Проект Debian объявил о выпуске Debian 11.5 и Debian 10.13. Что нового?

Точечные релизы Debian — 11.5, 10.13 и подобные — часто воспринимают как «новую версию дистрибутива». На самом деле это обновление установочных образов и пакетов внутри уже выпущенной ветки. Понимание разницы важно: от него зависит, нужно ли переустанавливать систему и как правильно обновляться, чтобы не сломать работающий сервер.

Что такое точечный релиз

Debian выпускает стабильную ветку раз в два года и затем поддерживает её обновлениями. Пакеты в стабильной ветке не получают новых версий программ — только исправления ошибок и безопасности. Периодически все накопленные исправления собирают в точечный релиз: обновляют образы для установки и публикуют новые версии пакетов в репозитории.

Для пользователя это означает: обновившись, вы получите те же версии программ, но с закрытыми уязвимостями и исправленными ошибками. Номер 11.5 не меняет базу и не требует переустановки.

Что вошло в релиз

Обновление Debian 11.5 включало десятки исправлений ошибок и обновлений безопасности, в том числе в avahi, dbus-broker и драйверах NVIDIA. Одновременно вышло обновление для Debian 10.13 — старой ветки, которая ещё получала поддержку. Полный список всегда публикуется в новости на официальном сайте проекта.

Практическая ценность: если вы ставите систему с нового ISO, вам не придётся скачивать сотни обновлений после установки. Если система уже работает, вы получите те же пакеты через обычное обновление.

Как обновиться правильно

Стандартная последовательность для сервера:

sudo apt update
sudo apt list --upgradable
sudo apt upgrade

Команда upgrade не удаляет пакеты. Если обновление требует удаления зависимостей, apt сообщит об этом — прочитайте список, прежде чем соглашаться. Для полного обновления с разрешением удаления используют full-upgrade, но на рабочем сервере это осознанное решение.

sudo apt full-upgrade
sudo apt autoremove --purge
sudo apt autoclean

После обновления проверьте, не требуется ли перезагрузка. В Debian признак — файл /var/run/reboot-required:

test -f /var/run/reboot-required && echo reboot needed
uname -r

Обновление ядра

Точечные релизы часто приносят новое ядро. Оно вступает в силу только после перезагрузки, а до неё система работает на старом. Для серверов выбирайте окно обслуживания и держите доступ через консоль провайдера: неудачная загрузка не должна оставить вас без связи.

Проверьте, что модули, которые вы используете (например, для ZFS или проприетарных драйверов), собрались под новое ядро:

dkms status
lsmod | grep -E 'zfs|nvidia'

Автоматические обновления безопасности

Для серверов удобно включить unattended-upgrades: он ставит обновления безопасности без участия администратора. Это не отменяет проверки, но снижает окно уязвимости.

sudo apt install unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades
sudo systemctl status unattended-upgrades --no-pager

Настройте уведомления о результатах, иначе обновление может тихо сломаться. Логи находятся в /var/log/unattended-upgrades/.

Чего не делать

• Не подключайте репозитории testing или sid к стабильной системе ради «свежих версий».
• Не обновляйтесь без резервной копии конфигурации и данных.
• Не игнорируйте сообщения apt о конфликтах пакетов.
• Не перезагружайте сервер сразу после обновления без проверки сервисов.
• Не удаляйте старые ядра, пока новое не проверено.

Проверка после обновления

Пройдитесь по короткому списку: службы запущены, сайты отвечают, логи без новых ошибок, диски не переполнены, резервное копирование работает.

systemctl --failed
journalctl -b -p err --no-pager | tail -30
df -h
curl -I https://example.com

Если что-то сломалось, сначала прочитайте журнал, а не откатывайте всё подряд. В большинстве случаев причина — изменённая версия библиотеки или конфигурация, которую обновление заменило.

Обновление без простоя

Для сервера с сайтами и базами данных важен порядок действий. Сначала снимите резервную копию базы и конфигурации, затем обновите пакеты, затем перезапустите только те службы, которые этого требуют, и лишь в конце перезагрузите систему, если обновилось ядро.

sudo apt update
sudo apt upgrade -y
sudo systemctl restart nginx php8.2-fpm
curl -I https://example.com

Если используется балансировщик, выводите узел из ротации до обновления и возвращайте после проверки. Это дешевле, чем объяснять пользователям, почему сайт отвечал ошибкой в течение десяти минут.

Для контейнеров правило другое: обновляйте образ и пересоздавайте контейнер, а не заходите внутрь и не запускайте apt. Изменения внутри контейнера исчезнут при следующем пересоздании, а уязвимость останется в образе.

Как понять, что обновление применилось

Сравните версии пакетов до и после, проверьте, что службы поднялись, а журнал не содержит новых ошибок. Для ключевых пакетов полезно записывать версии в документацию — это ускоряет разбор инцидентов.

dpkg -l | grep -E 'nginx|openssl|openssh' | awk '{print $2, $3}'
systemctl --failed

Итог

Точечный релиз Debian — это рутинное обновление, а не переход на новую систему. Достаточно регулярно выполнять apt update && apt upgrade, перезагружаться в удобное окно и проверять сервисы. Автоматические обновления безопасности уменьшают риск, но не заменяют контроль: обновлённая система, которая не проверена, — это не готовая система, а неизвестная.