Qué hacemos · Operaciones: Nuestros propios builds de paquetes y mirror
Cuando se publica un fallo grave, todos los servidores de internet acuden a los mismos mirrors públicos en el mismo instante. Los nuestros no tienen por qué hacerlo. Operamos nuestro propio mirror de paquetes dentro de nuestro datacenter y, cuando una corrección existe upstream pero todavía no se ha empaquetado, la construimos nosotros mismos.
Qué es
Dos cosas que trabajan juntas.
Nuestro propio mirror. Una copia local completa de los repositorios de Oracle Linux que usan nuestros servidores, de los repositorios de la comunidad de los que dependemos (incluidos los repositorios PHP de Remi) y de las imágenes de instalación para nuevos builds. Vive dentro de nuestra propia red, solo es accesible desde nuestro propio espacio de direcciones y es desde donde parchean nuestros servidores.
Nuestros propios builds. Cuando una versión corregida ya ha salido en el origen pero todavía no está en los repositorios de la distribución, construimos el paquete nosotros mismos a partir de la propia especificación del maintainer de la distribución y lo ponemos a disposición en el mirror, de modo que sus servidores quedan parcheados ahora y vuelven al paquete oficial en el momento en que este llega.
Cómo lo construimos
El mirror se mantiene consistente mientras sincroniza. Cada repositorio se sincroniza en dos fases: primero los paquetes, después los metadatos del repositorio, que se descargan en un lugar aparte y se intercambian de una sola vez. Un servidor que parchea en mitad de la sincronización ve el repositorio antiguo o el nuevo, nunca una mezcla a medio actualizar.
Historial completo, no solo lo último. Conservamos el historial completo de paquetes de los repositorios del sistema operativo, de modo que un servidor puede reconstruirse a un estado conocido o un paquete puede volver a la versión anterior desde nuestra propia copia.
Una página de estado muestra de un vistazo la frescura de cada repositorio.
Builds en sala limpia. Nuestros builds se ejecutan en un container nuevo a partir del propio paquete fuente y del spec del maintainer, con el checksum del código fuente verificado frente a la versión oficial del proyecto. No cambiamos nada más.
Construidos para apartarse. Cada build interno lleva una versión tal que el paquete oficial de la distribución lo sustituye automáticamente en la siguiente actualización normal. Nadie tiene que acordarse de deshacer nada.
De qué le protege
- Un mirror público que da timeout justo el día que más lo necesita.
- Un fallo en explotación activa que sigue abierto después de publicarse su corrección.
- Un servidor que no puede parchearse porque está deliberadamente aislado de internet.
- Builds caseros que siguen en funcionamiento mucho después de existir la corrección oficial.
En la práctica
Builds de runtime el mismo día. Cuando una corrección de seguridad de PHP se publica upstream antes de que los mirrors públicos de las distribuciones la hayan empaquetado, construimos los paquetes corregidos internamente a partir del spec del maintainer en cuestión de horas desde la publicación upstream y los desplegamos en los servidores gestionados de los clientes esa misma tarde.
Parcheo de los servidores que no ven internet. Los servidores deliberadamente aislados de internet, como los sistemas de backup y de gestión, parchean desde el mirror dentro de nuestra red como cualquier otro servidor. El aislamiento nunca se convierte en excusa para quedarse sin parchear.
Por qué EuroVPS
- Nuestro propio mirror de paquetes, dentro de nuestro propio datacenter.
- Paquetes corregidos construidos internamente a partir del propio spec del maintainer, el mismo día que se publica la corrección.
- Los paquetes oficiales toman el relevo automáticamente cuando llegan.
- El parcheo de los servidores aislados nunca queda bloqueado por el mundo exterior.
Preguntas frecuentes
¿Mis servidores usarán su mirror? Los servidores que gestionamos apuntan a él. El parcheo llega entonces desde dentro de nuestra red, con rapidez, sea cual sea el estado de los mirrors públicos.
¿Modifican el software que construyen? No. Construimos la versión upstream a partir del propio spec del maintainer. La única diferencia es la etiqueta de versión que permite al paquete oficial sustituir al nuestro.
¿Qué ocurre cuando se publica el paquete oficial? Su servidor pasa a él en la siguiente actualización normal, automáticamente.
¿Pueden mis propios servidores usar el mirror? Los servidores dentro de nuestra red pueden. Pídanoslo y lo configuraremos para los suyos.
Si quiere un parcheo que no espere a nadie, hable con un ingeniero.
Su próximo socio de infraestructura
Veamos su infraestructura.
Cuéntenos qué ejecuta hoy y qué necesita mejorar. Un ingeniero revisará su solicitud y le ayudará a planificar el siguiente paso.
+357 222 32280
Empecemos por su infraestructura.
Un poco de contexto nos ayuda a empezar la conversación adecuada.