Was wir tun · Betrieb: Eigene Paket-Builds und eigener Mirror
Wenn eine schwere Schwachstelle veröffentlicht wird, greift jeder Server im Internet im selben Moment auf dieselben öffentlichen Mirrors zu. Unsere Server müssen das nicht. Wir betreiben unseren eigenen Paket-Mirror in unserem Rechenzentrum, und wenn eine Korrektur upstream existiert, aber noch nicht paketiert ist, bauen wir sie selbst.
Was es ist
Zwei Dinge, die zusammenarbeiten.
Unser eigener Mirror. Eine vollständige lokale Kopie der Oracle-Linux-Repositories, die unsere Server nutzen, der Community-Repositories, auf die wir angewiesen sind (einschließlich der PHP-Repositories von Remi), und der Installationsabbilder für neue Builds. Er liegt in unserem eigenen Netz, ist nur aus unserem eigenen Adressraum erreichbar und ist die Quelle, aus der unsere Server patchen.
Unsere eigenen Builds. Wenn eine korrigierte Version an der Quelle erschienen ist, aber noch nicht in den Repositories der Distribution liegt, bauen wir das Paket selbst aus der Paketspezifikation des Distributions-Maintainers und stellen es auf dem Mirror bereit, damit Ihre Server jetzt gepatcht werden und in dem Moment auf das offizielle Paket zurückwechseln, in dem es eintrifft.
Wie wir es bauen
Der Mirror bleibt während der Synchronisation konsistent. Jedes Repository wird in zwei Phasen synchronisiert: zuerst die Pakete, dann die Repository-Metadaten, die an einen separaten Ort geladen und auf einmal eingetauscht werden. Ein Server, der mitten in der Synchronisation patcht, sieht entweder das alte Repository oder das neue, nie eine halb aktualisierte Mischung.
Vollständige Historie, nicht nur der letzte Stand. Wir behalten die vollständige Pakethistorie der Betriebssystem-Repositories, damit ein Server aus unserer eigenen Kopie auf einen bekannten Stand neu aufgebaut oder ein Paket auf die vorherige Version zurückgesetzt werden kann.
Eine Statusseite zeigt die Aktualität jedes Repositories auf einen Blick.
Builds im Reinraum. Unsere Builds laufen in einem frischen Container aus dem Quellpaket und der Spezifikation des Maintainers, mit der Prüfsumme der Quellen gegen die offizielle Veröffentlichung des Projekts verifiziert. Sonst ändern wir nichts.
Gebaut, um Platz zu machen. Jeder hausinterne Build ist so versioniert, dass das offizielle Paket der Distribution ihn beim nächsten normalen Update automatisch ersetzt. Niemand muss daran denken, etwas rückgängig zu machen.
Wovor es Sie schützt
- Ein öffentlicher Mirror, der genau an dem Tag nicht antwortet, an dem Sie ihn am dringendsten brauchen.
- Eine aktiv ausgenutzte Schwachstelle, die offen bleibt, obwohl ihre Korrektur veröffentlicht ist.
- Ein Server, der nicht gepatcht werden kann, weil er bewusst vom Internet getrennt ist.
- Selbst gebaute Pakete, die noch lange laufen, nachdem die offizielle Korrektur existiert.
In der Praxis
Runtime-Builds am selben Tag. Wenn eine PHP-Sicherheitskorrektur upstream erscheint, bevor die öffentlichen Mirrors der Distributionen sie paketiert haben, bauen wir die korrigierten Pakete innerhalb von Stunden nach der Upstream-Veröffentlichung hausintern aus der Spezifikation des Maintainers und rollen sie noch am selben Abend auf die verwalteten Kundenserver aus.
Patchen der Server, die das Internet nicht sehen. Server, die bewusst vom Internet isoliert sind, etwa Backup- und Verwaltungssysteme, patchen wie jeder andere Server vom Mirror in unserem Netz. Isolation wird nie zur Ausrede, ungepatcht zu bleiben.
Warum EuroVPS
- Unser eigener Paket-Mirror, in unserem eigenen Rechenzentrum.
- Korrigierte Pakete, hausintern aus der Spezifikation des Maintainers gebaut, am selben Tag, an dem die Korrektur veröffentlicht wird.
- Offizielle Pakete übernehmen automatisch, sobald sie eintreffen.
- Das Patchen isolierter Server wird nie von der Außenwelt blockiert.
Häufige Fragen
Werden meine Server Ihren Mirror nutzen? Die Server, die wir verwalten, sind auf ihn ausgerichtet. Das Patchen kommt dann aus unserem Netz, schnell, unabhängig vom Zustand der öffentlichen Mirrors.
Verändern Sie die Software, die Sie bauen? Nein. Wir bauen die Upstream-Version aus der Spezifikation des Maintainers. Der einzige Unterschied ist die Versionskennung, die dem offiziellen Paket erlaubt, unseres zu ersetzen.
Was passiert, wenn das offizielle Paket erscheint? Ihr Server wechselt beim nächsten normalen Update darauf, automatisch.
Können meine eigenen Server den Mirror nutzen? Server in unserem Netz können das. Fragen Sie uns, und wir richten es für Ihre ein.
Wenn Sie Patchen wollen, das auf niemanden wartet, sprechen Sie mit einem Ingenieur.
Ihr nächster Infrastrukturpartner
Sehen wir uns Ihre Umgebung an.
Erzählen Sie uns, was Sie heute betreiben und was besser werden muss. Ein Ingenieur sieht Ihre Anfrage durch und hilft Ihnen, den nächsten Schritt zu planen.
+357 222 32280
Beginnen wir mit Ihrer Umgebung.
Ein wenig Kontext hilft uns, das richtige Gespräch zu beginnen.