Перед массовой установкой обновления на находящиеся в эксплуатации компьютеры в обязательном порядке выполнить проверку работоспособности на тестовых компьютерах в типичных конфигурациях (путем установки обновления и перезагрузки).

sudo apt install libvulkan1 libev4 qdbus-qt5 libunwind8 reprepro libcurl3 qt5-image-formats-plugins \
libxml++2.6-2v5 libxml-xpath-perl libxmlrpc-core-c3 libxmlrpc-epi0 libxml2 libxml-parser-perl

Перед установкой обновлений:

• Ознакомиться с настоящей инструкцией;
• Ознакомиться с инструкцией: fly-astra-update и astra-update - инструменты для установки обновлений в части использования инструментов.

• Обновление операционной системы необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы с высоким уровнем целостности;

• На время установки обновления необходимо снять запрет на установку бита исполнения в политиках безопасности. Это может быть сделано с помощью инструментов fly-astra-update/astra-update или командой:

  Command
  sudo astra-nochmodx-lock disable

  
  

• Для полного завершения обновления требуется установочный диск (образ установочного диска) Astra Linux.

Образ диска с обновлением доступен для скачивания по ссылке:
https://dl.astralinux.ru/astra/stable/smolensk/security-updates/1.6/20211008SE16/20211008SE16.iso;

Загруженный ISO-образ поместить в каталог /mnt на обновляемой системе и проверить соответствие контрольной суммы.
Для получения контрольной суммы выполнить команду:

Контрольная сумма:

Образ диска с обновлением средств разработки, соответствующий настоящему бюллетеню, доступен по ссылке:
https://dl.astralinux.ru/astra/stable/smolensk/security-updates/1.6/devel/20211008SE16

Контрольная сумма образа диска с обновлением средств разработки:

Установка fly-astra-update/astra-update из репозитория

Если доступен репозиторий пакетов, содержащий пакеты обновления, установку можно выполнить следующими командами:

• установка графического инструмента fly-astra-update (при этом будет автоматически установлен инструмент командной строки astra-update):

  Command
  sudo apt update sudo apt install fly-astra-update

  
  

• или установка инструмента командной строки astra-update:

  Command
  sudo apt update sudo apt install astra-update

  
  

Установка fly-astra-update/astra-update из образа обновления

1. Примонтировать загруженный образ обновления, например, в каталог /media/cdrom:

   Command
   sudo mount /mnt/20211008SE16.iso /media/cdrom

   
   

2. Установить пакеты:
   только инструмент командной строки astra-update:

   Command
   sudo apt install /media/cdrom/pool/non-free/a/astra-update/astra-update_*.deb

   или инструмент командной строки astra-update и графический инструмент fly-astra-update:

   Command
   sudo apt install /media/cdrom/pool/non-free/a/astra-update/astra-update_*.deb sudo apt install /media/cdrom/pool/non-free/libf/libflyadmin/libflyadminpackage_*.deb sudo apt install /media/cdrom/pool/non-free/f/fly-astra-update/fly-astra-update_*.deb

   
   

3. Отмонтировать образ:

   Command
   sudo umount /media/cdrom

   
   

Тестирование обновления перед установкой

Проверка наличия места в дисковом разделе /boot

Проверить размеры дисковых разделов командой:

Если размер дискового раздела /boot менее 512МБ, то рекомендуется:

1. Либо увеличить размер дискового раздела /boot до 512МБ.

2. Либо, если увеличить размер дискового раздела /boot до 512МБ не представляется возможным:

   1. Получить список установленных ядер:

      Command
      dpkg --l linux-image-*

      
      

   2. Удалить неиспользуемое ядро (ядра). Например, удалить ядро 4.15.3-1-hardened командой:

      Command
      sudo apt remove linux-image-4.15.3-1-hardened

      
      

   3. Выполнить установку обновления.

   4. Перезагрузить ОС, загрузившись с использованием нового ядра.

   5. При необходимости - установить дополнительные ядра, например 4.15.3-154-hardened:

      Command
      sudo apt install linux-astra-modules-4.15.3-154-hardened

      Для загрузки установленного ядра перезагрузить ОС.

См. также статью Увеличение размера boot при стандартной разметке LVM. Краткая инструкция

Установка обновления с использованием сетевых репозиториев

Если созданы сетевые репозитории (см. Создание локальных и сетевых репозиториев) для всех используемых ISO-образов, доступных на обновляемой машине:

1. Обязательные репозитории:
   1. Установочный диск;
   2. Диск с обновлением;
2. Дополнительные репозитории:
   
   1. Диск со средствами разработки;
   2. Диск с обновлением средств разработки;

И если на обновляемой машине настроен доступ к сетевым репозиториям в файле /etc/apt/sources.list, то обновление может быть установлено командой:

Если доступ к репозиториям в файле /etc/apt/sources.list не настроен, то обновление может быть установлено с помощью astra-update/fly-astra-update с явным указанием сетевых репозиториев (см. описание fly-astra-update и astra-update - инструменты для установки обновлений).

Установка обновления с использованием локальных копий ISO-образов

Если сетевые репозитории не используются, то обновление может быть выполнено из локальных копий ISO-образов. Комплект образов для обновления аналогичен комплекту репозиториев:

1. Обязательные ISO-образы:
   1. Установочный диск;
   2. Диск с обновлением;
2. Дополнительные ISO-образы:
   1. Диск со средствами разработки;
   2. Диск с обновлением средств разработки;

ISO-образы могут быть сохранены как локальные файлы, или предоставлены на подключаемом съемном носителе. Установка обновления в таком случае выполняется с помощью astra-update/fly-astra-update, например:

В приведенном примере предполагается, что образы скопированы в каталог /mnt или находятся на съемном носителе, смонтированном в каталог /mnt.
Подробности также см. в описании инструментов fly-astra-update и astra-update.

Дополнительные примеры использования astra-update

Например, при наличии образов установочного диска и диска обновления установка обновления может быть выполнена командой:

При наличии установочного диска (должен быть зарегистрирован как источник пакетов) и скачанного образа обновления, установка обновления может быть выполнена командой:

При этом понадобится загрузить установочный диск в привод компакт-дисков.

Для более сложных схем обновления, в том числе для обновления средств разработки, инструкция по использованию инструментов astra-update и fly-astra-update доступна по ссылке: fly-astra-update и astra-update - инструменты для установки обновлений.

Установка обновления без использования инструментов fly-astra-update и astra-update.

Установка ядра linux-5.10

После выполнения настоящего обновления при необходимости можно установить ядро linux-5.10. Для этого следует выполнить команду (должен быть доступен репозиторий, содержащий пакеты настоящего обновления): 

После завершения установки ядра будет автоматически обновлен загрузчик Grub. 

Чтобы изменения вступили в силу необходимо перезагрузить компьютер. 

Действия при обновлении ядра

5.4.0-81-generic

ii linux-image-4.15-generic
ii linux-image-4.15-hardened
ii linux-image-4.15.3-1-generic
ii linux-image-4.15.3-1-hardened
ii linux-image-4.15.3-141-generic
ii linux-image-4.15.3-141-hardened
ii linux-image-4.15.3-154-generic
ii linux-image-4.15.3-154-hardened
ii linux-image-5.4-generic
ii linux-image-5.4-hardened
ii linux-image-5.4.0-71-generic
ii linux-image-5.4.0-71-hardened
ii linux-image-5.4.0-81-generic
ii linux-image-5.4.0-81-hardened
ii linux-image-hardened

#!/bin/bash

set -e

# Перечень пакетов, дальнейшее использование которых не планируется.
pkgs="linux-image-4.15.3-1-generic \
linux-image-4.15.3-1-hardened \
linux-image-4.15.3-141-generic \
linux-image-4.15.3-141-hardened \
linux-image-4.15.3-154-generic \
linux-image-4.15.3-154-hardened \
inux-image-5.4.0-71-generic \
linux-image-5.4.0-71-hardened "

# Проверка строки и запуск удаления пакетов.
# Для удаления пакета и всех связанных с ним 
# конфигурационных файлов необходимо использовать команду apt purge.
[ -n "$pkgs" ] && apt remove $pkgs

#обновление конфигурационного файла Grub.
update-grub2  

Обновление пакета skanlite

Если ранее был установлен пакет skanlite, то в связи с прекращением поддержки этого пакета рекомендуется заменить его на функционально аналогичный пакет fly-scan, для чего выполнить команду:

Пакет skanlite при этом будет удален автоматически.

После выполнения обновления необходимо перезагрузить систему.

После успешного обновления проверку целостности программных пакетов утилитой fly-admin-int-check необходимо проводить только с помощью файла gostsums.txt, расположенного в корневом каталоге диска с обновлениями.

Для упрощения адаптации пользователей к особенностям реализации мандатного контроля целостности, при установке обновления значение мандатного атрибута ccnri принудительно фиксируется во включенном состоянии для всех каталогов файловой системы. Мандатный атрибут ccnri определяет, что контейнер может содержать сущности с различными уровнями целостности, но не большими, чем его собственный уровень целостности и применяется только к контейнерам  (каталогам файловой системы).