Administrar SUSE Linux con zypper: refresh, patch frente a update frente a dup, y ejecuciones no interactivas

Objetivo

Operar zypper en SUSE Linux Enterprise Server 15 SP6 u openSUSE Leap de forma segura desde un script: actualizar los metadatos, elegir el tipo correcto de actualización, ejecutar sin preguntas, encontrar qué sigue reteniendo archivos eliminados tras un cambio, y fijar la versión de un paquete.

Requisitos previos

Acceso root o sudo; en SLES, el sistema ya debería estar registrado (véase el paso de SUSEConnect más abajo) para que los repositorios se resuelvan.

Pasos

1. Actualizar los metadatos del repositorio: sudo zypper refresh. Obtiene los cambios del repositorio y no instala nada; varios comandos también se actualizan automáticamente.
2. Elegir el comando de actualización adecuado según el objetivo:
   • sudo zypper patch instala todos los parches publicados oficialmente; la documentación de SUSE lo llama "la forma más fiable de instalar nuevas versiones de los paquetes instalados" porque respeta los metadatos de los parches (correcciones de CVE, indicadores de reinicio, sustitución de paquetes).
   • sudo zypper update actualiza los paquetes instalados a versiones más nuevas en los repositorios habilitados, independientemente de los metadatos de los parches; SUSE señala que omite silenciosamente los paquetes problemáticos (uno bloqueado, por ejemplo), mientras que zypper patch informa un conflicto.
   • sudo zypper dist-upgrade (zypper dup) aplica el estado completo de los repositorios configurados: puede actualizar, revertir a una versión anterior o eliminar paquetes. En openSUSE Leap realiza actualizaciones de versión (con --releasever); en Tumbleweed es el comando de actualización habitual; en SLES, la migración de service pack normalmente usa zypper migration, y dup no es una herramienta de parcheo.
3. Para ejecuciones no supervisadas, colocar la opción global antes del comando: sudo zypper --non-interactive patch, que aplica las respuestas predeterminadas sin preguntar. En este modo, zypper patch omite los parches interactivos (necesidad de reinicio, mensaje o confirmación de licencia) a menos que se indique --with-interactive; añadir --auto-agree-with-licenses donde se esperen confirmaciones de licencia. Comprobar el código de salida: 103 significa que un parche actualizó el propio gestor de paquetes y zypper patch debe ejecutarse de nuevo; en las versiones actuales de zypper, zypper needs-rebooting devuelve 102 cuando se sugiere un reinicio.
4. Tras cualquier parche o eliminación, comprobar si quedan procesos reteniendo archivos eliminados: zypper ps -s. La página de manual de zypper describe ps como el listado de todos los procesos que usan archivos eliminados, junto con el archivo y una pista del nombre del servicio, lo que indica qué daemons necesitan reiniciarse. -s produce una tabla breve sin la lista de archivos eliminados.
5. Para mantener un paquete en su versión actual durante futuras ejecuciones de patch/update/dup, añadir un bloqueo: sudo zypper addlock <package> (forma corta: al). El manual describe addlock como la adición de un bloqueo de paquete, y los paquetes bloqueados no pueden eliminarse ni modificarse mediante operaciones posteriores de zypper. Listar los bloqueos activos con zypper locks, y eliminar uno con sudo zypper removelock <package> (rl).
6. Registrar o inspeccionar los repositorios de módulos/extensiones con SUSEConnect, documentado en man 8 SUSEConnect; un servidor RMT/SMT local se usa con un argumento --url en lugar del SUSE Customer Center predeterminado.

Resultado esperado

zypper refresh termina con código 0; zypper ps -s devuelve una tabla vacía una vez reiniciados todos los servicios afectados por una actualización; zypper locks lista cualquier paquete que se haya fijado.

Límites y base de verificación

zypper dist-upgrade puede eliminar paquetes que ya no están en los repositorios, lo cual es destructivo si se ejecuta contra el conjunto de repositorios equivocado; revisar su plan (zypper dup --dry-run) antes de ejecutarlo de verdad. Los bloqueos impiden el parcheo automático del paquete bloqueado, incluidos los parches de seguridad, así que hay que eliminarlos una vez que deje de aplicarse el motivo por el que se fijaron.