Отключение автоматических обновлений в Ubuntu

Регулярное обновление приложений и пакетов защищает систему от уязвимостей и обеспечивает доступ к последним функциям и исправлениям безопасности. В Ubuntu автоматические обновления включены по умолчанию. Это удобно, но некоторым пользователям нужно полное ручное управление, чтобы планировать обновления в подходящее время или избегать конфликтов с длительными задачами.

В этой статье описано, как корректно отключить автоматические обновления в Ubuntu из командной строки и через графический интерфейс, как проверить, что изменения вступили в силу, а также альтернативные подходы, риски и контрольные списки для разных ролей.

Почему отключают автоматические обновления

Автообновления (Unattended Upgrades) автоматически скачивают и устанавливают исправления, обычно относящиеся к безопасности. Это снижает ручную работу и помогает поддерживать систему в защищённом состоянии.

Однако есть веские причины отключить автообновления:

• Автообновления могут потреблять сетевой трафик и вычислительные ресурсы в непредсказуемое время. Это мешает критичным процессам и задачам в пиковые часы.
• При установке пакета вручную вы можете получить ошибку «Waiting for cache lock: Could not get lock /var/lib/dpkg/lock-frontend», если в фоне идёт автообновление.
• В контролируемых окружениях (тестирование, релизы, embedded-системы) требуется строгая проверка каждого обновления.

Важно: отключать автообновления следует только если вы готовы регулярно проверять и устанавливать обновления вручную или организовать другой безопасный процесс обновлений.

Как отключить автоматические обновления через терминал

В Ubuntu автообновления обрабатываются пакетом unattended-upgrades, который по умолчанию установлен во многих выпусках. Проверьте статус службы командой:

sudo systemctl status unattended-upgrades.service

Чтобы просмотреть текущие настройки периодических задач apt, используйте:

apt-config dump APT::Periodic::Update-Package-Lists
apt-config dump APT::Periodic::Unattended-Upgrade

Если в выводе значения отличны от “0”, автообновления активны.

Откройте файл конфигурации для управления автообновлениями:

sudo nano /etc/apt/apt.conf.d/20auto-upgrades

Внутри установите следующие параметры в значение “0”:

APT::Periodic::Update-Package-Lists "0";  
APT::Periodic::Unattended-Upgrade "0";

Сохраните файл и закройте редактор. После этого можно повторно выполнить команды apt-config dump, чтобы убедиться, что оба параметра возвращают “0”:

apt-config dump APT::Periodic::Update-Package-Lists
apt-config dump APT::Periodic::Unattended-Upgrade

Если вы хотите навсегда удалить механизм автоматических обновлений, выполните:

sudo apt remove unattended-upgrades

Удаление пакета полностью отключит функционал автоматической установки обновлений. Однако этот путь сложнее откатить в условиях корпоративных политик, чем просто изменить файл конфигурации.

Как отключить автоматические обновления через графический интерфейс

1. Нажмите клавишу Super и начните вводить “software and updates”. Выберите приложение “Software & Updates” в результатах поиска.
2. Перейдите на вкладку “Updates”.
3. Установите “Automatically check for updates” в значение “Never”.
4. В разделе “When there are security updates” выберите “Display immediately” вместо “Download and install automatically”.

Эти настройки отключают автоматическую проверку и автоматическую загрузку/установку. Вы по-прежнему сможете запускать обновления вручную через “Software Updater”.

Как вручную проверять и устанавливать обновления

Для ручного обновления используйте стандартные команды:

sudo apt update
sudo apt upgrade

При необходимости можно использовать sudo apt full-upgrade для более агрессивного обновления с удалением конфликтующих пакетов.

Можно настроить регулярный cron или systemd timer для запуска обновлений по расписанию, если вы хотите контролировать окно обновлений (например, ночью). Пример простого cron-задания, выполняемого раз в неделю:

# Запускается каждое воскресенье в 3:30
30 3 * * 0 root apt update && apt -y upgrade

Важно убедиться, что в момент запуска cron не конфликтует с руками. Для надёжности добавляйте логирование и уведомления по почте или в систему мониторинга.

Как решить проблему с блокировкой dpkg

Если при установке пакета вы получили сообщение о блокировке кэша, проверьте, какие процессы используют apt/dpkg:

sudo lsof /var/lib/dpkg/lock-frontend
ps aux | grep -E 'apt|dpkg'

Если это фоновая служба unattended-upgrades, дождитесь её завершения или перезапустите службу корректно:

sudo systemctl stop unattended-upgrades.service
sudo systemctl disable unattended-upgrades.service

Принудительное удаление блокировки (удаление файла lock) не рекомендуется, если не уверенны, что никакие процессы не работают.

Альтернативные подходы

• Оставить автообновления включёнными, но ограничить время их работы через systemd timers и настройки APT.
• Использовать apticron или cron-apt для автоматического скачивания уведомлений без немедленной установки.
• На серверах применять централизованные инструменты управления конфигурацией (Ansible, Puppet, Landscape) для контроля пакетов и релизов.

Каждый подход имеет плюсы и минусы. Централизованное управление удобно в крупных средах, но сложнее в настройке для одного рабочего места.

Когда не стоит отключать автообновления

• На пользовательских ноутбуках и рабочих станциях, где безопасность важна и пользователь не будет регулярно обновлять систему.
• На машинах, соединённых с интернетом без контроля обновлений.
• Если у вас нет надёжного процесса ручных обновлений.

Контрольные списки по ролям

Администратор сервера:

• Проверить зависимости и совместимость обновлений в тестовом окружении.
• Настроить уведомления о доступных критических патчах.
• Документировать окно обслуживания и процедуры отката.

Пользователь рабочего места:

• Планировать время для ручных обновлений (например, еженедельно).
• Перед важными задачами убедиться, что автоматические процессы отключены.
• Вести простой журнал обновлений.

Разработчик:

• Обновлять контейнеры и тестовые образы регулярно.
• Проверять, не ломают ли обновления сборки и CI-пайплайны.

Матрица рисков и смягчение

• Риск: Пропустить критическое исправление безопасности.
  Смягчение: Настроить уведомления об уязвимостях, еженедельные ручные проверки.

• Риск: Конфликты при ручной установке обновлений.
  Смягчение: Проводить обновления в тестовой среде прежде, чем на продакшн.

• Риск: Сбой автоматизированного процесса при удалении unattended-upgrades.
  Смягчение: Хранить инструкции по восстановлению и возможность повторной установки пакета.

Краткая методология для безопасного отключения

1. Оцените необходимость — зачем вы отключаете автообновления.
2. Создайте расписание ручных проверок и назначьте ответственных.
3. Отключите через /etc/apt/apt.conf.d/20auto-upgrades или удалите пакет.
4. Проверьте, что apt-config возвращает “0” для ключей Update-Package-Lists и Unattended-Upgrade.
5. Логируйте и мониторьте наличие обновлений.

Критерии приёмки

• Значения APT::Periodic::Update-Package-Lists и APT::Periodic::Unattended-Upgrade равны “0”.
• Служба unattended-upgrades не запущена и отключена.
• Документирован процесс ручного обновления и назначены ответственные.

Небольшой глоссарий

• unattended-upgrades — пакет, который автоматически устанавливает исправления.
• apt-config dump — команда для просмотра значений конфигурации APT.
• dpkg lock — блокировка, предотвращающая одновременное изменение базы пакетов.

Когда это может не помочь

• Если автообновления инициируются внешним менеджером (например, Landscape), простое изменение локального файла может не отключить процесс.
• На системах с кастомной конфигурацией APT параметры могут находиться в другом файле. Всегда проверяйте все файлы в /etc/apt/apt.conf.d/.

Быстрый план восстановления

1. Если нужно вернуть автообновления, измените значения в /etc/apt/apt.conf.d/20auto-upgrades на “1” или переустановите unattended-upgrades:

   sudo apt install unattended-upgrades

2. Включите и запустите службу:

   sudo systemctl enable --now unattended-upgrades.service

Визуальная схема принятия решения

flowchart TD
  A[Нужны автообновления?] -->|Да| B[Оставить включёнными]
  A -->|Нет| C[Есть процесс ручной проверки?]
  C -->|Да| D[Отключить через 20auto-upgrades]
  C -->|Нет| E[Настроить расписание или систему уведомлений]
  E --> D
  D --> F[Проверить apt-config]
  F --> G[Документировать процесс]

Заключение

Отключение автоматических обновлений в Ubuntu — простая операция, доступная через конфигурационный файл или графический интерфейс. Однако важно понимать риски: вы берёте на себя ответственность за своевременную установку исправлений. Выберите подходящий рабочий процесс, задокументируйте его и настройте уведомления или периодические задачи для регулярного обновления.

Важно: если вы управляете серверами в продакшене, рассмотрите централизованные инструменты управления конфигурацией и тестирование обновлений в изолированной среде перед их применением.