2.5 Admins 222: Surprise Upgrade
30:22 Share

到一半就结束了，到，到。

我是，我是吉姆，我是艾伦。

在他再次出现之前，在我们开始之前，你有一个，你的插头。还有 D、K、M、S。与 came out out 相比。ZFS 在 Linux 上的基本指南。

是的，当我们继续支持人们在每个平台上使用的 ZFS 时，我们遇到的最大问题是，人们在每次更新内核时都会遇到问题。因此，我们讨论了两种主要方法的优缺点。第一种是 DKMS，它构建了一个小的自动重建 ZFS 以匹配每次更新的内核，或者 kmod，它作为一个服务提供了一个包，该包在一个仓库中，将是一个构建好的 ZFS，与你的内核匹配，以及如何自己做到这一点。

对吧？好吧，让我们像往常一样看看新闻。Windows Server 2025 让管理员们大吃一惊，只是在夜间随机升级了主要版本。

没什么大不了的。当 Windows 7 机器只是自发地尝试在夜间升级到 Windows 10 时，你的 IT 就够糟糕的了，无论你是否告诉它们不要升级。但这一次让我大吃一惊。

我说，让我惊讶的是，谈论新闻。需要明确的是，我还没有亲眼看到它，谢天谢地。但这太可怕了。

是的，你说的对。这些运行它们的服务器通常在执行某些特定操作，而且你无论如何都不想经常重新启动它，对吧？例如，你想控制更新，但随后发现它甚至不再是同一个版本的 OS 了。

你会想：谁碰了这个？我要狠狠地揍他们一顿。但这听起来像是 IT 犯了一个错误，他们认为 OS 升级是安全更新之一，并将其应用于机器，而无需询问任何人。

我很难找到合适的词来形容这个，因为它太粗心了。我知道我开始听起来像每个老家伙一样，他们都说在他年轻的时候事情更好。但是像微软这样规模的公司过去并没有在 QA 上如此粗心。

在发布产品方面。过去有一种感觉，哦，你知道，我们需要保持一定的声誉，我们需要三思而后行。而现在感觉这一切都消失了，足够好就足够好了，嗯，那只小猪。

是的。我认为部分原因可能是 Windows Server 已经不是他们赚钱的主要产品了。现在都是云计算，所以他们可能不会以同样的方式对待它。尽管如果你回到 Windows Server 早期，如果你要从这个版本升级到那个版本，它会通过邮件以 CD 的形式发送给你，你必须走到每台机器旁，将其插入并进行操作，你不会只是从互联网自动安装更新，然后对明天拥有不同版本的 OS 感到惊讶。

虽然微软确实发布了问题详细信息，但 Windows Server 2022 和 Server 2019 意外升级到 Windows Server 2025。在这个问题中，他们说有些设备自动升级了。这在使用第三方产品来管理更新的系统和服务的环境中观察到。所以他们基本上把责任推给了别人。

对吧？虽然其中一家公司 Home 说微软错误地将 Server 2025 升级标记为 KB5044284，这是一个安全更新。因此，构建系统中遗留了一些东西，更新被当作安全更新来处理。

因此他们的软件决定安装它。我想我要说的另一件事是，与过去相比，我从 Server 2009 升级到 2025，它第一次就成功了，它重新启动了，我做对了。也许服务器已经变得更好了。

这让我很震惊。我还不知道服务器端 OS 甚至还有一个就地升级选项。

在消费者端，从 7 到 10 一直运行得很好。但在服务器端，我不确定这什么时候成为一个选项。我一直需要，无论我是否愿意，都要进行完整的重新加载，并手动将工作负载从一个盒子迁移到另一个盒子。

通常情况下，这总是一个获得全新安装的好时机，因为全新安装总是更好。

回到微软将它标记为安全更新的要点，而不是主要操作系统版本升级。在我看来，这似乎是一个非常牵强的借口。

而且感觉我们忽略了核心问题，那就是首先应该在主要操作系统版本升级和功能或安全更新之间有更多的区分。这感觉就像有人错误地将兰博基尼当成了婴儿车。你怎么做到的？这些根本不是一回事。

它们看起来不像吗？只是想知道，如果服务器是一个滚动发布发行版，就像一些 Linux 发行版一样，它就像，不，我们已经超越了版本升级，主机系统总是期望与可接受的语法一起工作。而且你知道我们也不期望应用程序在可接受的成员之间停止工作。

这就是生态系统的工作方式。这是一件事。但这并不是每个人对 Windows 的期望，每个人对 Windows 的期望。一个众所周知的期望是，即使一切顺利，当你从一个主要版本升级到下一个版本时，完全有可能严重的应用程序将拒绝在新版本上正常工作，这需要解决。

或者也许软件有效。你与供应商的支援合约说，我们只支援这些东西，因为我们还没有对 Server 2025 进行足够的测试。所以你得不到支援。

如果你运行的是 2025，你只能自力更生。虽然微软撤回了更新以防止更多人发生这种情况，但没有迹象表明他们会提供某种回滚。而且你知道，我认为你不会想尝试从 Server 2025 回滚到 2019。升级过程可能已经改善了，但回滚……

回滚就像 ZFS 回滚一样……

是唯一能让它真正发生的方法。

好吧，我们将链接到的注册文章之一也提到了许可问题。他们引用了这家处理公司的董事长的话，他说 Server 2025 的许可证检查只在升级后进行，这完全是不合理的，并增加了最终用户的风险。

但我能看到他遇到麻烦。如果你不是自愿升级，然后被告知你的许可证不适用于此版本。

还有一个事实是，当前的 Server 2025 在具有大量逻辑处理器的硬件上运行时存在问题，已知 256 个或更多处理器在 Server 2025 上会出现严重问题，而这些问题在早期版本中并不存在。我的意思是，这里有很多混乱的可能性。我认为在这一点上，没有太多理由列举所有不同的方法，因为我们可以在这里整天谈论所有可能让你的生活变得糟糕的方式，因为突然发现你的服务器神奇地变成了与你早上起床时不同的操作系统版本。

是的，这对大多数管理员来说都是一场噩梦。

在我们继续之前，我们可能需要谈谈 Windows 11 的升级问题，以及消费者方面的事情。许多消费者在发现他们的 Windows 11 警告他们 Windows 11 23H2 将于本月结束支援，并敦促他们升级时感到惊讶和不安。

问题是，Windows 11 23H2 实际上要到明年 11 月才会结束支援，而不是今年 11 月。而 11 23H2 实际上是你应该运行的当前正确版本，该升级通知是错误的，紧随其后的是本月早些时候向 22H2 用户发出的合法升级通知。所以现在微软那边简直是一团糟。

最近宣布的一件事是 Windows 365 Link，他们称之为 Windows 365 的第一个云 PC 设备。

这将被称为何塞最喜欢的新的轻型本地机器大约五年。

好吧，也许除了它有很多安全引导功能，我认为你无法关闭它，不像 Linux 爱好者喜欢使用的 Wyse 5070 瘦客户端。

是的，最初的轻型盒子是不可破解的，确实运行良好。

是的。所以我曾为客户使用过 Windows 365，他们基本上在我的网络中给了我一台虚拟机。我使用 Windows 365 来连接它。

它执行整个双因素身份验证等操作。但这东西基本上会用这个小盒子替换你办公室桌上的 PC，这个盒子除了连接到 Windows 365 之外什么也不做，你的实际机器是一台在某个数据中心的虚拟机。我能理解它的吸引力。但与此同时，它受到你的 Wi-Fi、网络和互联网连接的所有延迟的影响。所以我并不是特别喜欢将我的整个电脑迁移到云端。

我不喜欢将我的整个电脑迁移到云端，因为我不信任云端。对我来说，我的意思是，微软绝对应该、可以并且曾经在我的 Xbox Live 帐户中删除过我的资料，然后声称它从未存在过，这告诉我我真的不想仅仅将我的所有数据、程序和基础设施都交给微软，一切的一切。试想一下，作为一个普通的消费者，这会没事的。

对吧？这更针对企业环境，特别是托管它的位置。所以也许甚至不是云端，但它运行在你的公司数据中心。但即便如此，我们真的假设我们总是拥有互联网连接，但这并不完全正确。

是的，我们不假设这样的事情。许多行业喜欢假设这一点。艾伦，我不怀疑你也不假设。我们非常喜欢控制自己的基础设施。并且仍然能够在与广阔世界网络的连接中断时执行操作，正如我们现在和将来所期望的那样。

但你可以看到，至少对于 IT 管理员来说，这很有吸引力，他们能够说，是的，让我们别担心端点安全。本质上。

如果你指的是那种 IT 管理员，其中“管理”在 IT 中是大写的，你知道，字体大小比其他字体小三号。是的，我完全理解它的吸引力。另一方面，如果你是一位最终担任任何管理职位的 IT 管理员，因为你在基层做了很多工作，并且你实际上知道你的东西，不，我不认为这有什么吸引力。

这有很多缺点，这是另一个。没有什么东西是真正全新的。你知道，我们一直在经历这些循环。

早在 90 年代初，我就一直在向人们宣讲这些循环，我们一直在分布式和本地计算之间来回切换。我们还在这样做。每次循环从一边转向另一边时，每个人都总是表现得好像集中式计算……

是一个全新的想法，以前没有人探索过？好吧，朋友们，在 1991 年，我操作的是一台 Honeywell 316……

不，对不起，是 Honeywell 8316 计算机。我忘记了在各种海军设施中使用的 Honeywell 小型计算机的名称，其中大部分自 80 年代以来就一直存在。具有分布式客户端的集中式计算并非新事物，它有其缺点。总是有。

但互联网现在快多了。

互联网现在快多了。当我还在上高中并在发电厂工作时，他们有一种方法，你可以用调制解调器拨号连接到 CICS，以从家里或路上控制工厂的机器。那是，你知道，远程的。

这与我们现在拥有的相比，只是慢得令人难以置信。但我可以看到，如果每个人的桌面都只是一台虚拟机，我可以运行一组 OS 并一次性拍摄它们，并且不必检查人们的机器并回滚它们，如果他们搞砸了它们，这有一些优势。但这需要付出很多代价。如果你到了那一步，你需要瘦客户端做什么……

只是为了确保没有人可以在你的宝贵云之外工作？

没错。你消除了很多变量。

我的意思是，很多时候，具有分布式客户端的集中式计算确实是关于这一点的。我的意思是，有时它与……你知道，在 80 年代，当你看到集中式时，你经常会看到大型机设置。

你负担不起将如此大量的计算能力分配给如此多的不同工作站，而是拥有当时一台极其强大的机器，以及许多访问它的瘦客户端。但更重要的是，通常转向集中式计算是为了控制。是为了确保事情按照集中式实体想要执行的方式发生。当你是公司，并且是你自己执行自身政策时，这是一回事。当你是一个个人或一家小型公司，受制于制定政策并决定一切的巨型公司，而你只是得到……

一个铝制 IT，是的。在我的用例中，使用 Windows 365 的全部意义在于，虚拟桌面是值得信赖的，可以让我访问敏感数据，我可以从我碰巧拥有的任何机器访问它，而不必需要专门的硬件分配给我。

对于合规性管理员来说，这是一个梦想，对于系统管理员来说，这是一个噩梦，因为这将导致人们在阴影中、Wi-Fi 和所有其他方面出现各种问题。但如果你的工作是喜欢勾选框的套装，你可以看到微软如何向他们兜售所有这些关于增强安全性、提高效率、可持续性等流行词，对我来说，这似乎很容易向那些不太了解的人推销，正如你所说，在基层工作是什么样的。

这种事情总是会发生，向主要职业是管理人员的人推销各种愚蠢的事情非常容易。你知道，那些管理人员排在第一位，其他任何事情都只是后来附加的利基市场。但主要的事情是管理人员。

你可以很容易地向管理人员兜售易于管理的产品，而忽略物理现实，直到你卖出太多东西。回避常识，这没有意义，所有东西都突然停止工作，然后你遭遇灾难，你必须从这场灾难中恢复过来。有很多斯特曼式的问题本来是可以避免的，如果你一开始就坚持把握现实，而不是管理者的幻想。

好的？本期节目由通过 PayPal 和 Patreon 支持我们的听众赞助。访问 two-dot-five-admins.com/support 了解如何支持我们，Patreon 支持者可以选择收听无广告的节目。

这不仅仅是这个节目。还有 Late Nights Linux 播报新闻发现，以及来自 Masanath Ropy 的听众来信。Linux Matters 讲述大型家庭友好型冒险故事，Linux After Dark 则进行愚蠢的挑战和哲学辩论。

Linux Test Time 讨论使用和为 Linux 开发，Hybrid Cloud Show 涵盖所有公共和私有云。Ask the Host 环节解答你的非主题问题。你甚至可以提前收到一些剧集。

所以，如果你喜欢我们所做的，并且能够负担得起，如果你能支持我们，那就太好了，网址是 two-dot-five-admins.com/support。接下来是一些免费咨询，首先要感谢所有通过 PayPal 和 Patreon 支持我们的人。我们真的非常感谢。

如果你想发送任何问题或反馈，可以发送邮件到 [email protected]。成为 Patreon 支持者的另一个好处是可以跳过问答环节，就像第四位听众现在所做的那样，他写信询问有关安全、备份朋友数据以及反向操作的问题。但我们在第 218 集中已经讨论过这个问题了。

所以请查看一下。这主要归结于使用 F.S.

委派来整理你的权限。还有加密，如果你关心隐私的话。但第四位听众增加了一个新的问题。我们能否使用 SSHD 配置中 force command 选项来进一步加强安全性？

对于那些不熟悉 force command 的人来说，这是一个可以在 SSHD 配置文件中设置的选项，它控制你的 SSH 服务器如何运行，这样你就可以说，如果用户 foo 要 SSH 登录，那么 foo 只允许使用这个简短的命令列表，如果 foo 尝试使用任何其他命令，就会报错，说“不，你不能这样做”。

或者你也可以将其设置为在用户登录时自动运行单个命令，无论他们做什么。理论上，你可能会尝试使用它来寻求额外的安全性。但老实说，我认为这不是一个好主意。

你已经可以很好地限制用户能够做什么，使用简单的权限和委派权限就足够了，允许一个没有特权的用户（甚至无法查看他们自己家目录之外的内容）管理他们在 ZFS 方面需要做的事情。我认为尝试使用 force command 只会让你的系统更脆弱，而不会使其更安全。

是的，你可以很好地限制他们能够做什么，你可能不需要这样做。虽然当他们提出第一个命令时，他们认为他们需要它，因为他们需要能够执行 fs list 和 fs receive 命令。

而这三个是不同的命令，他们无法做到这一点，除非他们创建一堆单独的用户，并为每个用户设置不同的 force command。而我想，为什么不绕过这一部分呢？authorized_keys 文件的工作方式是，你可以指定一个类似于 SSHD 配置中 force command 的命令，但你可以为每个密钥指定一个命令。

因此，你实际上可以有三个不同的 SSH 密钥，每个密钥只能执行特定的操作。因此，你的客户端必须使用这个密钥进行 SSH 连接，它运行 fs list 命令，然后使用这个密钥进行 SSH 连接，它运行 fs receive 命令。但是你知道，你最终会硬编码整个救援集。

所以你还需要数据集的名称作为命令的一部分。因此，你需要为每个数据集、每次接收操作使用不同的密钥。这很快就会失控。就像 Jim 说的那样，你不需要为此锁定用户，或者任何东西。你只需要使用 F.S. 委派来允许用户运行这些特定的 ZFS 命令，而不会执行其他操作。

我认为，如果他真的想追求某种超级秘密、额外安全的配置，可能的方法是让远程端在一个容器中运行，并将 cfs pull 传递到容器中，这样你就可以通过将用户限制在沙箱容器中来限制非 ZFS 方面的内容，该容器只能访问 fs。这会让 ZFS 复制用户更难在主机系统上执行任何操作。我不认为这值得，但我认为它比其他方法更有意义。

是的。几周后，我们的网站上会发布一篇关于如何使用我们构建的功能的文章，该功能允许你删除一个数据集及其所有子数据集，例如在你的 btrfs 中。因此，有了这个，是的，你基本上可以让用户访问一个容器，而不是你的整个系统。在这个容器中，他们可以看到你赋予他们的池中的一个数据集，而看不到其他任何内容。这样就可以阻止他们看到你主机上的其他文件或池的其他部分，因为它们有自己的完全命名空间、不同的进程、不同的用户名，我认为，所以他们永远看不到你的系统中的任何其他文件或池的其他部分。这样他们就可以执行所有需要的服务器命令，但只能针对他们有权访问的一个数据集。

这是我的经验不足吗，还是一个非常相似的解决方案，在彼此的家中放置一个小的独立盒子，其中只有你想要的数据集，比如说，只是一个双磁盘镜像？保持它的简单性和隔离性。

是的，当然，如果你能负担得起，我说的是硬件成本或托管空间、电力等等，但如果你能负担得起一个单独的物理盒子，这在世界上所有的事情中都是绝对的，有一个备份盒子，只是为了这个目的。这很好。但我认为很多人都不会想要不仅拥有自己的主计算机和自己的备份计算机，而且还拥有自己的备份计算机，只是为了他们的朋友，而他们的朋友也为他们做同样的事情，这听起来有点难以说服很多人去做。

是的，比如谁负责升级这个机器上的操作系统？这个机器除了备份什么都不用？

你需要多长时间才能让你的朋友费心把它重新打开？

在停电之后？好吧，如果你有 VPN 直接连接到你的网络上的那台机器，而每次你必须升级它时，它都会关闭，是的。

再试一次。你需要多长时间才能让你的朋友解决停电导致机器关闭的问题，或者有人不知道它是什么而拔掉它、移动它或损坏它？请相信那些处理在人们家中托管的机器的人。如果东西在他们家里实际上不是他们所做的任务关键型的东西，那么让他们费心把它重新打开是很困难的，即使它对他们在工作中的任务是关键的，也很难说服一个只在家里托管备份服务器的人费心在停电后重新打开该死的机器。有时这需要几周时间，而那时你没有备份自己的数据。

是的，但这里有一个权衡，如果我的朋友不费心重新打开电源，那么我可能会意外地拔掉他的网络电缆，直到他注意到，然后也许我们都会同时处理这个问题。

当然。但如果它在每天都使用的机器上，它就会被重新打开，这支持了我们刚才讨论的麻烦，以及使用一堆他们已经拥有的东西。他正在玩 SSH 多路复用，但这不会被使用，你们每个人都必须购买两个或更多的硬盘驱动器。

这快得多吗？所以我们绝对看到了它的吸引力。但你要么相信你的朋友到一定程度，要么不相信。如果你不相信，也许你想要你自己的硬件，也许你想要它在一个数据集里，而不是其他东西。

我认为，对于相对轻量级的备份目标来说，这样做更有意义，比如你没有很多空间，或者你知道有很多事情要做，它可能会开始看起来很吸引人。

不，我只是要去亚马逊，我要买一台 150 美元、8 年龄的戴尔小型机箱机器，我甚至不会安装新的硬盘驱动器，它不会有一个驱动器。但你知道吗，它仍然是一个备份目标。我只是要在上面安装我的操作系统，并在上面设置 ZFS，然后说，嘿，朋友，你能把它插在你家吗？就是这样，我认为这很有意义。

我认为，大约 200 美元的价位，几乎不需要额外的麻烦，对很多人来说可能听起来很有吸引力。我为我自己的父母做了一些类似的事情，他们住在退休社区，大约半英里远。

我妈妈真的需要自动备份她的笔记本电脑。起初我认为我可以把它备份到我家。问题是，你知道，你永远不知道她的笔记本电脑什么时候会打开，或者会打开多久，也不知道我的 WiFi 连接有多好。

他们真的需要一个本地备份解决方案。所以他们让我提供一个。这就是我将要做的。

我要拿出一台几年前以 150 美元买的小型戴尔机箱。硬件绝对没有改变。我只是把它放在公寓里，你知道，把它设置成自动备份。这是这个 pull 请求。

来自 Patreon 支持者 Christian 的问题，他也跳过了队列？他写道，在购买新机器时，服务质量是否是一个重要的考虑因素？你在哪里寻找评论，以及你如何评价服务？实际与人交谈所需的时间是否是一个重要因素？此外，你认为包括运输在内的计算机维修的合理价格是多少？我目前的经验是两到三周，这可以被认为是合理的？好的？

答案是：我通常不会太关注这一点，因为我已经坚定地计划首先不使用任何制造商的保修来维修我关心的机器。

如果我根本要使用 OEM 保修来维修计算机设备，我将以这样的方式使用它：我已经处理了实际的操作问题，要么通过维修要么更换等效部件，如果它是通过更换来解决的，那么我现在只剩下一个无法工作的盒子，它已经被一个新的盒子替换了。好吧，我现在只剩下一个多余的盒子了。当然，我可能会把它寄回去，说，请修理它。

当他回复我时，我就会得到一个翻新设备，我可以出售或用于其他用途。所以在这种情况下，两到三周与我通常看到的差不多，除非你有一些像隔天上门服务之类的政策，你会在戴尔或惠普等公司那里看到，即使是在针对企业环境的相当便宜的机器上。但无论哪种方式，这对我来说都不是一个重要的卖点。

我已经在私下与 Christian 讨论过这个问题，我建议每个人，如果你还没有与当地的电脑维修店建立良好的合作关系，如果你不自己进行维修，我强烈建议你开始四处寻找，了解一下当地的情况，去几家商店，和一些人谈谈，看看你得到什么样的感觉，价格是多少。你真的需要这种当地的支持。这与其说是关于它是否包含在定制机器中，不如说是关于你是否能度过一天，或者你被困在那种情况中，就像你没有电脑，你必须把整个事情都关掉，你希望三周后能把它拿回来，是的，如果你...

每个需要的地方。你知道这台机器是如此重要，以至于我们将支付戴尔所有这些服务费用，以确保他们会在四小时内派人来查看。如果它如此重要，你应该只准备一台可以接管的备用机器。

你的所有备份都已设置好，因此你只需切换并同时运行备份机器。然后它就无关紧要了。更换硬件需要四小时还是四周时间。

所以，如果它很重要，你需要做的远不止保修所能为你做的。如果不是，为什么要为此支付额外的费用呢？这对于...

如果它在机器当前能够执行其正在执行的任务的意义上是重要的，因为多年来，许多微型灯都非常沮丧地发现，当你邀请戴尔或惠普的服务技术人员上门，并向他们展示机器，说，这是那个 USB 端口坏掉的机器时，你很可能会得到一个更换，无论你是否想要。他们甚至可能根本不问你，因为这通常是公司的政策，只是更换你碰到的任何东西。

特别是如果你把它送去维修两到三周，那么当你把它拿回来时，它可能甚至不是同一个硬盘。

因此，为此，我很多次故意购买没有保修的东西，比如查看 silver platter 的交易或类似的东西来购买硬盘，知道我将使用这个硬盘直到它坏掉，它很可能在保修期结束后才坏掉。即使它在那之前坏掉了，我也很可能会想购买当时最好的性价比驱动器，而不是现在已经过时的型号。所以我大多数时候不会费心去保修，尤其是在加拿大。

把IT设备运回美国会很麻烦，而且会花费额外的时间。而对于一个免费的硬盘来说，这根本不值得，因为我已经有很多硬盘了。所以，购买东西时不花额外费用购买保修意味着我可以负担得起多备几个备用件。然后，我的返修时间就是我实际去做这件事的时间，这会好得多。

另一方面，我们谈论的是那些特别针对消费者的东西，你实际上没有选择不购买保修的选项。

很多时候，我会寻找更长的保修期，不是因为我计划使用它，而是对我来说，这表明制造商更有可能真正设计该部件或设备以使其使用寿命更长，因为提供三年或五年保修是有成本的。当人们告诉你他们的东西在保修期内坏了需要更换时，你实际上需要更换它们。所以如果有人提供五年保修，他们就预期大部分东西会在三年内坏掉，即使他们认为大多数人不会使用他们的保修，老实说，对于消费类设备来说尤其如此。大多数设备在保修期内损坏，不会在保修期内更换，消费者只是扔掉它们。然而，仍然有一部分人会实际使用保修。

你知道，他们预期大部分东西会在三年内坏掉，即使他们认为大多数人不会使用他们的保修，老实说，对于消费类设备来说尤其如此。大多数设备在保修期内损坏，不会在保修期内更换，消费者只是扔掉它们。然而，仍然有一部分人会实际使用保修。

因为无论如何你都必须遵守你提供的保修，就像我说的，更长的保修意味着更长的使用寿命。即使我从未打算实际使用保修，这对我来说也很重要。

好了，我们到此为止吧，记住，收听2.5 Admins播客，发送任何问题或反馈。你可以在geest.com/meteron找到我。

你可以在mercenary.adman.dom找到我。

我在jude。

下周见？