كيفية إعداد التحديثات الأمنية التلقائية على ديبيان

الخادم المُحدَّث هو خادم هادئ. unattended-upgrades على Debian يثبت التحديثات الأمنية بدون تدخل منك — اضبطه مرة واحدة، واحصل على التصحيحات إلى الأبد.

المتطلبات المسبقة

• Debian 12 مع sudo.
• اتصال HTTPS الصادر إلى security.debian.org و deb.debian.org.

الخطوة 1: التثبيت

sudo apt update
sudo apt install -y unattended-upgrades apt-listchanges
sudo dpkg-reconfigure -plow unattended-upgrades

الخطوة 2: تحديد النطاق على الأمان فقط

عدّل /etc/apt/apt.conf.d/50unattended-upgrades:

Unattended-Upgrade::Origins-Pattern {
    "origin=Debian,codename=${distro_codename},label=Debian-Security";
};

Unattended-Upgrade::Mail "ops@example.sa";
Unattended-Upgrade::MailReport "on-change";

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";
Unattended-Upgrade::Remove-Unused-Kernel-Packages "true";

الخطوة 3: اختبار في وضع dry-run

sudo unattended-upgrade --dry-run --debug 2>&1 | tail -30

الخطوة 4: تأكيد إطلاق المؤقت

sudo systemctl status unattended-upgrades.service
sudo systemctl list-timers apt-daily.timer apt-daily-upgrade.timer

الخطوة 5: تنبيهات البريد (اختياري)

sudo apt install -y bsd-mailx msmtp msmtp-mta
sudoedit /etc/msmtprc
echo "test" | mail -s "test" ops@example.sa

التحقق

sudo less /var/log/unattended-upgrades/unattended-upgrades.log
sudo less /var/log/dpkg.log | grep -E 'install|upgrade' | tail -20
cat /var/run/reboot-required 2>/dev/null

الخاتمة

ثلاث دقائق من التكوين تشتري لك سنوات من التصحيحات الأمنية في الوقت المناسب دون إيقاظ أحد.

الخطوات التالية

• طبّق سياسة الرفض الافتراضية في جدار الحماية عبر UFW لمنافذ محددة.
• ثبّت إصدارات الخدمات الكبرى عبر Package-Blacklist.
• راجع دليل systemd لفحص المؤقتات.