Cosa facciamo · Operations: Build di pacchetti e mirror di nostra proprietà
Quando viene pubblicata una falla seria, ogni server su internet si rivolge agli stessi mirror pubblici nello stesso istante. I nostri server non ne hanno bisogno. Gestiamo il nostro mirror di pacchetti dentro il nostro datacenter e, quando una correzione esiste upstream ma non è ancora stata pacchettizzata, la costruiamo noi.
Cos'è
Due cose che lavorano insieme.
Il nostro mirror. Una copia locale completa dei repository Oracle Linux usati dai nostri server, dei repository della community da cui dipendiamo (compresi i repository PHP di Remi) e delle immagini di installazione per le nuove build. Vive dentro la nostra rete, è raggiungibile solo dal nostro spazio di indirizzi ed è la fonte da cui i nostri server applicano le patch.
Le nostre build. Quando una release corretta è uscita alla fonte ma non è ancora nei repository della distribuzione, costruiamo noi il pacchetto dalla specifica del maintainer della distribuzione e lo rendiamo disponibile sul mirror, così i vostri server ricevono la patch subito e tornano sul pacchetto ufficiale nel momento in cui arriva.
Come lo costruiamo
Il mirror resta coerente mentre sincronizza. Ogni repository viene sincronizzato in due fasi: prima i pacchetti, poi i metadati del repository, scaricati in un punto separato e sostituiti in un colpo solo. Un server che applica le patch a metà sincronizzazione vede o il vecchio repository o il nuovo, mai un misto aggiornato a metà.
Lo storico completo, non solo l'ultima versione. Conserviamo lo storico completo dei pacchetti dei repository del sistema operativo, così un server può essere ricostruito a uno stato noto o un pacchetto riportato alla release precedente dalla nostra copia.
Una pagina di stato mostra in sintesi la freschezza di ogni repository.
Build in camera bianca. Le nostre build girano in un container pulito a partire dal pacchetto sorgente e dalla specifica del maintainer, con il checksum del sorgente verificato rispetto alla release ufficiale del progetto. Non cambiamo nient'altro.
Costruite per farsi da parte. Ogni build interna è versionata in modo che il pacchetto ufficiale della distribuzione la sostituisca automaticamente al successivo aggiornamento ordinario. Nessuno deve ricordarsi di annullare qualcosa.
Da cosa vi protegge
- Un mirror pubblico che va in timeout proprio il giorno in cui vi serve di più.
- Una falla sfruttata attivamente e lasciata aperta dopo che la sua correzione è stata pubblicata.
- Un server a cui non si possono applicare le patch perché è deliberatamente scollegato da internet.
- Build fatte in casa lasciate in esercizio molto dopo che esiste la correzione ufficiale.
In pratica
Build del runtime in giornata. Quando una correzione di sicurezza di PHP esce upstream prima che i mirror pubblici delle distribuzioni l'abbiano pacchettizzata, costruiamo internamente i pacchetti corretti dalla specifica del maintainer entro poche ore dalla release upstream e li distribuiamo sui server managed dei clienti la sera stessa.
Patch ai server che non vedono internet. I server deliberatamente isolati da internet, come i sistemi di backup e di gestione, applicano le patch dal mirror dentro la nostra rete come qualsiasi altro server. L'isolamento non diventa mai una scusa per restare senza patch.
Perché EuroVPS
- Il nostro mirror di pacchetti, dentro il nostro datacenter.
- Pacchetti corretti costruiti internamente dalla specifica del maintainer, lo stesso giorno in cui la correzione è pubblicata.
- I pacchetti ufficiali subentrano automaticamente quando arrivano.
- Le patch dei server isolati non sono mai bloccate dal mondo esterno.
Domande frequenti
I miei server useranno il vostro mirror? I server che gestiamo puntano al mirror. Le patch arrivano allora dall'interno della nostra rete, rapidamente, qualunque sia lo stato dei mirror pubblici.
Modificate il software che costruite? No. Costruiamo la release upstream dalla specifica del maintainer. L'unica differenza è l'etichetta di versione che permette al pacchetto ufficiale di sostituire il nostro.
Cosa succede quando esce il pacchetto ufficiale? Il vostro server passa a quello al successivo aggiornamento ordinario, automaticamente.
I miei server possono usare il mirror? I server dentro la nostra rete possono. Chiedetecelo e lo configuriamo per i vostri.
Se volete patch che non aspettano nessuno, Parla con un ingegnere.
Il vostro prossimo partner per l'infrastruttura
Guardiamo la vostra infrastruttura.
Raccontateci cosa fate girare oggi e cosa deve migliorare. Un ingegnere esaminerà la vostra richiesta e vi aiuterà a pianificare il passo successivo.
+357 222 32280
Partiamo dalla vostra infrastruttura.
Un po' di contesto ci aiuta a iniziare la conversazione giusta.