Ubuntu 18.04 уходит в ESM: составляем реестр и выбираем между Astra, Ubuntu 20.04 и РЕД ОС

В апреле 2023 Ubuntu 18.04 LTS (Bionic) заканчивает стандартный пятилетний цикл поддержки. Дальше - Extended Security Maintenance: патчи выходят, но только для тех, кто подписан на Ubuntu Pro у Canonical. Бесплатно - ничего. Для коммерческих организаций это означает, что серверы на Bionic либо переезжают, либо остаются без обновлений безопасности.

Мы ведём несколько клиентских инфраструктур в рамках сопровождения, и по итогам инвентаризации за ноябрь у нас набралась достаточно показательная картина.

Что показала инвентаризация

На прошлой неделе прогнали быстрый аудит по всем подопечным серверам - искали всё, что отдаёт lsb_release -rs значением 18.04. Нашли больше, чем ожидали. Bionic живёт именно там, где его меньше всего замечают: старые Jenkins-агенты, мониторинговые коллекторы, несколько внутренних веб-сервисов, поднятых «на время, пока не переедем» года три назад. Плюс пара серверов с PostgreSQL 10, который в ноябре вышел из активной поддержки.

Это классическая ситуация: ОС устанавливали в 2019-2020, она работала, никто не трогал - и вот она есть в реестре, но никто о ней особо не думал.

Разделили всё на три группы по срочности:

Критичные - серверы с сетевым доступом снаружи или обрабатывающие чувствительные данные. Тут апрель 2023 как жёсткий дедлайн: оставаться без патчей безопасности нельзя.

Рабочие, но без внешнего периметра - внутренние сервисы, CI-агенты, инструменты. Здесь немного больше времени на планирование, хотя затягивать тоже смысла нет.

Кандидаты на вывод - машины, на которых крутится что-то, что давно пора было выключить. Для них ответ не «куда мигрировать», а «что за сервис вообще нужен».

Куда переезжаем

Единого ответа нет - зависит от клиента и от того, что стоит на конкретном сервере.

Для клиентов с требованиями по импортозамещению ответ очевиден: Astra Linux или РЕД ОС. Мы разбирали эти кейсы летом - оба дистрибутива живут в реестре ФСТЭК, оба закрывают вопросы по регуляторике. Astra Linux Special Edition 1.7 идёт туда, где нужен мандатный контроль доступа и сертификация под ГТ или ДСП. РЕД ОС 7.3 - туда, где важна совместимость с привычным RPM-стеком и поддержка контейнеров: мы писали про Podman в РЕД ОС ещё в июле, контейнерная история там вполне рабочая.

Отдельный нюанс с Astra: доменная интеграция требует аккуратности, FreeIPA-кейс это хорошо иллюстрирует - там есть тонкости с групповыми политиками, которые с первого раза не очевидны. Планируем время на это заранее.

Для клиентов без строгих регуляторных требований рассматриваем Ubuntu 20.04 LTS (Focal). До апреля 2025 у него стандартная поддержка, дальше тоже будет ESM - но это даёт ещё два с лишним года без проблем. Обновление с 18.04 до 20.04 через do-release-upgrade технически работает, но мы предпочитаем делать чистую установку там, где позволяет конфигурация: меньше унаследованных артефактов в /etc, понятнее состояние после переезда. На практике это означает, что надо заранее разобраться с конфигурацией сервиса - и это хорошая возможность привести в порядок то, что годами накапливалось.

Что сейчас делаем

Реестр составлен, приоритеты расставлены, с командами клиентов согласованы временные окна. Первые переезды запланированы на январь - берёмся с критичных серверов.

Одна вещь, которую мы вынесли из этой инвентаризации: Bionic нашёлся там, где его искали меньше всего. Постоянный реестр ОС-версий по всем серверам - не разовая задача, а процесс. После OpenSSL-инцидента в ноябре у нас уже шёл разговор про CMDB и автоматическую инвентаризацию; история с Ubuntu 18.04 это только подтвердила.

Апрель не за горами, но и не завтра. Сейчас - нормальное время для спокойного планирования, а не для авральной миграции в марте.