Eigener Kernel für Server

[mod3]

Hallo zusammen,

bekomme bald einen neuen Satz Server rein (i5, Z77-Chipsatz) und möchte für diese einen eigenen Kernel bauen.
Das wird im Wesentlichen so aussehen, dass ich die aktuelle Kernel-Konfiguration übernehme und nur einige Module (z.B. Verschlüsselungsalgorithmen) fest einkompiliere, alles weitere werde ich aus der aktuellen Konfiguration übernehmen.
Dafür würde ich mir den dann aktuellen Kernel von kernel.org herunterladen.

Meine Frage nun:
Ist das prinzipiell unsicherer als den Debian-Standard-Kernel zu verwenden, der ja hinsichtlich Sicherheit überprüft sein dürfte?
Was muss ich im folgenden beachten, muss ich also z.B. regelmäßig schauen, ob es Patches für meinen Kernel gibt, die ich dann einspielen sollte, um ihn sicher zu halten?
Ist es sinnvoll, für Server lieber einen stable- oder longtime-Kernel zu nehmen, statt den jeweils aktuellen?

Auch über weitere Tipps und Anregungen freue ich mich, euch ein schönes Wochenende!

Grüße,
mod3

[charno]

Hallo,

mir stellt sich vor allem eine Frage: Wieso? Das Argument Geschwindigkeit ist bei heutigen Prozessoren veraltet (Ausser du hast spezielle Anforderungen an die Rechenleistung)

Allgemein musst du dich halt selbst um die Sicherheit kümmern, das heisst schauen woher du Infos über neue Kernel-Versionen bekommst, und dann jeweils die neue Version bauen und einspielen. Grundsätzlich unsicherer sollte der selbstgebaute Kernel nicht sein.

lg

[mod3]

Hm, meinst du, ich müsste dann jedes Mal auf den jeweils neuen Kernel aktualisieren?
Denn es gibt ja auch Patches etc.?

Nein, Geschwindigkeit zählt wirklich kaum noch, da hast du recht
Mir geht's eher darum, dass ich die Hardware komplett mit Treibern unterstützt bekomme.
Und sollte das mit dem momentanen Debian (stable) Kernel nicht funktionieren, so würde ich ggfs. einen neuen backen.

[charno]

Ah, okay. Nicht unterstützte Hardware ist wirklich ein Grund für einen aktualisierten Kernel. Allerdings gibts auch Backports (Für Wheezy weiss ich das allerdings nicht, glaube die sind noch nicht so weit), die aktuellere Kernel bereitstellen.

Soweit ich mich erinnere gibts zwar für ältere Kernel jeweils Patches. Diese musst du dann natürlich auch selbständig runterladen. Dies ändert dann allerdings nichts daran, dass du dann den gesamten Kernel neu bauen musst (Bitte korrigiert mich, falls ich falsch liege - ist bei mir schon lange her). Ebenfalls musst du eben die Entwicklung verfolgen, damit dir kein Patch entgeht. Das Bauen selbst ist nicht die Schwierigkeit, das manuelle Aktualisieren macht das ganze mühsam

Ich habe unter http://www.phoronix.com/scan.php?page=a ... num=1einen älteren Artikel gefunden, der die Unterstützung für Z77-Chipsätze als gut bezeichnet. Damit sollten die entsprechenden Komponenten auch schon in Wheezy angekommen sein.

[smutbert]

in den backports finden sich immerhin die Kernel 3.9 und 3.10

linux-image-3.9-0.bpo.1-amd64, linux-image-3.10-0.bpo.3-amd64

[mod3]

Ah, mir war garnicht klar, dass es in den Backports auch neuere Kernel gibt, danke für den Tipp!

Ok, wenn ich den Kernel für's Patchen dann jeweils neu kompilieren müsste, wäre es doch genauso sinnvoll, stattdessen einfach den dann aktuellen herunterzuladen und diesen zu kompilieren und unter's System zu schieben?

[charno]

Jein. Mit dem neuen Kernel hast du natürlich auch andere Vorteile, z.B. aktuell offenbar eine Änderung an der CPU-Frequenzregelung (Glaube die kommt mit 3.12) etc., die du mit dem älteren nicht hast. Ich bin mir auch gar nicht sicher, wie lange ältere Kernel gepflegt werden. Eine Distribution macht sich ja genau die Aufgabe, auch ältere Kernel mit sicherheitsaktualisierungen auszustatten.

Hmm... Ich hab wohl die Integration der Backports ins main-archiv verpasst, deshalb hab ich sie nicht gefunden (Mein weg war über backports.debian.org, und dann direkt zu den packages ohne die Hauptseite zu lesen...)

Ich würde dir empfehlen, einfach mal den mitgelieferten Kernel zu testen, und als zweiter Schritt den Backports-Kernel zu verwenden. Erst wenn das nicht klappt würde ich selbst einen bauen. Meiner meinung nach gibt es wenig Gründe, selbst einen Kernel zu bauen (z.B. spezielle Geschwindigkeitsvorteile, eigene Patches oder wirklich topaktuelle Hardware)

[mod3]

Genau so werde ich es wohl auch machen

Nur mal zur Theorie: Im Prinzip muss ich einen Kernel ja garnicht patchen und bin auch nicht drauf angewiesen, dass er länger gepflegt wird, wenn ich mir einfach den jeweils aktuellen schnappe?
Denn in diesem dürften die älteren Probleme ja behoben oder garnicht mehr vorhanden sein?
Es wäre also zumindest denkbar, so zu verfahren?

[charno]

Ja, das ist richtig