如何設定 Linux 系統的自動更新

在伺服器管理或桌面環境中，保持作業系統套件的最新狀態至關重要。自動更新不僅能及時修補安全漏洞，防止潛在的資安威脅，還能確保系統穩定性與新功能支援。然而，許多初學者擔心自動更新會意外中斷服務或造成系統不相容。對於中階使用者而言，掌握如何精準設定自動更新機制，是提升系統管理效率的關鍵一步。

本文將以目前最廣泛使用的 Ubuntu 22.04 LTS 與 Debian 12 為基礎，介紹兩種主流的自動更新解決方案：unattended-upgrades（適用於桌面與一般伺服器）以及 cron 手動定時任務（適用於需要更多控制權的情境）。

方法一：使用 unattended-upgrades（推薦）

unattended-upgrades 是 Debian 與 Ubuntu 系統內建的套件，專為自動安裝安全更新而設計。它預設只會安裝安全修補程式，不會自動升級核心或主要套件版本，這大大降低了系統崩潰的風險。

1. 安裝套件

首先，確保系統中已安裝該套件。在大多數 Ubuntu Server 或 Debian 安裝中，它可能已經存在。若未安裝，請執行：

sudo apt update
sudo apt install unattended-upgrades apt-listchanges bsd-mailx

這裡額外安裝了 apt-listchanges，它會在更新前顯示變更紀錄，並透過電子郵件通知管理者（若需郵件通知功能）。

2. 設定自動更新

接下來，我們需要啟動自動更新功能並設定其行為。執行以下指令進入互動式設定介面：

sudo dpkg-reconfigure unattended-upgrades

在出現的對話框中，選擇 Yes 以啟用自動下載與安裝。

3. 微調設定檔

預設設定通常已足夠安全，但建議檢查 /etc/apt/apt.conf.d/50unattended-upgrades 檔案以確認細節。重點在於確認 Unattended-Upgrade::Origins-Pattern 區塊中，僅允許安全更新。例如：

Unattended-Upgrade::Origins-Pattern {
    // 僅允許安全更新
    origin=Ubuntu,codename=${distro_codename},label=Ubuntu-Security;
    origin=Debian,codename=${distro_codename},label=Debian-Security;
};

若希望自動重啟伺服器以套用核心更新（適用於非即時服務伺服器），可編輯 /etc/apt/apt.conf.d/50unattended-upgrades 並取消註解以下行：

Unattended-Upgrade::Automatic-Reboot "true";

4. 驗證狀態

設定完成後，可以手動模擬一次更新過程，確認是否運作正常：

sudo unattended-upgrades --dry-run -d

觀察日誌輸出，若無錯誤訊息，表示設定正確。日常狀態可透過以下指令查看：

systemctl status unattended-upgrades

方法二：使用 Cron 手動定時更新

對於需要更精確控制更新時間，或希望避免 unattended-upgrades 潛在衝突的使用者，可以透過 cron 定時任務來執行 apt upgrade。

1. 編輯 Cron 工作

使用 root 權限編輯 cron 表：

sudo crontab -e

2. 加入更新指令

在檔案末尾加入以下內容，設定每週日凌晨 3 點執行更新，並將輸出記錄至日誌檔：

0 3 * * 0 /usr/bin/apt update && /usr/bin/apt upgrade -y > /var/log/apt-auto-update.log 2>&1

這裡使用 && 確保只有當 apt update 成功時才執行 apt upgrade。-y 參數自動確認安裝，避免互動式提示。

3. 測試 Cron 任務

可透過 crontab -l 確認任務已加入，並檢查 /var/log/apt-auto-update.log 以確認更新結果。

常見問題

Q1: 自動更新失敗導致系統無法開機怎麼辦？ 這通常發生在核心更新後未正確重啟，或驅動程式不相容。建議在進行主要版本升級前，手動執行 sudo apt upgrade 並重啟系統。若已發生問題，可嘗試進入救援模式（Recovery Mode），移除有問題的套件或手動更新。

Q2: 如何排除特定套件不被自動更新？ 若某些套件（如資料庫或特定應用程式）需要手動管理，可將其加入排除清單。編輯 /etc/apt/apt.conf.d/50unattended-upgrades，在 Unattended-Upgrade::PackageBlacklist 區塊中加入套件名稱：

Unattended-Upgrade::PackageBlacklist {
    "mysql-server";
    "nginx";
};

小結

設定 Linux 自動更新是系統維運的基本功。對於大多數使用者，unattended-upgrades 提供了最平衡的安全與穩定性；而對於需要高度客製化的情境，cron 則提供了靈活的控制權。無論選擇哪種方式，定期檢查更新日誌與系統狀態，才是確保伺服器長期穩定運作的關鍵。記住，自動更新不是萬靈丹，適時的監控與手動介入同樣不可或缺。