Trong bối cảnh công nghệ phát triển không ngừng, việc duy trì hệ thống máy chủ Linux luôn được cập nhật là yếu tố then chốt giúp đảm bảo an toàn và hiệu suất cho doanh nghiệp. Tuy nhiên, quá trình cập nhật thủ công thường tốn nhiều thời gian và dễ xảy ra sai sót. Vì vậy, tự động hóa cập nhật trên máy chủ Linux đang trở thành xu hướng tất yếu, giúp các quản trị viên tiết kiệm thời gian, giảm thiểu rủi ro bảo mật và tối ưu hóa vận hành hệ thống.
Bài viết này sẽ hướng dẫn chi tiết cách tự động hóa cập nhật trên máy chủ Linux một cách hiệu quả, từ việc thiết lập các công cụ cần thiết cho đến cấu hình lịch tự động cập nhật. Đặc biệt, bạn sẽ tìm thấy các mẹo hữu ích giúp kiểm soát quá trình cập nhật mà không làm gián đoạn dịch vụ đang chạy trên máy chủ. Hãy cùng khám phá những bước đơn giản để biến quá trình cập nhật trở nên dễ dàng và an toàn hơn bao giờ hết cho hệ thống Linux của bạn.
Hướng dẫn cập nhật máy chủ LINUX thủ công
Trước hết, hãy cùng tìm hiểu cách cập nhật thủ công.
Chỉ cần hai lệnh đơn giản.
Bắt đầu bằng cách cập nhật danh sách gói trên máy chủ của bạn với lệnh sau:
sudo apt updateLệnh này yêu cầu máy chủ quét các gói đã cài đặt và xác định những gói cần cập nhật, bao gồm cả bản vá bảo mật.
Sau khi hoàn thành, chạy lệnh sau để cập nhật các gói cần thiết:
sudo apt upgradeMáy chủ có thể hỏi bạn xác nhận bằng cách hiện thông báo yêu cầu trả lời yes hoặc no. Hãy chắc chắn nhập yes.
Quá trình cập nhật có thể mất một thời gian, tùy thuộc vào số lượng bản cập nhật cần thiết.
Hướng dẫn cập nhật bảo mật LINUX tự động
Trong khi cập nhật thủ công là một lựa chọn, thì việc quên hoặc không có thời gian là điều dễ xảy ra, vì vậy cập nhật bảo mật tự động giúp máy chủ của bạn luôn được vá lỗi.
Điều này rất quan trọng để giữ an toàn cho máy chủ.
Cài đặt Unattended Upgrades
Unattended Upgrades tự động cài đặt các bản cập nhật và bản vá bảo mật mà không cần sự can thiệp của chúng ta, nên chúng ta cần cài gói unattended-upgrades.
Thông thường Unattended Upgrades đã được cài và kích hoạt sẵn trên các máy chủ Ubuntu. Dùng lệnh sau để kiểm tra và cài đặt:
sudo apt install unattended-upgradesTiếp theo, chạy thêm một lệnh nữa:
sudo dpkg-reconfigure unattended-upgradesMột cửa sổ pop-up sẽ xuất hiện hỏi bạn có muốn tự động tải về và cài đặt các bản cập nhật ổn định không.
Chọn <Yes> và nhấn phím ENTER.
Khi làm vậy, Unattended Upgrades sẽ thay đổi giá trị từ 0 thành 1 trong tệp /etc/apt/apt.conf.d/20auto-upgrades:
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";Số này biểu thị tần suất chạy Unattended Upgrades tính theo ngày.
Giá trị 1 nghĩa là chạy mỗi ngày, còn 0 sẽ tắt chức năng này.
Một số lưu ý khi sử dụng
Khi đã thiết lập cập nhật bảo mật tự động, có vài điểm quan trọng bạn cần biết.
Trước hết, Unattended Upgrades chủ yếu xử lý các bản cập nhật bảo mật.
Bạn vẫn cần kiểm tra thủ công các bản cập nhật khác định kỳ, ví dụ mỗi tuần một lần.
Ngoài ra, Unattended Upgrades có thể tự động khởi động lại máy chủ nếu cần thiết để áp dụng bản cập nhật, điều này có thể gây gián đoạn trên máy chủ sản xuất.
Tôi khuyên bạn nên tự khởi động lại trong giờ thấp điểm hoặc thông báo cho người dùng trước khi thực hiện.
Bạn có thể tùy chỉnh Unattended Upgrades để tắt tính năng khởi động lại tự động hoặc lên lịch lại vào thời điểm ít ảnh hưởng hơn.
Cuối cùng, dù có thể cấu hình để cập nhật tất cả các gói, không chỉ riêng bản vá bảo mật, tôi không khuyến nghị điều này vì một số bản cập nhật có thể gây lỗi cho máy chủ.
Cấu hình
Unattended Upgrades có file cấu hình là 50unattended-upgrades nằm trong thư mục /etc/apt/apt.conf.d/.
Mở file này bằng trình soạn thảo bạn thích và xem nội dung:
Unattended-Upgrade::Allowed-Origins {
"${distro_id}:${distro_codename}";
"${distro_id}:${distro_codename}-security";
"${distro_id}ESMApps:${distro_codename}-apps-security";
"${distro_id}ESM:${distro_codename}-infra-security";
// "${distro_id}:${distro_codename}-updates";
// "${distro_id}:${distro_codename}-proposed";
// "${distro_id}:${distro_codename}-backports";
};Như bạn thấy trong đoạn mã trên, Unattended Upgrades chỉ xử lý các bản cập nhật bảo mật.
Nếu bạn muốn nó xử lý cả các bản cập nhật không phải bảo mật và cập nhật các gói khác đã cài đặt, bạn có thể bỏ dấu // ở dòng ${distro_id}:${distro_codename}-updates.
Nếu chỉ muốn xử lý bản vá bảo mật như tôi khuyên dùng, hãy đảm bảo chỉ cho phép các nguồn bảo mật và comment tất cả các dòng khác như mặc định.
Bạn cũng có thể cấu hình liệu Unattended Upgrades có nên khởi động lại máy chủ nếu bản cập nhật yêu cầu hay không.
Bạn có thể đặt thời gian khởi động lại hoặc tắt hẳn tính năng này.
Để kiểm soát việc này, tìm dòng Unattended-Upgrade::Automatic-Reboot trong file cấu hình.
Đặt giá trị thành "false" để ngăn không cho tự động khởi động lại sau khi cập nhật.
Nếu muốn khởi động lại tự động, đổi thành "true".
Bạn cũng có thể lên lịch thời gian cụ thể cho việc khởi động lại bằng cách tìm dòng Unattended-Upgrade::Automatic-Reboot-Time và đặt giờ mong muốn, ví dụ "03:00" để khởi động lại lúc 3 giờ sáng.
Thông báo qua Email
Còn một điểm cần lưu ý.
Đôi khi Unattended Upgrades không thể cài đặt một bản vá bảo mật nào đó tự động và cần bạn can thiệp thủ công.
Bạn có thể chỉ định địa chỉ email để nhận thông báo khi điều này xảy ra.
Kéo xuống file cấu hình đến dòng Unattended-Upgrade::Mail ""; và thêm địa chỉ email bạn muốn nhận thông báo vào giữa hai dấu ngoặc kép.
Sau đó kéo xuống thêm chút nữa đến dòng Unattended-Upgrade::MailReport "on-change"; và đổi "on-change" thành "only-on-error" để chỉ nhận mail khi có lỗi xảy ra trong quá trình cập nhật bảo mật.
Đừng quên bỏ dấu // ở hai dòng này. File sẽ trông như sau:
Unattended-Upgrade::Mail "hello@quicksite.vn";
Unattended-Upgrade::MailReport "only-on-error";Sau khi cấu hình xong Unattended Upgrades, hãy lưu và đóng file lại.
Bây giờ, đảm bảo rằng gói mailutils đã được cài trên máy chủ của bạn vì nó cung cấp lệnh mail dùng bởi Unattended Upgrades để gửi email.
Bạn có thể cài đặt bằng lệnh:
sudo apt install mailutilsVậy là hoàn tất cấu hình. Bây giờ hãy thử kiểm tra thiết lập.
Kiểm tra thiết lập
Để xác nhận cấu hình hoạt động đúng, bạn có thể chạy thủ công lệnh sau:
sudo unattended-upgrade -dBạn cũng có thể kiểm tra việc gửi email bằng cách đặt biến Unattended-Upgrade::MailReport thành "always" để xem máy chủ có gửi mail được không.
Kết luận
Cập nhật bảo mật tự động là giải pháp hiệu quả giúp duy trì an toàn cho máy chủ của bạn mà không tốn nhiều thời gian quản lý thủ công. Việc sử dụng Unattended Upgrades trên hệ điều hành Ubuntu giúp tự động tải và cài đặt các bản vá bảo mật quan trọng, giảm nguy cơ bị tấn công từ các lỗ hổng bảo mật.
Đồng thời, bạn có thể tùy chỉnh cấu hình để kiểm soát việc khởi động lại máy chủ và nhận thông báo qua email khi có sự cố xảy ra. Mặc dù vậy, việc kiểm tra và cập nhật các bản cập nhật không liên quan đến bảo mật vẫn cần thực hiện định kỳ để đảm bảo hệ thống hoạt động ổn định và hiệu quả.
Bằng cách kết hợp cập nhật thủ công và tự động, bạn sẽ có một hệ thống an toàn, ổn định, giúp bảo vệ dữ liệu và dịch vụ của mình khỏi những rủi ro không mong muốn. Hãy bắt đầu áp dụng ngay hôm nay để duy trì hiệu suất và bảo mật cho máy chủ, tránh các sự cố không đáng có trong quá trình vận hành. Cập nhật thường xuyên chính là chìa khóa giúp hệ thống của bạn luôn hoạt động mượt mà và an toàn trước các mối đe dọa mạng hiện nay.
