Sicherheitslücken und Bugs bei neuen Ubuntu-Versionen?

[nhi]

Hallo,

Ich habe vor kurzem meinen Server aufgesetzt. Er läuft mit Windows Server 2012, allerdings fungiert bis jetzt nur als Hyper-V-Host. Als Fileserver nutze ich eine Ubuntu-VM. Ich habe mich bei der Installation für die Serverversion von Ubuntu 13.10 ohne GUI entschieden. Ich dachte mir "Wenn am 17. April sowieso Ubuntu 14.04 LTS rauskommt überbrücke ich diese Zeit lieber mit dem neueren 13.10 als mit dem 12.04 LTS". Nun habe ich aber Bedenken dass neue Ubuntuversion evtl. in den ersten Wochen noch viele Sicherheitslücken und Bugs haben, ich bin neu in der Linux-Welt und habe keine Ahnung wie so eine Distribution gleich nach Release aussieht. Jetzt gibt es 3 Möglickeiten:

1.) Direkt noch im April den Server neu aufsetzen und auf 14.04 LTS umsteigen.
2.) 13.10 noch bis Supportende im Juli behalten und erst dann auf 14.04 LTS umsteigen.
3.) Neu aufsetzten und 12.04 LTS verwenden.

Was meint ihr, sind meine Bedenken berechtigt? Der Server wird Privat und als Fileserver für ein kleines Homeoffice benutzt, die Ausfallzeit für die Neuinstallation ist verkraftbar, zumal ich dass sowieso meistens am Wochenende in der Nacht mache. Ob die Neuinstallation nun jetzt, im Juli oder Ende April gemacht wird kommt nicht drauf an.

Als 2. VM benutze ich Debian, diese VM Hostet die ownCloud, dies wäre vielleicht auch noch eine Option beim Fileserver ebenfalls auf Debian zu setzten, da ich allerdings wie gesagt neu in der Linux-Welt bin, möchte ich gerne die Unterschiede kennen lernen und deshalb gerne auch einen Ubuntuserver benutzen.

Gruss

Shilzarion

 

[Daaron]

Eins vorweg: Für Server nimmt man immer die LTS - Versionen. Da aber irgendwann in den nächsten Wochen 14.04 raus kommt... lass wies ist und mach dann ein Upgrade. Andererseits kannst du auch getrost auf 12.04 runter gehen und einfach den aktuellen Backport-Kernel verwenden. Wenn du auf die Paket-seitigen Neuerungen in 14.04 nicht scharf bist (z.B. Apache 2.4 statt 2.2... wer's mag...) merkst du keinen Unterschied.

Was Sicherheitslücken angeht: Keine Sorge. Wenn Lücken existieren, dann existieren sie im Zweifel in weiten Teilen des Linux-Ökosystems, mindestens aber im gesamten Debian-Zweig. Dementsprechend kommen, wenn denn was gefunden wird, Patches auch so schnell es geht. Wir sind hier nicht bei Microsoft, wo kritische Lücken gern mal 6-8 Wochen komplett unbehandelt bleiben weil "es ist ja grad ein Patchday".

Bugs... 13.10 wird eher Bugs haben als 14.04, denn LTS sind immer auf Stabilität geeicht.
Aber auch hier gilt: Wenn da etwas ne Macke hat, dann hat es die höchstwahrscheinlich in weiten Teilen des Ökosystems und sie wird ratzfatz behoben.

 

[nhi]

In diesem Fall werde ich bei Release auf 14.04 umsteigen.

Dass man bei Server eine LTS-VErsion nimmt weiss ich auch, allerdings habe ich den Server erst vor einer Woche aufgesetzt, und da ich ja wusste dass noch im April 14.04 LTS kommt, dachte ich mir die 3 Wochen überbrücke ich lieber mit dem neueren 13.10.

Du sagtest noch was wegen Apache 2.4: Wie beschrieben, habe ich ja noch eine VM die als ownCloud-Host fungiert. Ich möchte aber beide Distris gleichzeitg haben um ein bisschen zu vergleichen, deshalb habe ich für den Fileserver Ubuntu und für den own-Cloud-Host Debian verwendet. Meinst du es macht Sinn wegen des neuen Apaches Ubuntu als ownCloud-Host und dafür Debian als Fileserver zu benutzen?

Gruss

 

[cb-leser]

Hallo allerseits!

Bugs... 13.10 wird eher Bugs haben als 14.04, denn LTS sind immer auf Stabilität geeicht.

Naja, daher wird bei LTS-Versionen auf große Neuerungen verzichtet und gerne auf Bewährtes (z.B. aus der vorhergehenden Version) zurückgegriffen bzw. im Sinne der Stabilität hauptsächlich 'aktualisiert statt neu gebastelt'; man greift mWn. quasi 'auf Erfahrungen mit der alten Version' zurück, die dementsprechend auch schon sehr zuverlässig ist.

Da 13.10 eben schon 'gut abgehangen' (also 'ziemlich stabil' ) ist, würde ich Variante 2 wählen.
Ich kann nur von der Desktop-Variante sprechen, aber hier ist meine Erfahrung (muss nicht jeder gemacht haben), dass es zum Release noch nervige Bugs geben kann (auch bei LTS-Versionen).
Als würde man zwar nicht viel ändern, aber durch die 'Neuzusammenstellung und kleine Neuerungen' doch wieder ein wenig, wenn auch nicht so viel wie bei non-LTS, 'Erfahrung' (und Bugfixes ) sammeln müssen, bis es sauber läuft.

Ergo: Wenn ich auf non-LTS bin, warte ich am liebsten etwa einen Monat nach Release ab, sauge mir einen Daily-Build und installiere erst dann (wenn es keinen triftigen Grund gibt, dies vorher zu tun, wie z.B. Hardwareunterstützung). Dann ist bis zur (über-)nächsten LTS-Version Ruhe im Karton.

Grüße,
cb-leser

 

[mensch183]

Eins vorweg: Für Server nimmt man immer die LTS - Versionen.

Unfug. Es gibt genug mögliche Gründe, was anderes zu nehmen. Schon ein einziger solcher Fall irgendwo auf der Welt macht deine Aussage falsch.

 

[Daaron]

...und da ich ja wusste dass noch im April 14.04 LTS kommt

Bei den LTS darfst du das ".04" ncith so ernst nehmen. Ja, die Nicht-LTS kommen immer im/Ende des betreffenden Monat(s). Die LTS verspäten sich hingegen gern mal, weil eben irgend etwas noch nicht "rock solid" ist. Kann durchaus sein, dass 14.04 erst Ende Mai kommt.

Du sagtest noch was wegen Apache 2.4:
...
Meinst du es macht Sinn wegen des neuen Apaches Ubuntu als ownCloud-Host und dafür Debian als Fileserver zu benutzen?

Ich sag kaum was zu Apache 2.4... Das einzige was ich sage: Es wird ne Heidenarbeit, die VHost Configs alle auf das neue Format umzustricken. Wenn man, wie wir, einige Dutzend VHosts laufen hat, dann verschiebt man Apache 2.4 bis zur Kotzgrenze.

Hinsichtlich ownCould... Ich würds eher an der PHP-Version als am Apache Release fest machen... und natürlich allgemein daran, was für ein Debian es ist. Debian hat nur ca. 2-3 Jahre Support. Ein Debian 6 würde z.B. langsam auslaufen. Performance-mäßig nehmen sich die Dinger allesamt nichts, und schon gar nicht in deinem Anwendungsfall.

Wenn du mal einige Zehntausend pro Stunde hast denkst du über so etwas nach. Für zuhause reicht n Raspberry mit Raspbian...

Da 13.10 eben schon 'gut abgehangen' (also 'ziemlich stabil' ) ist, würde ich Variante 2 wählen.

Von wegen... Meinem Cairo-Dock fehlen z.B. bei einigen Programmen die Namen, die Tooltips sind leer.

Unfug. Es gibt genug mögliche Gründe, was anderes zu nehmen. Schon ein einziger solcher Fall irgendwo auf der Welt macht deine Aussage falsch.

Nenn mir einen... und zwar einen triftigen jenseits von "weil man es kann".

 

[cb-leser]

Hallo Daaron,

Von wegen... Meinem Cairo-Dock fehlen z.B. bei einigen Programmen die Namen, die Tooltips sind leer.

Schlechtes Beispiel, denn das Cairo-Dock liegt im Universe-Repository und wird demnach von 'der Community' bereitgestellt.
'Stabilität' bezieht sich selbstverständlich auf das / die 'Grundsysteme';
dass Pakete der Community, aus PPAs und sonstige 'Fremdquellen' tendentiell schneller Probleme machen könnten (Hinweis: != 'müssen'), dürfte klar sein.

Nenn mir einen... und zwar einen triftigen jenseits von "weil man es kann".

Standardmäßig aktualisierte Programmpakete mit neuem, erweiterten Funktionsumfang zum Beispiel.
Darunter fällt auch die oben bereits genannte (bessere) Unterstützung jüngerer Hardware.
Klar geht das teilweise auch mit 'Frickelei' bei älteren Versionen, allerdings zieht man sich damit schnell weitere Baustellen 'an Land' - und das ist (i.d.R.) nicht im Sinne des Benutzers / Administrators.

Grüße,
cb-leser

 

[Daaron]

Standardmäßig aktualisierte Programmpakete mit neuem, erweiterten Funktionsumfang zum Beispiel.
Darunter fällt auch die oben bereits genannte (bessere) Unterstützung jüngerer Hardware.

Die neueren Programmversionen will man oftmals nicht, denn die sorgen zwar gern mal für mehr Funktionen, aber im gleichen Atemzug auch für viele neue Probleme. Außerdem: None-LTS sorgt dafür, dass in schöner Regelmäßigkeit (bei Rolling Release quasi permanent) unerwartete Probleme auftreten können. Mach mal ein Update von Apache 2.2 auf 2.4. Das wars dann für den Webserver, da sitzt du erst einmal ein paar Stunden, um die Config anzupassen. Happy-Happy-Joy-Joy.
Wenn man hingegen besseren Hardware-Support haben will... Installier den Backport des Raring- oder Saucy-Kernels in Ubuntu 12.04, in einigen Wochen steht der Trusty-Backport zur Verfügung. Schon hast du alles, was du dir nur wünschen kannst. Auch für Debian gibt es Backport-Kernels, auch wenn sie da nicht ohne jeglichen manuellen Eingriff installiert werden können.