Debian 12, Astra Linux SE и РЕД ОС 8: помогаем клиенту выбрать базовый дистрибутив для новых серверов

Клиент - производственное предприятие, не объект КИИ, но с внутренними требованиями ИБ и желанием делать всё «по-человечески с нуля». Закупают новое железо под расширение серверного парка: около двадцати машин в горизонте квартала, потом ещё. Попросили нас помочь с выбором базового дистрибутива - «чтобы потом не переделывать». Мы посмотрели на три кандидата: Debian 12 Bookworm, Astra Linux Special Edition 1.7 и РЕД ОС 8.0.

Сразу честно: универсального ответа нет. Выбор зависит от того, что именно клиент считает приоритетом. Ниже - как мы разложили варианты по критериям, которые сам клиент назвал важными.

Контекст

Парк будет использоваться под смешанную нагрузку: несколько серверов баз данных (PostgreSQL), веб-сервисы внутреннего контура, мониторинг, хранилище. Прикладной стек - преимущественно open source, ничего из специфических RPM-вендорских пакетов, требующих точной совместимости с RHEL. Команда эксплуатации небольшая, опыт - смешанный, но Ubuntu/Debian люди знают лучше, чем RPM-дистрибутивы. При этом служба безопасности поставила вопрос о сертификации: «а вдруг нас попросят показать документы».

Debian 12 Bookworm

Вышел в июне 2023, LTS-поддержка до 2028 года, расширенная до 2033. Ядро 6.1 LTS, systemd 252, актуальные версии большинства популярных серверных пакетов из коробки.

Плюсы для этого клиента. Команда работает с Debian/Ubuntu - кривая адаптации минимальная. Пакетная база обширная, PostgreSQL 15 и 16 из официального PGDG-репозитория встают без танцев. Нет подписки - обновления безопасности прилетают через стандартный apt, бесплатно, без личного кабинета и лицензионного ключа на каждый сервер. Для двадцати машин это не принципиально, для ста - уже экономия на инфраструктуре управления лицензиями.

Минусы. Сертификата ФСТЭК нет и не предвидится - это принципиальное отличие от двух других кандидатов. Если служба безопасности когда-нибудь потребует документально подтверждённый уровень защищённости ОС, Debian этот вопрос не закроет. Коммерческой поддержки от российского вендора тоже нет - только community и платный Freexian LTS, что для отечественного предприятия со службой безопасности звучит сомнительно.

Astra Linux Special Edition 1.7

Базируется на Debian 10 Buster, что само по себе момент для обсуждения: upstream Debian 10 ушёл на LTS-режим ещё в 2022-м, и разрыв с актуальным Debian 12 уже ощутимый. «Русбитех-Астра» поддерживает пакеты самостоятельно, выпускает обновления безопасности через собственный репозиторий.

Плюсы. Сертификат ФСТЭК по высшему классу МО5 - это реально самый сильный документ в сегменте отечественных Linux-дистрибутивов. Если задача «показать регулятору бумаги» - Astra закрывает её лучше всех. Коммерческая поддержка от российского юрлица, SLA, договор - всё есть.

Минусы. Дистрибутив стоит денег, причём не только лицензия, но и поддержка считается отдельно. Для двадцати серверов сумма уже ощутима, и клиенту нужно понимать, что он платит не за новые функции, а за доступ к обновлениям и сертификат. Ядро и прикладные пакеты старше, чем в Debian 12 - это реальный технический долг, особенно если нужны свежие версии PostgreSQL или специфические возможности ядра 6.x. Совместимость со специализированным ПО мы проверяли на другом клиенте - сюрпризы бывают.

РЕД ОС 8.0

RPM-дистрибутив с бинарной совместимостью с RHEL 8, вышел в сентябре 2023. Сертификат ФСТЭК есть, дистрибутив в реестре Минцифры.

Плюсы. Для тех, кто исторически сидит на CentOS/RHEL - знакомая экосистема: dnf, SELinux, systemd в привычном окружении. Прикладные RPM-пакеты, собранные под RHEL 8, в большинстве своём встают нормально. Коммерческая поддержка есть, цены ниже, чем у Astra.

Минусы для этого конкретного клиента. Команда эксплуатации не работала с RPM-дистрибутивами. SELinux в enforcing-режиме по умолчанию - это правильно с точки зрения безопасности, но на практике означает отдельный пласт навыков, которых у команды нет. Учиться на продуктивных серверах - плохая идея. Плюс мы недавно тестировали РЕД ОС 8.0 на другом клиенте и видели нюансы с вендорскими пакетами - не катастрофа, но время закладывать нужно.

Как мы объяснили клиенту

Мы свели всё в три вопроса:

• Есть ли регуляторное требование к сертификации ОС прямо сейчас? Если нет - Debian 12, экономия реальная, знания команды используются, технический долг минимален.
• Команда знает RPM или Debian? Переучиваться на непривычную экосистему под продуктив - риск, который легко посчитать в часах инцидентов.
• Готов ли клиент платить за подписку ежегодно? Если да и если сертификат важен - Astra или РЕД ОС. Если нет - Debian с договором на нашу поддержку закрывает практически то же самое, что клиент реально использует от коммерческой подписки.

В данном случае ответы получились: нет, Debian/Ubuntu, не очень готов. Рекомендация - Debian 12 Bookworm на новые серверы с нашим сопровождением. Клиент пока думает - служба безопасности хочет «что-нибудь сертифицированное», и это нормально, такие разговоры идут долго.

Что по TCO

Грубо, без конкретных цифр по понятным причинам: разница в лицензионных расходах между Debian и Astra на двадцать серверов за три года покрывает примерно год нашего managed-сопровождения. Это не аргумент против Astra - у неё есть ценность, которую деньгами не измеришь, если сертификат реально нужен. Но если сертификат «на всякий случай» - стоит считать честно.

Итог пока промежуточный: клиент продолжает согласовывать внутри. Мы дали рекомендацию, объяснили логику, подготовили сравнительную таблицу для внутреннего совещания. Иногда наша работа выглядит именно так.