Debian in produzione: gestione, aggiornamenti e upgrade di release

Debian è la distribuzione che usiamo tutti i giorni e la prima che proponiamo per i server di produzione. Non insegue l’ultima versione di ogni pacchetto: privilegia stabilità, cicli di vita lunghi e aggiornamenti prevedibili. Questa pagina parla solo di Debian; per Ubuntu, AlmaLinux, Rocky Linux e le altre famiglie c’è la pagina dedicata alle altre distribuzioni Linux.

Panoramica

Debian è un progetto community, indipendente da un singolo vendor: le scelte tecniche seguono la longevità, non il marketing. La release stable viene congelata e testata per mesi prima di uscire, quindi i pacchetti che arrivano in produzione hanno alle spalle un ciclo di verifica lungo. Il security team pubblica avvisi e correzioni per tutto il ciclo di vita e, sommando il supporto ordinario e il progetto LTS, ogni release copre circa cinque anni: una finestra ampia per pianificare gli upgrade invece di subirli.

Il gestore apt rende installazioni e aggiornamenti riproducibili, e i backports ufficiali permettono di avere versioni recenti dei singoli pacchetti che servono davvero, senza toccare la base. Per noi Debian non è una distro tra le tante: è la piattaforma su cui standardizziamo configurazioni, script e procedure. Per te questo significa interventi più rapidi, meno improvvisazione e un sistema che qualcun altro può capire leggendo la documentazione.

Problemi tipici che risolviamo

• Server fermo a una release fuori supporto che nessuno osa toccare → pianifichiamo l’upgrade a step, provato in staging, fino alla stable corrente.
• Serve una versione recente di PHP o di un altro componente su stable → attiviamo i backports ufficiali o un repository mirato con pinning, senza destabilizzare il resto.
• Patch di sicurezza applicate «quando capita» → configuriamo unattended-upgrades per gli aggiornamenti di sicurezza e finestre concordate per tutto il resto.
• sources.list stratificato, con repository di terze parti in conflitto → ripuliamo repository e priorità e riportiamo apt a uno stato coerente.
• dist-upgrade tentato e finito male, sistema rimasto a metà → recuperiamo lo stato dei pacchetti, completiamo l’upgrade e documentiamo cosa era andato storto.
• Server installato anni fa senza alcuna documentazione → ricostruiamo l’inventario di servizi, pacchetti e configurazioni e lo mettiamo per iscritto.
• Accesso SSH con password e servizi esposti che nessuno usa → hardening: autenticazione a chiavi, firewall, fail2ban e superficie ridotta al necessario.

Cosa include

• Installazione e provisioning: Debian su bare-metal o cloud, con partizionamento, utenti, rete e servizi di base impostati con criterio.
• Gestione pacchetti con apt: repository ordinati, pinning dove serve, installazioni riproducibili e tracciate.
• Aggiornamenti di sicurezza: monitoraggio degli avvisi ufficiali, patch regolari e finestre concordate per non impattare il servizio.
• Upgrade di release: passaggio da una stable alla successiva pianificato sulle release notes, provato in staging, con backup e piano di rollback.
• Backports mirati: versioni recenti solo dei pacchetti che ti servono aggiornati, mentre il resto resta sulla base stabile.
• Hardening: SSH irrobustito, firewall, servizi minimi, permessi corretti e fail2ban dove ha senso.
• Manutenzione a lungo termine: il server resta aggiornato, documentato e pronto al prossimo upgrade, anno dopo anno.

Stack e tecnologie

Lavoriamo su Debian stable, con i backports ufficiali per i singoli componenti che devono essere recenti. Sopra questa base configuriamo lo stack tipico dei nostri progetti: Nginx o Apache, PHP-FPM, MariaDB o PostgreSQL, Redis e, dove serve la posta, Exim e Dovecot. I servizi sono gestiti con systemd, il firewall con nftables, e apt resta l’unico canale coerente per i pacchetti: niente software installato a mano e fuori controllo.

Automatizziamo provisioning e aggiornamenti con Ansible o script leggibili, con i file sotto controllo di versione. I server girano su Google Cloud come prima scelta, con AWS e DigitalOcean in alternativa e altri provider su richiesta. Ogni scelta è scritta e motivata: il setup deve restare riproducibile anche senza di noi.

Un esempio d’intervento

Una software house ci ha affidato un server Debian ereditato da un fornitore precedente: release ormai fuori dal supporto ordinario, nessuna documentazione, un’applicazione PHP in produzione che non poteva fermarsi. Abbiamo clonato il server in staging, ricostruito l’inventario di pacchetti e servizi e provato lì l’upgrade attraverso due release successive, annotando ogni conflitto di configurazione. In produzione l’upgrade è passato in una finestra concordata di poche ore, con backup verificato e rollback pronto.

Da allora il server riceve le patch di sicurezza in automatico, gli aggiornamenti applicativi passano da finestre pianificate e il cliente ha un documento che descrive com’è fatto il sistema. Il prossimo upgrade major è già in calendario: un’attività ordinaria, non un’emergenza futura.

A chi si rivolge

• Aziende e team che vogliono server di produzione stabili, con poca manutenzione straordinaria.
• Software house e agenzie che cercano una base coerente su cui replicare gli ambienti dei clienti.
• Chi gestisce servizi a lungo termine e preferisce un upgrade pianificato ogni due anni alle sorprese continue.
• Chi ha ereditato un server Debian non documentato e vuole tornare a governarlo.

Come lavoriamo

Prima fotografiamo l’esistente: pacchetti installati, servizi attivi, repository, versioni. Poi proponiamo l’intervento minimo che serve - un piano di patch, un upgrade, un hardening - e lo proviamo in staging quando c’è di mezzo la produzione. Ogni modifica finisce in configurazioni versionate e in un report leggibile: niente scatole nere, chiunque può subentrare dopo di noi.

Per la manutenzione continuativa la formula più comoda sono di solito i pacchetti ore, che non scadono; gli interventi spot vanno a listino orario. La copertura è lun-ven 10:00-18:00 con triage per priorità, descritto nei tempi di risposta. Il preventivo è gratuito, con risposta in giornata lavorativa.