Por que as versões anteriores dos pacotes Debian desaparecem nos repositórios de pacotes? (altamente relevante para a configuração do sistema controlado por versão)

Cenário: Na configuração do sistema controlada por versão com base no Puppet, Chef etc., é necessário reproduzir um determinado estado do sistema. Isso é feito especificando explicitamente as versões do pacote do sistema.

Recentemente, encontramos um problema em que certas versões de pacotes estavam faltando nos repositórios Debian. Um exemplo: O pacote "patch" foi necessário na versão 2.7.5-1 + deb9u1, mas apenas 2.7.5-1 + deb9u2 estava disponível. Outro exemplo ainda mais grave: "linux-headers-4.9.0-9-common" é necessário (devido à instalação do kernel associado) e apenas "linux-headers-4.9.0-11-common" está disponível.

Isso torna impossível reproduzir um certo estado de um sistema.

Os pacotes acima são apenas exemplos (que de fato encontrei). Estou interessado em entender e resolver o problema geral.

Qual é a idéia por trás dessas atualizações, 'desaparecendo' de pacotes e versões de pacotes?

Onde posso obter versões anteriores (não versões realmente antigas, mas versões com algumas semanas) dos pacotes Debian? Deve ser possível automatizar o processo de instalação de maneira geral.

Ser capaz de reproduzir uma configuração específica, até a versão exata, é seu requisito, não o Debian.

O Debian suporta apenas uma versão única de cada pacote binário em qualquer versão; a contrapartida disso é que é tomado muito cuidado para garantir que as atualizações de pacotes em qualquer versão não introduzam regressões e, quando esse cuidado não for possível, documentem esse fato. Manter várias versões de um determinado pacote aumentaria apenas a carga de suporte e os requisitos de teste: por exemplo, os mantenedores de pacotes precisariam testar pacotes atualizados em todas as versões disponíveis das bibliotecas que eles usam, em vez de apenas nas versões atualmente suportadas ... Os pacotes são atualizados apenas em uma versão estável quando realmente necessário, ou seja ,corrigir um erro grave (incluindo problemas de segurança). No caso do kernel, isso às vezes significa que a ABI do kernel é alterada e o nome do pacote é alterado como resultado disso (para forçar a reconstrução de pacotes dependentes); há meta-pacotes que você pode puxar em vez de codificar a ABI ( linux-image-amd64, linux-headers-amd64, etc.).

No entanto, há uma solução alternativa para sua situação: todos os pacotes e fontes binários publicados são arquivados no snapshot.debian.org . Ao criar uma configuração com versão, você pode escolher o instantâneo correspondente (por exemplo, um dos instantâneos de setembro de 2019 ) e usá-lo como URL do seu repositório:

deb https://snapshot.debian.org/archive/debian/20190930T084755Z/ buster main

Se você acabar confiando nisso, use um espelho de cache de algum tipo, por exemplo, Apt-Cacher NG . Isso não apenas reduzirá a carga no servidor de captura instantânea, mas também garantirá que você tenha uma cópia local de todos os pacotes necessários.

(A situação com relação aos pacotes de código - fonte é um pouco mais complexa e os arquivos carregam várias versões de alguns pacotes de código-fonte em um determinado release, devido a dependências de licenciamento. Mas isso não é relevante aqui. Estritamente falando, o Debian fornece várias versões de alguns binários em liberações suportadas: a versão atual na liberação de ponto atual, junto com quaisquer atualizações nos repositórios de segurança e nos repositórios de atualização; estas são desdobradas na liberação de próximo ponto. Portanto, é possível manter uma configuração de sistema reproduzível e controlada por versão recorrendo a snapshots, desde que você o atualize toda vez que uma liberação de ponto for feita.)

Não confie em servidores que não estão sob seu controle para reproduzir um estado específico do sistema. Mesmo que os servidores Debian sejam bastante confiáveis, você nunca sabe o que pode acontecer no futuro. Isso é especialmente relevante com outros repositórios, você pode usar.

Você deve manter seu próprio espelho para conseguir reproduzir os estados do sistema. Dessa forma, você pode até ter um estado de produção para seus sistemas normais e vários estados de teste para novas configurações.

A ferramenta de gerenciamento de repositório apropriadamente é capaz de criar espelhos de repositórios. Você pode escolher os pacotes a serem espelhados, criar capturas instantâneas do conteúdo do repositório em momentos específicos e combinar vários espelhos ou capturas instantâneas em um repositório. Dessa forma, você pode reproduzir completamente os estados do sistema capazes.

Embora a resposta de Stephen Kitt seja certamente uma solução possível, acho que seria mais seguro manter suas próprias cópias dos pacotes necessários.

Ao gravar uma configuração do sistema, salve cópias dos .debarquivos-de /var/cache/apt/archives/. Você também pode usar apt-get download.

Ao restaurar uma configuração do sistema, você deve ser muito rigoroso aptpara evitar o acionamento de ações automáticas potencialmente perigosas.

Provavelmente será mais fácil usar dpkgdiretamente para instalar exatamente o que você deseja.