Upgrade komponenty Edge Gateway za provozu¶

Důležité

Dokumentace k upgradu komponenty Edge Gateway za provozu je určena pro všechny servery Edge Gateway s Debianem 11. Verzi Debianu lze zkontrolovat následujícím příkazem (spusťte jej přes SSH nebo přístup ke konzole):

1	`cat /etc/debian_version`

Informace

Připomínáme, že přepnutí na uživatele root na počítačích s distribucí Debian je nutné provést následujícím příkazem:

su -

Plánování a příprava¶

Otevření síťových toků¶

Při upgradu produktu je kvůli přechodu systému Debian z verze 11 na verzi 12 nutné stáhnout mnoho balíčků z úložišť systému Debian. Musí být otevřen přístup TCP 80 na security.debian.org a ftp.fr.debian.org.

Otevření toků na počítači lze otestovat spuštěním synchronizace úložišť systému Debian. Pokud se zobrazí chybové zprávy týkající se přístupu k úložištím systému Debian, síťový tok není otevřen a pravděpodobně jej blokuje podniková brána firewall. Synchronizaci úložišť lze spustit následujícím příkazem:

1	`apt update`

Stažení zrcadla a potřebných nástrojů¶

Zrcadlo CyberElements Cleanroom 4.6 lze stáhnout z tohoto odkazu (vyžaduje vytvoření zákaznického účtu): Systancia Marketplace

Ze Systancia Marketplace je také nutné stáhnout klíč systancia.gpg, který ověřuje úložiště CyberElements Bastion.

Kromě zrcadla budou pro proces upgradu potřeba nástroje třetích stran:

Klient SSH (ve Windows lze použít nástroj PuTTY)
Klient SCP (ve Windows lze použít nástroje WinSCP nebo FileZilla)

Instalace a použití nástroje screen¶

Nástroj screen umožňuje otevřít více terminálů shellu v jediné konzole. K provedení upgradu verze CyberElements Bastion je nezbytné tento nástroj použít, aby se odstranila závislost na stabilitě síťového připojení. Bez nástroje screen by se totiž instalace při přerušení připojení SSH k serverům CyberElements Bastion zastavila.

Díky nástroji screen lze po opětovném připojení ke konzole shellu zařízení CyberElements Bastion znovu získat terminál, ve kterém byl spuštěn proces aktualizace.

Balíček screen nainstalujte následujícím příkazem:

apt install --no-install-recommends screen

Chcete-li otevřít nový terminál screen, je nutné spustit následující příkaz:

1	`screen -S <ID>`

Nahraďte <ID> názvem, který identifikuje relaci.

Příklad

Pro upgrady verze CyberElements je identifikátor cye-upgrade snadno rozpoznatelný. Příkaz by tedy vypadal takto:

1	`screen -S cye-upgrade`

Chcete-li obnovit terminál otevřený nástrojem screen, stačí spustit následující příkaz:

1	`screen -r <ID>`

Nahraďte <ID> názvem definovaným při otevření relace.

Příklad

Terminál dříve otevřený s identifikátorem cye-upgrade lze obnovit následujícím příkazem:

1	`screen -r cye-upgrade`

Chcete-li terminál po dokončení upgradu zavřít, zadejte v terminálu příkaz exit nebo klávesovou zkratku ctrl+d.

Tím se vrátíte do konzoly. Zpráva „screen is terminating“ potvrzuje, že byl terminál zavřen.

Upgrade¶

Aktualizace balíčků systému Debian¶

Protože upgrade CyberElements Bastion vyžaduje upgrade systému Debian, doporučuje se před přechodem na Debian 12 řádně aktualizovat balíčky Debian 11. Za tímto účelem spusťte jako root následující příkazy (aktualizace systému a poté odebrání nepotřebných balíčků):

apt update
apt upgrade -y
apt autoremove -y

Mohou se zobrazit zprávy s výzvou ke změně konfigurace několika konfiguračních souborů. V takových případech vyberte možnost zachovat aktuální konfiguraci.

Příprava zrcadla CyberElements Cleanroom 4.6¶

Zrcadlo získané ve fázi přípravy (soubor s příponou tgz) je nutné odeslat na server přes SCP. Umístěte jej do adresáře /tmp/.

Poté připravte zrcadlo spuštěním následujících příkazů jako root (zbytkové soubory z předchozího upgradu verze budou odstraněny):

mkdir -p /opt/systancia/repository
rm -rf /opt/systancia/repository/*
tar xvzf /tmp/*.tgz -C /opt/systancia/repository/

Konfigurace APT¶

Správce balíčků APT je nakonfigurován pro stahování balíčků Debian 11; je nutné jej překonfigurovat pro stahování balíčků Debian 12. Je také nutné aktualizovat odkaz na místní zrcadlo CyberElements Bastion. Za tímto účelem spusťte jako root následující příkazy:

echo -e 'deb http://security.debian.org/debian-security/ bookworm-security main contrib non-free non-free-firmware\ndeb http://ftp.fr.debian.org/debian bookworm main contrib non-free non-free-firmware\ndeb http://ftp.fr.debian.org/debian bookworm-updates main contrib non-free non-free-firmware' > /etc/apt/sources.list
echo "deb file:///opt/systancia/repository/ bookworm ipdiva" > /etc/apt/sources.list.d/systancia.list

Místní zrcadlo je ověřováno klíčem systancia.gpg staženým během fáze přípravy. Odešlete jej na server přes SCP do adresáře /tmp/ a poté jej nainstalujte následujícím příkazem jako root:

1	`mv /tmp/systancia.gpg /etc/apt/trusted.gpg.d/`

Kromě konfigurace nových úložišť důrazně doporučujeme použít následující nastavení, které APT nařizuje neinstalovat doporučené závislosti, jež nejsou nezbytně nutné, a snížit tak počet instalovaných komponent. Následující příkaz použije toto nastavení jako root:

echo -e 'APT::Install-Recommends false;\nAPT::Install-Suggests false;' > /etc/apt/apt.conf.d/99norecommends

Nakonec je nutné aktualizovat seznam balíčků v úložištích následujícím příkazem:

1	`apt update`

Spuštění upgradu verze¶

Připojte se k serveru Edge Gateway přes SSH a přepněte se na root, poté spusťte nástroj screen podle výše uvedených pokynů.

Při upgradu serveru Edge Gateway z Debianu 11 na Debian 12 se balíček collectd aktualizuje a přestane být kompatibilní s konfiguračním souborem, který vygeneroval CyberElements Bastion (/etc/collectd/collectd.conf). To může během aktualizace způsobit chybu.

Abyste tomu předešli, zakažte collectd:

systemctl stop collectd 
systemctl disable collectd

Poté lze upgrade spustit následujícím příkazem:

1	`apt dist-upgrade -y`

Během upgradu dostanete několik otázek, zda ponechat konfigurační soubory a aktualizovat je podle standardní konfigurace Debianu 12, nebo zachovat stávající specifickou konfiguraci. Zde jsou naše doporučení pro většinu souborů, se kterými se můžete setkat:

Konfigurační soubor	Doporučená akce
/etc/issue	Zachovat: odpovězte `N`
/etc/issue.net	Zachovat: odpovězte `N`
/etc/security/limits.conf	Zachovat: odpovězte `N`
/etc/login.defs	Zachovat: odpovězte `N`
/etc/snmp/snmpd.conf	Použít změny: odpovězte `Y`
/etc/ssh/sshd_config	Zachovat: odpovězte `Keep the local version currently installed`
/etc/pam.d/su	Zachovat: odpovězte `N`
/etc/sysctl.conf	Ponechat, odpovězte `N`
/etc/audit/rules.d/audit.rules	Ponechat, odpovězte `N`
/etc/ssh/ssh_config	Použít změny, odpovězte `Y`
/usr/share/tomcat10/logrotate.template	Použít změny, odpovězte `Install the package maintainer's version`

Potvrďte automatické restartování služeb:

Po dokončení upgradu spusťte následující příkazy, které znovu aktivují collectd, odeberou nepotřebné balíčky a restartují počítač:

systemctl start collectd
systemctl enable collectd
apt autoremove -y
reboot

Validace¶

Po dokončení operace upgradu je před návratem do produkčního provozu nutná fáze validace, která ověří správné fungování infrastruktury CyberElements Bastion. Pokud validace selže, je třeba zvážit vrácení změn obnovením záloh serverů CyberElements Bastion.

Přejděte do rozhraní správce a poté do nabídky správy serverů Edge Gateway.

Aktualizované servery Edge Gateway by měly hlásit verzi 8.9, pokud se úspěšně znovu připojily k serveru Mediation Controller.

Pokud byl upgrade proveden na všech serverech, lze provést všechny funkční testy a ověřit celý kontrolní seznam přejímky.