مدیریت سرور لینوکس و پیکربندی سرورهای Ubuntu، Debian، AlmaLinux و Rocky

راهنمای مدیریت سرور لینوکس: نگهداری، به‌روزرسانی و عیب‌یابی

مدیریت سرور لینوکس بیشتر از کارهای کوچک و تکراری ساخته می‌شود تا پروژه‌های بزرگ. وصله امنیتی باید در زمان مشخص نصب شود، لاگ‌ها نباید دیسک را پر کنند و کسی باید بداند هر سرویس و هر cron job برای چیست. سروری که سال‌ها بدون این کارها مانده، معمولاً در ساعت کاری از کار می‌افتد و آن وقت هیچ‌کس نمی‌داند از کجا باید شروع کند. نکته‌های زیر به کار مدیری می‌آید که سرور Ubuntu، Debian، AlmaLinux یا Rocky Linux را نگهداری می‌کند یا می‌خواهد بداند از پیمانکار چه کاری بخواهد.

کارهای دوره‌ای در نگهداری سرور لینوکس

بخشی از کارها هر هفته و بخشی هر ماه تکرار می‌شوند و بهتر است از روز اول فهرست شوند. فهرست زیر نقطه شروع رایجی است و روی هر سرور بر اساس نقش آن کوتاه‌تر یا بلندتر می‌شود:

• نصب وصله‌های امنیتی با apt یا dnf و بررسی سرویس‌هایی که بعد از آن باید ری‌استارت شوند
• کنترل فضای دیسک و inode و بازبینی تنظیمات logrotate
• مرور خروجی systemctl –failed، تایمرهای systemd و cron jobها
• بررسی تمدید گواهی‌های TLS که Certbot صادر کرده است
• مرور کاربران، دسترسی‌های sudo و کلیدهای SSH

بیشتر این موارد پیش از تبدیل شدن به قطعی نشانه‌ای می‌دهند. دیسکی که هفته‌به‌هفته پرتر می‌شود، مدت‌ها پیش از خطای No space left on device دیده می‌شود، به شرط آنکه کسی به آن نگاه کند؛ گواهی‌ای که تمدیدش شکست خورده هم تا روز انقضا خطایی نشان نمی‌دهد. برای اینکه این کارها به حافظه یک نفر وابسته نماند، هشدار منابع را با ابزاری مثل Zabbix یا Prometheus راه بیندازید و نتیجه هر بازبینی را در مستندات سرور ثبت کنید.

سیاست به‌روزرسانی و ری‌استارت سرور

بیشتر به‌روزرسانی‌ها فقط ری‌استارت همان سرویسی را لازم دارند که کتابخانه‌اش عوض شده و ابزار needrestart فهرست این سرویس‌ها را نشان می‌دهد. کرنل جدید و کتابخانه‌های پایه مثل glibc تا ری‌بوت اثر نمی‌کنند، پس سیاست به‌روزرسانی باید پنجره زمانی ری‌بوت را هم مشخص کند. در Ubuntu و Debian ابزار unattended-upgrades و در AlmaLinux و Rocky ابزار dnf-automatic را می‌توان طوری تنظیم کرد که فقط وصله‌های امنیتی را خودکار نصب کنند. ارتقای نسخه اصلی PHP، MySQL یا وب‌سرور را خودکار نکنید، چون ممکن است با کد سایت ناسازگار باشد و باید اول روی snapshot یا سرور آزمایشی امتحان شود.

پیش از هر به‌روزرسانی بزرگ از فایل‌های پیکربندی نسخه پشتیبان بگیرید و اگر سرور روی بستر مجازی است، snapshot هم بگیرید. snapshot جای بکاپ را نمی‌گیرد، ولی برگرداندن یک به‌روزرسانی ناموفق را ساده می‌کند. سخت‌سازی دسترسی‌ها، فایروال و تنظیمات امنیتی کرنل کار جداگانه‌ای است که در خدمت امن‌سازی سرور انجام می‌شود.

عیب‌یابی کندی و توقف سرویس‌ها از روی لاگ و منابع

وقتی سرور کند می‌شود، اول معلوم کنید کمبود در کدام منبع است. top و vmstat نشان می‌دهند CPU مشغول است یا فرایندها منتظر دیسک‌اند و iostat زمان پاسخ دیسک را اندازه می‌گیرد. اگر سرویسی بی‌دلیل متوقف شده، journalctl و خروجی dmesg را برای پیام OOM Killer بگردید؛ روی سرورهای وب، این پیام اغلب یعنی MySQL یا فرایندهای PHP-FPM بیشتر از رم موجود حافظه خواسته‌اند.

در همین مرحله دو خطا زیاد دیده می‌شود. اولی بالا بردن pm.max_children در PHP-FPM بدون حساب کردن رم هر فرایند است که سرور را به swap می‌کشاند و کندی را بدتر می‌کند. دومی پاک کردن دستی لاگ‌ها برای آزاد کردن دیسک است: فایلی که هنوز یک فرایند بازش نگه داشته با rm فضایی آزاد نمی‌کند و سرنخ علت مشکل هم از بین می‌رود. کوئری‌های کند را هم با slow query log پیدا کنید و فهرستشان را به تیم توسعه بدهید. اگر سرور همین حالا از دسترس خارج شده، مسیر سریع‌تر پشتیبانی فوری سرور و شبکه است.

CentOS 7 و ارتقای نسخه توزیع

CentOS 7 به پایان پشتیبانی رسیده و دیگر وصله امنیتی نمی‌گیرد. برای نرم‌افزارهایی که به خانواده RHEL وابسته‌اند، AlmaLinux و Rocky Linux نزدیک‌ترین جایگزین‌ها هستند و برای پروژه تازه، Ubuntu LTS یا Debian هم انتخاب رایجی است. ابزارهای تبدیل درجا وجود دارند، اما روی سروری که سال‌ها بسته و مخزن غیررسمی رویش نصب شده، نتیجه آن‌ها را نمی‌شود از قبل پیش‌بینی کرد.

در بیشتر موارد، نصب تمیز روی سرور جدید و انتقال سرویس‌ها امن‌تر است، چون سرور قدیمی تا پایان آزمایش روشن می‌ماند و راه بازگشت باز است. اگر کنترل‌پنل دارید، سازگاری آن با توزیع مقصد دامنه انتخاب را محدود می‌کند. جابه‌جایی سایت‌ها، دیتابیس و ایمیل به سرور تازه در خدمت مهاجرت سرور و هاست انجام می‌شود.

زمان و هزینه مدیریت سرور لینوکس به چه بستگی دارد؟

تعداد سرورها و نقش هر کدام پایه برآورد است. سروری که فقط یک سایت وردپرسی دارد با سروری که وب، دیتابیس و چند اپلیکیشن کانتینری را یک‌جا اجرا می‌کند فرق دارد. وضعیت مستندات هم اثر زیادی دارد، چون روی سرور مستندنشده مرحله بررسی اولیه طولانی‌تر می‌شود. کارهای یک‌باره مثل ارتقای نسخه توزیع جدا از کارهای دوره‌ای برآورد می‌شوند و پنجره زمانی مجاز برای به‌روزرسانی و ری‌استارت هم در برنامه اثر دارد.

برای برآورد، توزیع و نسخه سرور، سرویس‌هایی که روی آن اجرا می‌شوند، نوع دسترسی موجود و مشکل یا نیاز فعلی را بفرستید. قیمت پس از همین بررسی اولیه اعلام می‌شود. اگر نگهداری کل زیرساخت، از جمله ویندوز سرور و مجازی‌سازها را می‌خواهید، پشتیبانی و مدیریت سرور مناسب‌تر است.

رمز root یا کلید خصوصی SSH را در پیام اولیه نفرستید. روش امن دادن دسترسی پس از مشاوره هماهنگ می‌شود.