Je hebt al even een mooi serverprojectje in je hoofd. Met een paar keer goed boos worden, heb je in een regenachtig weekend dat mooi even in elkaar geknutseld. Kost even moeite, maar nu draait het dan ook als een tierelier. Je hebt er veel lol aan gehad, maar voorlopig wil je er niet al te veel tijd meer instoppen. Welke mogelijkheden heb je om met zo min mogelijk inspanning toch veilig en up-to-date te blijven?
Het internet is een fenomeen met fantastische mogelijkheden. Helaas wordt het ook gebruikt door mensen met wat minder frisse bedoelingen. Nu je server goed draait, wil je zo min mogelijk aan je setup veranderen. Alleen, het moet natuurlijk wel veilig blijven. Je server zonder beveiligingsupdates blijven draaien, is geen optie.
Echter, je server naar de volgende ondersteunde release upgraden, is ook wel weer wat. Ondanks dat zoiets doorgaans prima gaat, zijn er toch vaak wel wat kleine dingetjes die dan moeten worden aangepast. En daar heb je even geen tijd voor of juist vooral geen zin in. Een vraagstuk die meer gebruikers hfebben. Dit is dan ook precies waar Debian om de hoek komt kijken.
Wat is Debian?
Debian is een veelgebruikte Linux-distributie die door een beveiligingsteam wordt onderhouden. Er is altijd een stabiele versie, de ‘stable’. Komt er een nieuwe stabiele versie uit, dan krijgt de huidige ‘oldstable’ als naam. De afspraak is dat deze ‘oldstable’ dan nog één jaar door het beveiligingsteam wordt onderhouden, voor alle ‘architecturen’ tijdens de originele release.
Met het gemiddelde release-tempo – Debian heeft geen vast schema en releaset als het ‘klaar’ is – komt dat er in de praktijk op neer dat een release ongeveer drie jaar wordt ondersteund. Drie jaar lang je server veilig zonder al te veel omkijken, klinkt niet verkeerd! Maar het kan nog beter.
Langer ondersteuning met Debian LTS
In 2014 heeft Debian 2014 het zogenaamde Debian LTS project in het leven geroepen, waarin ‘LTS’ voor ‘Long Term Support’ staat. Dit bestaat uit al dan niet gesponsorde vrijwilligers, die het stokje van het reguliere beveiligingsteam overneemt. Het doel is om een Debian-release tenminste vijf jaar ondersteund te houden. Het aantal ondersteunde architecturen wordt wel beperkt, omdat dit team simpelweg niet alles kan bijhouden.
De oplettende lezer zal het zojuist zijn opgevallen dat er ook ‘gesponsorde’ vrijwilligers zijn. Wat is het verhaal hierachter? Nou, eigenlijk vrij simpel. Debian Linux wordt ook veel gebruikt door bedrijven die baat hebben bij langdurige ondersteuning van een release. Het kost immers veel tijd om je product of dienst aan te passen en tijd is geld in deze wereld.
Deze bedrijven hebben dus belang bij het succes van het Debian LTS project, maar hebben vaak niet de medewerkers met de juiste vaardigheden om een bijdrage te kunnen leveren. Ze willen op zich wel een financiële bijdrage doen, maar hoe kan Debian die bijdragen in praktijk gebruiken?
De gekozen oplossing hiervoor is dat het bedrijf Freexian, een softwarebedrijf gespecialiseerd in Debian Linux, als tussenpersoon fungeert. Dit bedrijf verzamelt de financiële bijdragen, in de vorm van equivalent gesponsorde uren, en verdeelt deze uren over Debian-developers die in die toegewezen uren aan Debian LTS werken. Bedrijven kunnen een voorkeur geven voor packages die zij ondersteund willen hebben.
Vijf jaar van uitstellen vliegt voorbij…
Vijf jaar vloog voorbij en de dag waarvan je wist dat die zou komen is daar. Het Debian LTS-team heeft al die tijd netjes voor jou de updates klaargezet, maar nu vinden ook zij het genoeg. De spreekwoordelijke koek is op. En in al die jaren heb je het te druk gehad om je server om te zetten.
Of eerlijker, je hebt het telkens uitgesteld. Nu de nood het hoogst is, heb je echt geen tijd om je server te upgraden. En stopzetten wil je niet. Daarnaast is het internet helaas nog niet het beloofde land van pais en vree, dus die beveiligingsupdates heb je nodig. Help, wat nu?
Nóg langer veilig door Debian ELTS
Debian kwam ook hier met een gepaste oplossing: Debian ELTS by Freexian, waar ‘ELTS’ voor ‘Extended Long Term Support’ staat. De oorsprong van dit project is een door Raphael Hertzog gestarte discussie, de eigenaar van Freexian. De kern van zijn verhaal was dat verschillende sponsoren uit het Debian LTS project graag de termijn van Debian LTS wilden verlengen.
Een rondgang langs de betaalde vrijwilligers leverde op dat er van hun kant voldoende belangstelling was om hieraan te werken. Echter, omdat de animo voor deze verlenging vanuit de sponsoren niet voldoende was om de volledige LTS-ondersteuning te kunnen bekostigen, kwam er uiteindelijk de volgende oplossing uit de discussie rollen.
Sponsoren van Debian ELTS, die overigens wel al sponsor in het LTS-project dienen te zijn, kunnen opgeven welke pakketten zij ondersteund willen hebben. Freexian maakt dan een inschatting van de uren, en daarmee kosten, die nodig zijn om de pakketten te onderhouden. Zijn er meerdere sponsoren die een pakket ondersteund willen hebben, dan delen zij de kosten. De bedrijven worden dan elk kwartaal gefactureerd. Ook kunnen zij per kwartaal besluiten te stoppen of de lijst met gewenste pakketten wijzigen.
Dit betekent dat in Debian ELTS alleen de pakketten worden onderhouden die door de sponsoren worden gebruikt. Dat is dus een variabele lijst. Pakketten kunnen worden toegevoegd, maar ook weer worden verwijderd. Als je kijkt naar de lijst van ondersteunde pakketten op dit moment, dan zit je bij standaardgebruik van een server nog wel veilig.
Er is geen afgesproken eindtijd van Debian ELTS. Bij de start van het project was de verwachting dat men op zijn minst tot juni 2019 ondersteuning kan leveren, maar bij voldoende interesse van sponsoren en betaalde vrijwilligers kan dit verlengd worden. Dus de tijd zal het leren.
Van uitstel komt afstel
Debian geeft je de mogelijkheden om vrij lang door te gaan met een in gebruik genomen distributie. Echter, de eerlijkheid gebied me te zeggen dat je er uiteindelijk niet onderuit komt om toch een keer ‘gewoon’ te upgraden. Gebruik je Debian LTS, dan zit je gegarandeerd veilig, maar bij Debian ELTS wordt het al wat spannend.
Het is vrij gemakkelijk om te denken: “Er is nu niets aan de hand, die upgrade doe ik volgende week/maand wel.” Maar van uitstel komt afstel. En dan zul je zien dat de sponsoring stopt voor dat ene pakket dat nu net belangrijk voor je is. Je moet dan ineens in alle haast upgraden en dat is zelden een goed idee.
Zit je dus al op Debian LTS en komt er een keer een regenachtig weekend op je pad, grijp dan die kans en voer die lang uitgestelde upgrade uit. Dan zit je weer veilig en kun je in alle rust van een weekend genieten die zonniger weer met zich meebrengt 🙂
Als je geen eigen server hebt…
Niet iedereen heeft natuurlijk een eigen server. Laat staan dat je er hobby aan hebt om dat te onderhouden. En dat hoeft ook helemaal niet! Zeker als je simpelweg gewoon wat ruimte voor een website nodig hebt. Je bent dan bij onze hostingpakketten aan het juiste adres.
Met onze managed hosting heb je wél de kracht van een eigen server, maar niet de lasten en het onderhoud dat daarbij komt kijken. Dat regelen wij voor je. Zo kun jij je focussen op wat je echt wil doen, zonder je zorgen te hoeven maken over de technische details.
P.S. Wil je op de hoogte blijven van alle artikelen, updates, tips en trucs die verschijnen op ons blog? Dat kan! Via RSS, per e-mail, het liken op Facebook, het +1’en op Google+ of het volgen op Twitter.