Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
Witam,
Mam wrażliwe środowisko produkcyjne, mam już kilkanaście paczek do aktualizacji security, odnoszą się do php i bibliotek .
Czytałem o nich poprawiają też wydajność i błędy z synchronizacją która u nas nie wystąpiła.
Pytanie jak bezpiecznie aktualizujecie takie środowiska, są to fizyczne maszyny nie wirtualne. Macie jakiś pomysł na zrobienie punktu przywracania przed aktualizacją ?
Czy można zrobić listę pakietów starych które zostaną zaktualizowane i potem ewentualnie zrobić downgrade?
Choleric no mam zagwozdkę, wygląda na to że nie powinno się nic zwalić, ale wolał bym się zabezpieczyć.
Dzięki za info
Redelek
Offline
Są to aktualizacje security zatem nic kluczowego w paczkach się nie pozmieniało. Aktualizuj i "nie bój żaby" ;) To Twoje środowisko więc je znasz i jak coś to z pewnością szybko się możliwym problemem uporasz (jesli w ogóle takowy wystapi).
Offline
ta to nie problem gdyby tylko system, programiści tam pieszczą swoją apkę w php i couchbase i nie chciał bym, żeby coś im się rozjechało. To specyficzne typy ludzi nie poprawią tylko mówią że ty zmieniłeś i dlatego padło :)
Offline
Może zrób sobie za pomocą dpkg-repack paczki które mają się aktualizować i ewentualnie będziesz co miał zainstalować w razie W.
Offline
A może postawić system chroot, rsynciem pociągnąć configi z oryginalnego systemu i sprawdzić czy w chroot działa? Jak środowisko jest na wirtualnej maszynie to możesz snapshota zrobić w razie W.
Offline
Nie możesz na testowym kompie zrobić repo, i produkcyjnych aktualizować z tego testowego, po gruntownym sprawdzeniu czy wszystko działa?
Moim zdaniem to jest najbezpieczniejsze rozwiązanie.
Online
Rozwiażzać problem na dłuższą metę można wielorako, moim zdaniem najlepiej jakbys sobie napisał do wdrażania tego cuda stosowną automatyzację np w Ansible, a potem tylko robić backupy
Jak się coś spieprzy, to Ansible wystawi ci maszynę od nową w 20minut do tego job do przywracania backupow i in case of fire uzdrowienie świata potrwa tyle co stawianie OSa + czas dla Ansible i run joba z backupem
Poza tym w takich sytuacjach warto pomyśleć o takich cudach jak LVM, jak masz LVM i boisz się że coś się spsuje, to robisz sobie po prostu snapshota w LVM i jak coś się rypnie to przywracasz
Nie wiem jak masz dużą apke, ale może warto by zadbać o jakieś HA :)
Zostawiam do przemyślenia :)
Offline
Mówiłem o tym, ale jestem pionkiem więc do pierwszego dużego przestoju nie jestem ich w stanie przekonać. Podobno testowali kiedyś Citrix i ich środowisko się działało za wolno więc wrócili do fizycznych maszyn i wszystko im zaczeło działać. Zainstalowałem na jednej KVM i pokazuję jak to działa coś przenoszą, ale opornie im to idzie. Ciężkie środowisko do rozmówi negocjacji pomimo wielu przykładów i wyjaśnień nie bo nie i już bez uzasadnienia. Programiści tam żądzą :)
No staram się jakoś to ogarniać i nie chcę czegoś zwalić na starcie
Offline
Współczucie zatem z mojej strony :) z doświadczenia wiem że tam gdzie w webapkach rządzą deweloperzy tam zazwyczaj jest bajzel z całą stroną sysadmińską :p
W tej sytuacji możesz albo ich przekonać do vmek albo przynajmniej na nowych fizycznych maszynach wyrzucać lvma to przynajmniej będziesz mieć opcję robienia snapshotów
No i automatyzacja wdrożenia to sprawą sysadmina więc tu przynajmniej możesz sobie życie ułatwić i opracować dockera albo zrobić playbooki do ansibla
U nas biega puppet z konfiguracją nowych maszyn i też jest całkiem znośny ale Ruby to zło, nie wspominając już o puppetowej przeciwnej deklaratywności, pod tymi względami Ansible jest dalece bardziej wygodny (a przynajmniej takie wrażenie odniosłem, jak pisałem swoje 2-3 playbooki na krzyż
U nas też jest bałagan z tym czego chcą dewy ostatnio im nie pasowało że Centosa chcieliśmy wrzucić do devboxa, ale fedora już była spoko :d (a Centos na prod....)
Pozdro
Offline
redelek napisał(-a):
Mówiłem o tym, ale jestem pionkiem więc do pierwszego dużego przestoju nie jestem ich w stanie przekonać. Podobno testowali kiedyś Citrix i ich środowisko się działało za wolno więc wrócili do fizycznych maszyn i wszystko im zaczeło działać. Zainstalowałem na jednej KVM i pokazuję jak to działa coś przenoszą, ale opornie im to idzie. Ciężkie środowisko do rozmówi negocjacji pomimo wielu przykładów i wyjaśnień nie bo nie i już bez uzasadnienia. Programiści tam żądzą :)
No staram się jakoś to ogarniać i nie chcę czegoś zwalić na starcie
Przesadzasz, pionkiem czy nie pionkiem, stabilny Debian to nie katastrofa.
Ja bym zaktualizować, i najwyzej, jak wzorem Freeradiusa, nie będzie coś np gadało z biblioteką libssl, to sobie przekompilują projekt i gotowe.
Z resztą zależy, w czym to piszą.
Online
zrób sobie obraz dysku wrzuć go na inny dysk lub virtualbox, ptzrzeprowadz aktualizacje i zobacz czy wszystjko poszło ok.
Offline
a można jakoś w locie zrobić nie mogę go restartować działają na nim liczniki od klientów pare tysięcy sklepów więc restart wiąże się z tym że kierownicy będą musieli się tłumaczyć. Chcą tego uniknąć. LVM też tam nie ma :(
Offline