Gestión de los kernels instalados en Debian y Ubuntu: limpieza, espacio en /boot, HWE y Livepatch

Qué es

Cada actualización de seguridad del kernel en Debian o Ubuntu instala un nuevo paquete linux-image-* junto al que está en ejecución, en lugar de reemplazarlo, de modo que el sistema pueda arrancar con el kernel anterior si el nuevo falla. apt list --installed | grep linux-image muestra cuántos hay instalados; dpkg -l 'linux-image-*' ofrece el detalle de versiones. El espacio ocupado y el desorden en el menú de arranque se acumulan en /boot hasta que se eliminan los kernels antiguos.

Por qué importa

/boot suele ser una partición independiente de tamaño reducido, y puede llenarse por completo tras varias actualizaciones del kernel. Cuando eso ocurre, no se puede instalar ningún otro kernel, incluida una corrección de seguridad, hasta liberar espacio. En Ubuntu, además, elegir entre el kernel GA y el HWE, y tener o no activado Livepatch, influye en cuánta interrupción supone aplicar una corrección de seguridad del kernel.

Cómo aplicarlo

• Ejecute apt-get autoremove con regularidad, o deje que lo haga unattended-upgrades (Unattended-Upgrade::Remove-Unused-Kernel-Packages "true";). El manual de apt-get describe autoremove como la eliminación de "packages that were automatically installed to satisfy dependencies for other packages and are now no longer needed" (paquetes instalados automáticamente para satisfacer dependencias de otros paquetes y que ya no son necesarios). Los paquetes de kernel reciben un trato especial: /etc/apt/apt.conf.d/01autoremove-kernels protege el kernel en ejecución y los más recientes, y los kernels más antiguos pasan a ser eliminables.
• No elimine nunca el kernel en ejecución; compruebe antes uname -r y confirme que autoremove no lo tiene como objetivo (por defecto no eliminará el paquete del kernel en ejecución, pero un apt-get remove manual con el nombre de paquete equivocado sí puede hacerlo).
• Para conservar a propósito una versión concreta del kernel (por ejemplo, durante la validación de un controlador), fíjela con apt-mark hold linux-image-<version>, el mismo mecanismo de retención que apt-mark documenta para cualquier paquete.
• Específico de Ubuntu: las versiones LTS reciben una pila de kernel Hardware Enablement (HWE), que Canonical describe como un soporte de "newer kernel and X11 display support for existing Ubuntu LTS releases" (kernel más reciente y soporte de pantalla X11 para versiones LTS de Ubuntu existentes). Las instalaciones de Server usan por defecto el kernel GA, y HWE es opcional mediante un metapaquete (linux-generic-hwe-<release>). Debian no tiene un mecanismo equivalente de kernel continuo.
• Específico de Ubuntu: el servicio Livepatch de Canonical aplica en memoria determinadas correcciones de seguridad del kernel, con lo que evita el reinicio que exige una actualización tradicional del kernel. Canonical lo presenta como alternativa para cargas de trabajo en las que "the updated system needs to be rebooted, potentially disrupting" los servicios (el sistema actualizado debe reiniciarse, con la posible interrupción de los servicios), de modo que los parches se aplican "between scheduled maintenance windows" (entre las ventanas de mantenimiento programadas). Livepatch forma parte de Ubuntu Pro (se activa con pro enable livepatch, gratuito para un número reducido de máquinas personales) y sigue requiriendo reinicios periódicos para los parches que no puede aplicar en caliente.

Trampas

• Quedarse sin espacio en /boot bloquea sin avisar la siguiente actualización de seguridad del kernel; vigile el espacio libre ahí y no solo en /.
• Fijar una versión del kernel también bloquea sus actualizaciones de seguridad: registre las retenciones de forma explícita y revíselas con regularidad, con la misma cautela que con cualquier otro apt-mark hold.
• Activar HWE en mitad del ciclo de soporte cambia la rama del kernel de la que provendrán las futuras actualizaciones; compruebe apt-cache policy linux-image-generic-hwe-<release> antes de cambiar un host de producción.