctl.conf bliver ikke længere læst (brug /etc/sysctl.d/), og /boot skal være stor nok.
4. Gå kilder fra tredjeparter igennem. Pakker, der ikke kommer fra Debian eller Ubuntu selv, kan give konflikter under opgraderingen. Se, hvilke kilder du har (ls /etc/apt/sources.list.d/), og om udvikleren allerede har en version til den nye release.
5. En session, der overlever en afbrudt forbindelse. Start opgraderingen i tmux eller screen. Falder dit internet ud, kører opgraderingen videre, og du samler den op igen med tmux attach.

Debian: trinene

Fra release notes for Debian 13, til en opgradering fra 12 til 13:

root@web1:~# apt update && apt full-upgrade          # opdater først den nuværende release helt
root@web1:~# sed -i 's/bookworm/trixie/g' /etc/apt/sources.list.d/debian.sources
root@web1:~# apt update
root@web1:~# apt upgrade --without-new-pkgs          # minimal opgradering
root@web1:~# apt full-upgrade                        # fuld opgradering
root@web1:~# reboot

Bruger du stadig /etc/apt/sources.list, så retter du kodenavnet der. Kilder fra tredjeparter slår du midlertidigt fra under opgraderingen (omdøb til .disabled) og slår dem til igen bagefter med kodenavnet for den nye release, hvis udvikleren har det.

Hold øje med spørgsmålene om konfigurationsfiler under opgraderingen. Har du selv tilpasset en fil, som sshd_config, spørger dpkg, om du vil beholde din version. Behold din egen version, hvis du ved, hvorfor du har ændret den, og sammenlign bagefter med den nye version (.dpkg-dist).

Efter genstarten:

anna@web1:~$ cat /etc/os-release | grep VERSION=
VERSION="13 (trixie)"
anna@web1:~$ systemctl --failed
anna@web1:~$ sudo apt autoremove

systemctl --failed (lektion 6.1) skal være tom. Tjek også, at dine websites og containere virker, og at din overvågning (lektion 8.3) er grøn.

Ubuntu: do-release-upgrade

Ubuntu har sit eget program til det:

anna@web1:~$ sudo apt update && sudo apt full-upgrade
anna@web1:~$ sudo do-release-upgrade

To ting, du skal vide. For det første tilbyder Ubuntu først en opgradering fra én LTS til den næste efter den første punktrelease (for eksempel 26.04.1, et par måneder efter april). Det er bevidst: i de første måneder bliver de største problemer løst. For det andet: kører du opgraderingen via SSH, melder do-release-upgrade, at den for en sikkerheds skyld starter en ekstra SSH-server på en reserveport. Den port skal så have lov at passere din firewall (lektion 5.2), hvis du får brug for den; som regel har du ikke brug for den, fordi du har konsollen.

Den store faldgrube: software uden for distributionen

Opgraderinger går næsten altid galt på software, der ikke kommer fra distributionen. Tre vaner gør forskellen:

• Ingen curl https://... | bash. Et script fra internettet, som du kører direkte som root, kan ændre hvad som helst på din server: tilføje kilder, stole på nøgler for alle kilder, overskrive filer. Du ved ikke, hvad der skete, og ved næste opgradering går det i stykker. Download sådan et script, læs det, og udfør hellere trinene selv.
• En ekstra kilde kun fra udvikleren selv, med sin egen nøgle (Signed-By, lektion 4.1), og noter i din serverdokumentation, hvorfor den er der.
• Ingen løse .deb-filer fra websites, hvis det også kan hentes fra distributionen eller udviklerens kilde. De får aldrig opdateringer.

På AlmaLinux og Rocky Linux

En "major"-version (9, 10) får dér cirka ti års opdateringer, og mellemversioner (9.6, 9.7) opdaterer du bare med dnf upgrade. Et spring til en ny major-version in-place er muligt med værktøjet ELevate (AlmaLinux), men mange administratorer vælger alligevel at bygge forfra ved et spring til en ny major-version.

I praksis

I VPS-skærmen hos WebOké laver du et snapshot før en opgradering (højst to ad gangen, på samme lager som din VPS), og du har konsollen som ekstra indgang. Hos andre udbydere hedder det noget lignende: snapshot, VNC- eller webkonsol, rescue. Et snapshot erstatter ikke en backup uden for serveren; slet det, når alt virker, for det vokser med hver ændring.

Opsummering

• Hver release får sikkerhedsopdateringer i en fast periode; derefter er den end of life, og din server får ikke flere rettelser.
• Debian: cirka tre år plus to års LTS; Ubuntu LTS: fem år plus ESM op til ti år. Vælg altid en LTS til en server, og skriv slutdatoen i din kalender.
• Forbered en opgradering med et snapshot, en backup, konsollen, release notes og en tmux-session.
• Debian: kilder til det nye kodenavn, apt upgrade --without-new-pkgs, apt full-upgrade; Ubuntu: do-release-upgrade, efter den første punktrelease.
• Software uden for distributionen er den største kilde til opgraderingsproblemer: ingen curl | bash, kun kilder fra udvikleren med sin egen nøgle.

Quiz

Opgave

Opgave O4.3: Din opgraderingsplan. Find ud af, hvilken release din server kører, og hvor længe den får sikkerhedsopdateringer. Lav derefter en opgraderingsplan: hvilke kilder fra tredjeparter har du, hvordan laver du et snapshot og en backup, hvordan kommer du ind via konsollen, hvilke trin udfører du, hvordan tester du bagefter, og vælger du in-place-opgradering eller at bygge forfra (med begrundelse)?

Læs mere

• Snapshots og backups af din VPS
• Tilknyt din egen ISO, eller geninstaller din VPS
• Debian-releases og supportperioder: https://www.debian.org/releases/
• Debian 13, release notes kapitel 4 (opgradering) og 5 (opmærksomhedspunkter): https://www.debian.org/releases/trixie/release-notes/
• Ubuntu, release-cyklus: https://ubuntu.com/about/release-cycle
• Ubuntu Server-dokumentation, Upgrade your release: https://ubuntu.com/server/docs/how-to/software/upgrade-your-release/
• Opgrader din VPS til en ny version af Debian eller Ubuntu
• VPS: fra første login til sikker server 1.5: Snapshots: et sikkerhedsnet til hver stor ændring