Обновление ядра Linux без перезагрузки. Исправляем уязвимости, не затрагивая других процессов::Журнал СА 10.2016
www.samag.ru
Льготная подписка для студентов      
Поиск   
              
 www.samag.ru    Web  0 товаров , сумма 0 руб.
E-mail
Пароль  
 Запомнить меня
Регистрация | Забыли пароль?
О журнале
Журнал «БИТ»
Подписка
Где купить
Авторам
Рекламодателям
Магазин
Архив номеров
Вакансии
Контакты
   

Jobsora


  Опросы

Какие курсы вы бы выбрали для себя?  

Очные
Онлайновые
Платные
Бесплатные
Я и так все знаю

 Читать далее...

1001 и 1 книга  
28.05.2019г.
Просмотров: 1990
Комментарии: 2
Анализ вредоносных программ

 Читать далее...

28.05.2019г.
Просмотров: 2001
Комментарии: 1
Микросервисы и контейнеры Docker

 Читать далее...

28.05.2019г.
Просмотров: 1565
Комментарии: 0
Django 2 в примерах

 Читать далее...

28.05.2019г.
Просмотров: 1131
Комментарии: 0
Введение в анализ алгоритмов

 Читать далее...

27.03.2019г.
Просмотров: 1713
Комментарии: 1
Arduino Uno и Raspberry Pi 3: от схемотехники к интернету вещей

 Читать далее...

Друзья сайта  

Форум системных администраторов  

sysadmins.ru

Электронка - 2020!

 Обновление ядра Linux без перезагрузки. Исправляем уязвимости, не затрагивая других процессов

Архив номеров / 2016 / Выпуск №10 (167) / Обновление ядра Linux без перезагрузки. Исправляем уязвимости, не затрагивая других процессов

Рубрика: Администрирование /  Тонкая настройка

Денис Силаков ДЕНИС СИЛАКОВ, к.ф.-м.н., старший системный архитектор Virtuozzo, dsilakov@virtuozzo.com

Обновление ядра Linux без перезагрузки
Исправляем уязвимости, не затрагивая других процессов

Преимуществом Linux является отсутствие необходимости перезагружать машину после установки обновлений или новых программ. Кроме одного случая – обновления ядра ОС

Перезагрузка сервера – не всегда желаемое событие для системного администратора. Например, если речь идет о сервере хостинг-компании, и на этом сервере находятся сайты пользователей, то перезагрузка сервера приведет к временной недоступности всех расположенных на нем сайтов. Однако обновлять ядро время от времени необходимо – какминимум для устранения уязвимостей, которые могут быть использованы злоумышленниками для компрометации сервера вместе со всем его содержимым.

Есть несколько путей для решения этой проблемы:

  • Произвести-таки перезагрузку сервера, честно предупредив пользователей, что по причине технических работ некоторое время все сервисы будут недоступны.
  • Если все клиентские сервисы работают внутри виртуальных сред (контейнеров или полноценных ВМ), то можно предварительно перенести все виртуальные окружения надругой сервер, после чего спокойно обновить текущий.
  • Воспользоваться одним из инструментов, позволяющих наложить необходимые патчи на работающее ядро без перезагрузки.

Ниже мы кратко остановимся на первых двух подходах, а затем посмотрим, как современные технологии позволяют обойтись без них, по крайней мере в некоторых ситуациях.

Перезагрузка – плюсы и минусы

Полная перезагрузка сервера – дело не мгновенное. Во-первых, сначала надо остановить все клиентские сервисы, а после возобновления работы снова их запустить. Во-вторых, перезагрузка машины сама по себе отнимает некоторое время. Частично эта проблема решается с помощью механизма kexec, позволяющего осуществить перезагрузку с новым ядром без физического рестарта сервера. Этот механизм используется, например, в Virtuozzo 6 для обновления ядра без перезагрузки [1], однако он все-таки сопряжен с заметным временем простоя системы, поскольку подразумевает приостановку всех процессов в системе на время переключения ядра.

В случае Virtuozzo это означает, что приостанавливается работа всех виртуальных окружений. В зависимости от мощности сервера и количества таких окружений время ихнедоступности

может составлять от нескольких секунд до нескольких минут. К тому же остается нерешенным одно из главных опасений системного администратора – при старте системы с новым ядром могут возникнуть и новые ошибки. Если потери времени на перезапуск системы и всех сервисов в штатном режиме можно оценить и выдать эту оценку пользователям, топредсказать, сколько займет починка неожиданно возникших проблем, сложно. Конечно, можно оперативно откатить систему на старое ядро, но ведь задачу обновления это неснимет.

Применим или нет такой путь обновления, зависит от конкретных задач, которые лежат на обновляемой машине. Если речь идет об офисном сервере, то в его перезагрузке навыходных или ночью скорее всего ничего страшного нет. Однако, например, на рынке хостинг-провайдеров, где конкуренция очень высока и альтернативных предложений всегда хватает, даже недолгая недоступность клиентских сервисов может привести к оттоку клиентов.

С другой стороны, как раз для провайдеров может подойти второй путь, ведь львиная доля рынка хостинга сегодня – это предоставление клиентам виртуальных серверов (VPS/VDS).

Статью целиком читайте в журнале «Системный администратор», №10 за 2016 г. на страницах 07-11.

PDF-версию данного номера можно приобрести в нашем магазине.


  1. How do rebootless updates work? // Virtuozzo Knowledge Base – https://kb.plesk.com/en/117839.
  2. Силаков Д. Virtuozzo – резервные копии и миграция. // «Системный администратор», №3, 2016 г. – С. 8-10 (http://samag.ru/archive/article/3141).
  3. J. Arnold, M.F. Kaashoek. Ksplice: automatic rebootless kernel updates. // Proceedings of the 4th ACM European conference on Computer systems. P. 187-198.
  4. CloudLinux KernelCare – https://www.cloudlinux.com/all-products/product-overview/kernelcare.
  5. Introducing kpatch: Dynamic Kernel Patching. // RHEL Blog – http://rhelblog.redhat.com/2014/02/26/kpatch.
  6. SUSE Releases kGraft for Live Patching of Linux Kernel. // SUSE Blog – http://goo.gl/lBABNW.
  7. Virtuozzo 7 Product Site – https://virtuozzo.com/products/virtuozzo.
  8. Сервис ReadyKernel – http://readykernel.com.
  9. Preparing a patch – pitfalls. // Переписка в списке рассылок Red Hat – http://goo.gl/7xPXJO.
  10. Josh Poimboeuf. Kpatch – Have your security and eat it too! // LinuxCon North America 2014 – http://goo.gl/degZDP.
  11. Oracle Ksplice – http://www.ksplice.com.

Комментарии отсутствуют

Добавить комментарий

Комментарии могут оставлять только зарегистрированные пользователи

               Copyright © Системный администратор

Яндекс.Метрика
Tel.: (499) 277-12-41
Fax: (499) 277-12-45
E-mail: sa@samag.ru