Cập nhật bảo mật Ubuntu VPS: kiểm tra và bảo trì

Cập nhật bảo mật VPS cần được thực hiện đều đặn nhưng có kiểm soát tác động đến ứng dụng. Cài package thành công chưa chứng minh dịch vụ hoạt động đúng; một bản vá có thể cần restart process hoặc reboot để có hiệu lực đầy đủ.

Kiểm tra nền tảng và phạm vi

cat /etc/os-release
uname -r
sudo apt update
apt list --upgradable
sudo apt-get -s upgrade

Bài dành cho Ubuntu dùng APT. apt update cập nhật chỉ mục; apt-get -s mô phỏng. Ghi phiên bản hiện tại, repo được sử dụng và danh sách thay đổi. Chọn release còn được hỗ trợ theo nhu cầu và điều kiện cập nhật của hệ thống.

Phân biệt loại cập nhật

VPS đã cập nhật OS vẫn có thể dùng container image hoặc dependency cũ. Kiểm kê cả ứng dụng, registry và runtime. Không coi một lịch APT là đủ cập nhật toàn stack.

Chuẩn bị trước khi cài thật

• Có console, cấu hình và package version cần thiết.
• Backup dữ liệu cùng phép thử restore gần đây.
• Môi trường staging hoặc bài kiểm thử tối thiểu.
• Cửa sổ bảo trì và người chịu trách nhiệm.
• Kế hoạch khôi phục, không chỉ kỳ vọng downgrade dễ dàng.

Snapshot trước thay đổi có thể hữu ích nhưng snapshot cùng host/pool không thay bản sao độc lập. Nếu ứng dụng ghi dữ liệu mới sau cập nhật, restore snapshot có thể làm mất các ghi đó; phải tính trước cách xử lý dữ liệu.

Unattended-upgrades

Ubuntu cung cấp unattended-upgrades để tự xử lý cập nhật theo origin và cấu hình được phép. Kiểm tra package đã có chưa, cấu hình đang áp dụng và lịch chạy; không mặc định mọi repo ngoài hoặc PPA đều được cập nhật.

dpkg-query -W unattended-upgrades
sudo unattended-upgrade -v --dry-run

Chạy dry-run khi công cụ đã cài và APT không có tác vụ khác đang giữ lock. Nó hỗ trợ kiểm tra lựa chọn package nhưng không thay bài thử ứng dụng. Rà soát cấu hình trong /etc/apt/apt.conf.d/ và log /var/log/unattended-upgrades/ theo phiên bản đang dùng.

Restart và reboot có kế hoạch

Chốt ai được phép restart service hoặc reboot tự động. Với một VPS đơn, reboot có thể tạo gián đoạn; với hệ nhiều node, kiểm tra failover trước. Không hứa không downtime chỉ vì có load balancer.

Nếu có file /var/run/reboot-required, xem nội dung và đánh giá reboot theo chính sách. Sau reboot, xác nhận kernel đang chạy, dịch vụ, mount, firewall và lịch tác vụ. Không xóa kernel cũ chỉ để tiết kiệm dung lượng trước khi bản mới đã được kiểm tra.

Nghiệm thu sau cập nhật

1. Kiểm tra boot và truy cập quản trị.
2. Kiểm tra service và log lỗi.
3. Thử đăng nhập, thao tác đọc/ghi và tác vụ nền.
4. Đo latency/error rate ở tải đại diện.
5. Xác nhận backup và monitoring tiếp tục chạy.
6. Ghi thay đổi, người thực hiện và lỗi cần xử lý.

Nếu lỗi, quyết định rollback theo mức ảnh hưởng và dữ liệu đã phát sinh. Chỉ downgrade package khi biết tương thích schema/config; đôi khi dựng lại môi trường sạch từ backup đã kiểm tra an toàn hơn chỉnh hàng loạt package.

Khi thuê VPS, xác nhận nhà cung cấp cập nhật lớp host hay cả guest OS. Khách vẫn cần quản lý phạm vi ứng dụng nếu hợp đồng không bao gồm.