Portes quatre mòduls escrivint sudo apt install sense preguntar-te d'on surt aquest programari, qui garanteix que no l'ha manipulat ningú pel camí, ni què passa si una matinada el motor de base de dades de Tramontana salta de la versió 15 a la 16 i l'aplicació deixa d'arrencar. Ara que saps exactament què et permet fer sudo, toca entendre què hi fas la majoria de les vegades: instal·lar, actualitzar i fixar programari. Aquesta lliçó cobreix les dues capes de Debian i Ubuntu, la signatura criptogràfica dels dipòsits, la fixació de versions i el debat incòmode de si un servidor s'ha de reiniciar sol després d'una actualització de seguretat.

1. Què resol un gestor de paquets
2. Anatomia d'un .deb i comparació amb .rpm
3. Les dues capes: dpkg enfront d'apt
4. apt en el dia a dia
5. dpkg i l'arqueologia de fitxers
6. Dipòsits: deb822, components, pockets i claus
7. Fixar versions: hold i pinning
8. Actualitzacions desateses, el reinici i la neteja de la memòria cau
9. Snap, Flatpak i AppImage enfront de .deb
10. Compilar des de les fonts quan no queda altre remei
11. Equivalències amb dnf a RHEL
12. Cas Tramontana: dependències, versió fixada i auditoria

Instal·lar programari «a mà» —descarregar un .tar.gz, compilar-lo i copiar-lo a /usr/local— sembla inofensiu fins que arriba la primera actualització de seguretat. Un gestor de paquets resol quatre problemes que a mà no tenen solució raonable:

• Dependències: sap que la teva aplicació necessita libssl3t64 i que aquesta biblioteca la fan servir altres vint programes, així que la instal·la una vegada i la comparteix.
• Actualitzacions de seguretat: una ordre actualitza tot el que hi ha instal·lat. Amb programari compilat a mà, el dia que surti un CVE crític te n'hauràs de recordar tu.
• Integritat i procedència: cada paquet ve signat i amb la suma comprovada. Saps que el que s'instal·la és el que va publicar el mantenidor.
• Desinstal·lació neta: el gestor sap exactament quins fitxers va portar cada paquet. Un make install no en deixa ni la llista.

Regla operativa: compilar és l'última opció, i quan toqui, a /usr/local per no trepitjar el que administra el gestor.

Un .deb és un arxiu ar amb tres peces: debian-binary (versió del format), control.tar.zst (metadades i scripts) i data.tar.zst (els fitxers que s'instal·len).

Els camps de relació entre paquets són els que fan tota la feina:

Dins de control hi ha a més scripts de mantenidor —preinst, postinst, prerm, postrm— que s'executen com a root en cada fase. És la raó exacta per la qual afegir un dipòsit de tercers és una decisió de seguretat i no una comoditat: instal·lar un paquet és executar codi aliè com a root.

dpkg sap instal·lar un fitxer .deb i portar la comptabilitat del que hi ha instal·lat; no sap res de dipòsits ni descarrega dependències. apt sap parlar amb els dipòsits, resoldre el graf de dependències, verificar signatures i decidir l'ordre, i després delega en dpkg.

Nota: apt és la interfície per a humans i apt-get/apt-cache les estables per a scripts. En un script fes servir apt-get: apt avisa que la seva interfície pot canviar entre versions.

La confusió clàssica: update només descarrega els índexs. Sense ell, apt treballa amb una foto vella del dipòsit i no veurà l'actualització de seguretat publicada aquest matí. La diferència entre upgrade i full-upgrade importa en un servidor: upgrade és conservador i prefereix no tocar res abans que esborrar res; full-upgrade accepta eliminacions i és el que cal en un canvi de versió de distribució.

remove enfront de purge és una decisió real: remove et permet reinstal·lar i recuperar la teva configuració; purge deixa el sistema net. En un servidor que es documenta, purge evita que d'aquí a un any aparegui un /etc/aixòquesigui fantasma que ningú no sap d'on ve.

Consulta:

I l'opció que més disc estalvia en un servidor és sudo apt install --no-install-recommends nginx. Els Recommends arrosseguen extres pensats per a escriptori (documentació, clients gràfics, servidors de correu complets). En un servidor, cada paquet de més és superfície d'atac i disc ocupat. Ho pots fer permanent:

Els estats de dpkg -l es llegeixen en dues lletres: la primera és l'estat desitjat i la segona el real. ii és «instal·lat i instal·lat»; rc és «eliminat però queden fitxers de configuració» (candidats a purge); iU o iF indiquen una instal·lació a mitges, que s'arregla amb sudo dpkg --configure -a (acaba configuracions interrompudes) i sudo apt -f install (repara dependències trencades).

Per buscar un fitxer en paquets que no tens instal·lats:

Ubuntu 24.04 va abandonar el format d'una línia de /etc/apt/sources.list i fa servir deb822, molt més llegible, a /etc/apt/sources.list.d/*.sources:

El fitxer porta un segon bloc idèntic amb URIs: http://security.ubuntu.com/ubuntu/ i Suites: noble-security, que és el que porta els pedaços.

Cada dipòsit signa el seu índex Release amb una clau GPG. Antigament totes les claus anaven a un clauer global (apt-key add), cosa que significava que qualsevol dipòsit de tercers podia signar qualsevol paquet, inclòs un openssh-server fals que substituís l'oficial. Per això apt-key és obsolet i eliminat a la 24.04. Avui la clau es guarda en un fitxer i es lliga a aquell dipòsit amb Signed-By:.

Afegir un dipòsit de tercers és una decisió de seguretat. Estàs autoritzant un tercer a executar codi com a root al teu servidor cada vegada que actualitzis, i a substituir paquets si no n'acotes l'abast. Abans d'afegir-lo: comprova qui el publica, fes servir HTTPS, lliga la clau amb Signed-By, limita Components al que calgui i, si t'importa de debò, aplica fixació de versió perquè només pugui subministrar els paquets previstos. En un entorn corporatiu aquesta decisió l'ha de validar el responsable de seguretat.

Els PPA d'Ubuntu són dipòsits de Launchpad que sudo add-apt-repository ppa:usuari/projecte afegeix amb la seva clau. Còmodes en escriptori; en producció, cada PPA és un mantenidor individual del qual passes a dependre.

Hi ha programari que no pot actualitzar-se sol. El motor de base de dades de Tramontana és el cas de manual: un salt de versió major implica migració del format de dades, i fer-ho a les 6:00 sense supervisió significa una aplicació caiguda i una reversió complicada.

La forma senzilla, amb dpkg:

Un paquet en hold no el toca ni upgrade, ni full-upgrade, ni unattended-upgrades.

La forma amb més control, la fixació de versió (pinning) d'APT, permet decidir de quin origen ve cada cosa:

apt-cache policy és l'eina que confirma que la teva fixació fa el que et penses. Comprova-ho sempre: una fixació mal escrita no dona error, simplement no s'aplica.

Un servidor sense pedaços de seguretat és qüestió de temps. Ubuntu inclou unattended-upgrades, que per defecte instal·la només el del pocket -security:

El debat del reinici automàtic no té resposta universal. Una actualització del nucli o de glibc no fa efecte fins que es reinicien els processos afectats o la màquina:

Per a Tramontana, amb un sol servidor i sense alta disponibilitat (que és matèria de 07-07), la decisió raonable és false més una alerta que la Marta rebi, més un compromís escrit de finestra setmanal. I el costum imprescindible: instantània de la VM abans d'una actualització grossa, que en un servidor real és una instantània LVM o de l'hipervisor (05-04).

I la neteja, que en un servidor amb /var a la seva pròpia partició —com el que vas particionar a 01-04— evita un disc ple: du -sh /var/cache/apt/archives sol donar centenars de megues, que sudo apt clean esborra completament i apt autoclean només en el que ja s'ha retirat del dipòsit; els nuclis antics els neteja apt autoremove --purge.

Ubuntu porta snapd de sèrie, i algunes peces (com lxd o certbot) es distribueixen així. El que cal saber en un servidor: els snaps s'actualitzen sols i el seu ritme es pot posposar però no cancel·lar, cosa que xoca de ple amb una política de canvis controlats.

--prefix=/usr/local no és un detall: l'FHS de 01-06 reserva aquell arbre per al que instal·la l'administrador, precisament perquè mai no col·lisioni amb el que gestiona dpkg a /usr. I com que make install no deixa registre, existeix checkinstall, que embolcalla la instal·lació en un .deb real:

Ara es desinstal·la netament amb apt purge eina. Tot i així, continua sense haver-hi ningú que t'avisi de les seves fallades de seguretat: aquella vigilància passa a ser teva.

Reprenent les famílies de 01-03, aquesta taula et permet treballar a Rocky, Alma o RHEL sense tornar a aprendre res:

La diferència pràctica més cridanera: dnf history undo desfà una transacció sencera, cosa que APT no ofereix. A Debian/Ubuntu la volta enrere es fa reinstal·lant versions concretes a partir de history.log.

Primer, les dependències del servidor, sense recomanats i amb verificació:

Segon, fixem la base de dades perquè cap actualització desatesa no la pugi de versió major:

I afegim la fixació explícita d'/etc/apt/preferences.d/99-tramontana-bd que vas veure a l'apartat 7, més la llista negra a 50unattended-upgrades. Verificació obligatòria:

Tercer, la pregunta de la Marta aquest matí: «què es va actualitzar ahir a la nit i per què?».

Resposta per a la Marta, amb l'estructura de sempre —què protegeix i què no protegeix—: «Ahir a la nit es va actualitzar OpenSSL per una fallada de seguretat que permetia tombar el servei TLS. Protegeix el xifratge de les connexions entrants. No protegeix res més, i no farà efecte complet fins que es reiniciïn els serveis que ja tenien la biblioteca carregada; needrestart indica que tramontana.service n'és un. Proposo reiniciar-lo a la finestra del dijous. La base de dades continua fixada a la sèrie 16 i no s'ha tocat.» I a l'HISTORIAL:

• Creure que apt update actualitza alguna cosa. Només refresca la llista; el parell correcte és apt update && apt upgrade, i el && no és decoratiu: si l'update falla, actualitzar amb índexs vells és pitjor que no actualitzar.
• Fer servir apt en scripts en comptes d'apt-get amb DEBIAN_FRONTEND=noninteractive, o dpkg -i i prou, que instal·la sense dependències i deixa el sistema en estat iF (fes servir apt install ./fitxer.deb).
• Afegir un dipòsit amb apt-key. Eliminat a la 24.04 i insegur per disseny: clau a /etc/apt/keyrings/ i Signed-By: al .sources.
• Oblidar el pocket -security. Sense ell el servidor es queda sense pedaços, i no dona cap error. I no actualitzis sense instantània ni finestra: el dia que alguna cosa es trenqui, la diferència entre 5 minuts i 5 hores és haver fet la instantània.
• Deixar el hold posat i oblidar-lo. Un paquet retingut tampoc no rep pedaços de seguretat: revisa apt-mark showhold cada mes i anota qui va decidir cada retenció i fins quan.
• Consell: guarda apt-mark showmanual > paquets.txt al costat de les teves còpies. Reconstruir un servidor amb aquella llista és qüestió de minuts.

1. Simulació abans d'actuar. Esbrina quins paquets s'actualitzarien ara mateix i quant disc ocuparien, sense instal·lar res. Després, comprova si algun d'ells exigeix reiniciar el sistema.
2. Dipòsit de tercers ben muntat. Descriu els passos complets i segurs per afegir un dipòsit fictici https://apt.tramontana.example/ (suite noble, component main) que només hagi de subministrar el paquet tramontana-agent, i indica com verificaries que no pot substituir paquets del sistema.
3. Forense d'una actualització. Un company diu que «algú va instal·lar nginx a mà el dimarts». Demostra amb ordres quan es va instal·lar, si va venir d'un dipòsit o d'un .deb solt, i quins fitxers de configuració aporta.

1.

--simulate (o -s) és el --dry-run d'APT, i encaixa amb la convenció del curs de simular abans d'actuar. Per al reinici: [ -f /var/run/reboot-required ] && cat /var/run/reboot-required.pkgs || echo "No cal reiniciar".

2. Els passos, en ordre:

Verificació: sudo apt update no ha de donar avisos de signatura, i apt-cache policy openssl ha de continuar mostrant noble-security com a origen del candidat. Aquella fixació de prioritat 1 és la xarxa de seguretat que impedeix que un dipòsit de tercers segresti un paquet del sistema.

3.

Va venir del dipòsit oficial (noble-updates), el va demanar luis el 13 d'agost amb apt install, i aporta conffiles que apt protegirà en futures actualitzacions. Fixa't en el camp Requested-By: history.log guarda l'UID real darrere del sudo, cosa que enllaça directament amb la traçabilitat de la lliçó anterior.

El programari de srv-tramontana ja no apareix per art de màgia. Saps que un gestor de paquets resol dependències, actualitzacions, integritat i desinstal·lació neta, i que compilar és l'última opció; coneixes l'anatomia d'un .deb —inclosos els scripts de mantenidor que corren com a root, que és la raó de fons de tota la cautela amb els dipòsits— i la seva equivalència amb .rpm; distingeixes la capa dpkg de la capa apt i saps quan toca cadascuna; manegues update/upgrade/full-upgrade, remove enfront de purge, --no-install-recommends, depends/rdepends i l'arqueologia de dpkg -L, dpkg -S i apt-file.

Entens els dipòsits d'Ubuntu 24.04 en format deb822, els seus components i els seus pockets, i per què la clau va a /etc/apt/keyrings/ amb Signed-By: en lloc del difunt apt-key. Saps fixar versions amb apt-mark hold i amb pinning, verificar-ho amb apt-cache policy, i que un hold oblidat deixa un paquet sense pedaços. Has configurat unattended-upgrades perquè instal·li només seguretat, avisi la Marta i no reiniciï sol, sabent llegir /var/run/reboot-required i needrestart. I saps situar snap, Flatpak i AppImage, compilar a /usr/local amb checkinstall quan toca, i traduir-ho tot a dnf.

Queda el recurs del qual depèn tota la resta i que ningú no mira fins que s'acaba: el disc. /srv/tramontana/backups porta setmanes creixent, la còpia de les 4:20 escriu cada nit sense que ningú hagi calculat quant hi cap, i la memòria cau d'apt que acabes de netejar era un símptoma, no la causa. A Gestió de Discs veuràs la pila completa des del dispositiu físic fins al punt de muntatge, particions MBR i GPT, sistemes de fitxers comparats, /etc/fstab camp a camp —i per què una línia mal escrita allà impedeix arrencar el servidor—, el cas del fitxer esborrat que no allibera espai, i LVM, amb el qual afegiràs un disc nou a la VM i mouràs /srv/tramontana/backups al seu propi volum sense perdre ni un sol byte.