Solution 1 :
Je lance apt-get update -qq ; apt-get upgrade -duyq du quotidien. Cela vérifiera les mises à jour, mais ne les fera pas automatiquement.
Ensuite, je peux exécuter les mises à niveau manuellement pendant que je regarde et corriger tout ce qui pourrait mal tourner.
Outre les problèmes de sécurité liés à la maintenance d'un système patché, je trouve que si je le laisse trop longtemps entre les patchs, je me retrouve avec tout un tas de packages qui veulent être mis à niveau, et cela me fait bien plus peur que de simplement en mettre à niveau un ou deux chaque semaine environ. Par conséquent, j'ai tendance à exécuter mes mises à niveau chaque semaine, ou si elles sont hautement prioritaires, quotidiennement. Cela a l'avantage supplémentaire de savoir quel paquet a cassé votre système (c'est-à-dire si vous n'en mettez à jour que quelques-uns à la fois)
Je mets toujours à niveau les systèmes les moins critiques en premier. J'ai également un "plan de restauration" en place au cas où je ne pourrais pas réparer le système. (la plupart de nos serveurs étant virtuels, ce plan de restauration consiste généralement à prendre un instantané avant la mise à jour sur laquelle je peux revenir si nécessaire)
Cela étant dit, je pense qu'une mise à jour n'a cassé quelque chose qu'une ou deux fois au cours des 4 dernières années, et c'était sur un système hautement personnalisé - vous n'avez donc pas besoin d'être TROP paranoïaque :)
Solution 2 :
En plus des réponses précédentes - quelques éléments plus spécifiques à Debian :vous devez vous abonner à debian-security-announce et debian-announce et/ou consulter la page Debian Security.
Solution 3 :
En supposant que vous utilisez la version stable de Debian, la plupart des correctifs seront liés à la sécurité ou aux bogues, ce qui devrait signifier qu'il n'y aura pas trop de changements majeurs entre les versions d'un paquet donné. Selon la politique de correctifs de Debian, les correctifs devraient également avoir été testés pendant un certain temps avant d'être déplacés vers la branche stable par le responsable. Évidemment, cela n'empêchera pas les cassures lors du patchage, mais devrait les empêcher dans la plupart des cas.
Il serait prudent de s'assurer que votre serveur de test est tenu à jour et que tous les packages contenant des bogues vous affectant ainsi que vos serveurs doivent être tenus à jour. Tous les packages contenant des avis de sécurité doivent être mis à jour dès que vous savez que le correctif est stable.
Debian est généralement un système d'exploitation très stable et vous ne devriez pas trop vous inquiéter des pannes, mais lisez toujours ce qui va être mis à jour avant de le mettre à jour et gardez un œil sur tout ce qui semble étrange. J'utilise également VCS sur mon répertoire /etc/ pour m'assurer que toute modification du fichier de configuration peut être vue avec une commande 'git diff'.
Solution 4 :
Je fais un essai (d'abord) pour voir ce qui va être mis à jour. Parfois, les bibliothèques (appelons-les libfoo pour cet exemple) changent leur API, ce qui casse les programmes que nous avons écrits/installés nous-mêmes. Si une bibliothèque critique est mise à jour, je récupère la source et j'essaie de reconstruire nos éléments par rapport à celle-ci avant la mise à jour.
Je vérifie également que nous ne sautons pas vers une version intermédiaire d'un service public, c'est-à-dire apache, etc. Je préfère rester un an en arrière et ne pas rencontrer de casse aléatoire, à moins que la mise à jour ne soit critique.
Si vous êtes un administrateur système, vous devriez extraire les flux RSS de sites comme Secunia, qui devraient vous faire savoir longtemps à l'avance si votre distribution va pousser des correctifs.
Ne jamais, jamais simplement mettre à jour/mettre à jour aveuglément. Malheureusement, la tâche de savoir ce qui ne va pas incombe à vous, pas à votre gestionnaire de paquets de distribution, surtout si vos systèmes prennent en charge les programmeurs.
Solution 5 :
Là où je travaille, nous avons un processus assez étendu qui implique l'utilisation d'un logiciel appelé PatchLink pour nous informer des mises à jour les plus importantes liées à la sécurité, et nous les appliquons après les tests, paquet par paquet. Nous avons cependant des milliers de serveurs.
Si vous n'avez que deux serveurs, le processus devrait être beaucoup plus simple. Bien que je ne pense pas que faire une "mise à jour/mise à niveau apt-get" soit votre meilleur pari.
Je surveillerais les correctifs du logiciel que vous utilisez et je prendrais des décisions en fonction des correctifs de ces versions sur le moment de la mise à niveau.
Puisque vous avez un serveur de test, bien sûr, testez toujours la mise à jour avant de les appliquer.