apt autoremove 한 번에 우분투 자동 보안 업데이트가 조용히 꺼질 때 (unattended-upgrades 삭제)

우분투 서버에서 패키지를 정리하다가 자동 보안 업데이트 프로그램까지 같이 지워져, 설정은 켜진 그대로인데 몇 달 동안 패치가 안 된 원인과 확인 방법입니다.

서버 두 대를 나란히 점검하다가 이상한 걸 발견했습니다. 둘 다 자동 보안 업데이트를 켜 둔 서버인데, 한 대만 몇 달째 업데이트 기록이 없었습니다.

설정 파일을 열어보면 자동 업데이트는 켜짐으로 되어 있었고, 누가 일부러 끈 흔적도 없었습니다. 그런데 정작 업데이트를 실행하는 프로그램인 unattended-upgrades 가 설치돼 있지 않았습니다.

설치 기록을 거슬러 올라가 보니, 석 달 반 전에 데스크톱 패키지를 지우고 apt autoremove 로 정리한 날 함께 지워져 있었습니다.

- apt autoremove 는 다른 패키지 때문에 따라 설치된 것을 정리한다

- unattended-upgrades 가 그렇게 설치돼 있었다면 정리 대상에 같이 들어간다

- 설정 파일은 남아 있어서 겉보기엔 켜져 있는 것처럼 보인다

- 확인은 패키지 설치 여부와 실행 기록으로 하고, 막으려면 수동 설치로 표시한다

1. autoremove 가 무엇을 지우는가

apt 는 패키지마다 직접 설치한 것인지, 다른 패키지 때문에 따라 들어온 것인지를 기억합니다. 따라 들어온 패키지는 자동 설치로 표시됩니다.

어떤 패키지를 지우면 그 패키지 때문에 들어왔던 것들은 더 이상 필요 없는 상태가 되고, apt autoremove 는 이런 것들을 한꺼번에 정리합니다. 디스크를 비우려고 습관처럼 치는 명령이기도 합니다.

문제는 자동 설치로 표시된 것 중에 중요한 게 섞여 있을 때입니다. 설치할 때 큰 묶음 패키지를 통해 들어온 프로그램은, 그 묶음을 지우는 순간 정리 후보가 됩니다.

2. 어떻게 같이 지워졌나

그 서버는 처음 설치할 때 데스크톱 환경까지 들어간 상태였고, 나중에 서버 용도로 쓰려고 데스크톱 묶음 패키지를 지웠습니다. 그 뒤에 apt autoremove 를 실행해 남은 패키지 187개를 정리했습니다.

그 187개 안에 unattended-upgrades 가 들어 있었습니다. 설치 때 묶음을 통해 자동으로 들어온 것이었기 때문에, apt 입장에서는 이제 아무도 필요로 하지 않는 패키지였던 것입니다.

기록을 보면 지워지기 직전까지는 자동 업데이트가 실행된 흔적이 있고, 정리한 날 이후로는 실행 기록이 뚝 끊깁니다.

3. 왜 몇 달이나 몰랐나

자동 업데이트를 켜고 끄는 건 /etc/apt/apt.conf.d/20auto-upgrades 설정 파일입니다. 이 파일은 패키지를 지워도 그대로 남아 있어서, 열어보면 여전히 켜짐으로 나옵니다.

- 설정 파일: 켜짐 그대로

- 실제 실행 프로그램: 없음

- 에러나 경고: 없음

설정만 확인하고 넘어가면 절대 못 찾는 구조입니다. 설정이 켜져 있는 것과 실제로 돌고 있는 것은 다른 문제라서, 실행 흔적까지 봐야 합니다.

4. 우리 서버는 괜찮은지 확인하기

세 가지를 보면 됩니다. 패키지가 설치돼 있는지, 자동 설치로 표시돼 있는지, 그리고 최근에 실제로 돌았는지입니다.

패키지는 있는데 자동 설치로 표시돼 있다면 지금은 괜찮지만 다음 정리 때 위험한 상태입니다. 실행 로그 날짜가 오래됐다면 이미 멈춰 있는 것입니다.

5. 다시 설치하고, 지워지지 않게 표시하기

지워졌다면 다시 설치하면 되고, 앞으로 정리할 때 딸려 가지 않도록 직접 설치한 패키지로 표시해 둡니다.

apt autoremove 를 칠 때도 바로 실행하지 말고 --dry-run 으로 무엇이 지워지는지 먼저 목록을 보는 습관을 들이는 게 좋습니다. 187개를 하나씩 읽기는 어렵지만, 이름에 upgrade, ssh, network 같은 말이 들어간 것만 골라 봐도 사고는 대부분 막을 수 있습니다.

- unattended-upgrades 는 apt-mark manual 로 표시해 둔다

- openssh-server 처럼 원격 접속에 필요한 것도 같이 확인한다

- autoremove 는 --dry-run 으로 목록부터 본다

6. 자동 업데이트를 쓸지는 따로 정할 일

운영 서버에 자동 업데이트를 켤지 말지는 의견이 갈립니다. 업데이트가 서비스를 재시작하면서 예상 못 한 문제를 드러내는 경우도 있어서, 일부러 끄고 날을 잡아 수동으로 패치하는 곳도 많습니다.

어느 쪽을 고르든 괜찮지만, 가장 나쁜 건 켜져 있다고 믿는데 실제로는 꺼져 있는 상태입니다. 끌 거라면 설정에서 명시적으로 끄고, 켤 거라면 실제로 돌고 있는지 주기적으로 확인하는 편이 낫습니다.

7. 정리

패키지를 정리하는 명령 한 줄이 보안 업데이트를 몇 달 동안 멈추게 할 수 있습니다. 그리고 그동안 어떤 경고도 나오지 않습니다.

- apt autoremove 는 자동 설치로 표시된 패키지를 지운다

- 묶음 패키지를 지운 뒤엔 unattended-upgrades 가 정리 대상에 들어갈 수 있다

- 설정 파일은 남아서 켜져 있는 것처럼 보인다

- 확인은 설치 여부, 자동 표시 여부, 실행 로그 날짜 세 가지로 한다

- 중요한 패키지는 apt-mark manual 로 표시하고, autoremove 는 --dry-run 부터

서버를 점검할 때 설정 파일만 열어보고 끝내기 쉬운데, 이번 일처럼 설정과 실제가 어긋나 있는 경우가 있으니 실행 기록까지 한 번씩 확인해 보시길 권합니다.

여기까지 apt autoremove 로 자동 보안 업데이트가 꺼지는 문제에 대해서 작성해봤습니다. 여기까지 읽어주셔서 감사합니다!