Homelab 部署的服务用 latest 还是固定版本？

[dairiki]

如题，目前（有点蹩脚地）使用 Ansible 管理我的 Homeserver ，跑的是 Debian Trixie 。重要的东西已经转移到 iCloud ，服务器上留着一些无关紧要的或是没有云端版的的东西，例如：

• Home Assistant + Frigate
• Seafile （偶尔传点文件资源之类）
• MC Java 服务器

现在部署的都是固定版本（具体到补丁版本，例如 1.2.3 而不是 1.2 ），然后用 DIUN 提醒新镜像发布之后手动处理。

比较纠结的就是便利/安全与稳定性的取舍。

如果选择部署各个镜像的 latest 版本：

• 优点
  • 非常方便，只需定期执行 Docker pull
  • 大多数已知漏洞都会在最新版修复，安全维护成本降低
• 缺点
  • 没有安全问题的话，稳定性就是最大的问题，庞大的服务难免会在更新后出点小毛病（已经遇到过几次 Home Assistant 更新后出问题）
  • 如果出现小问题，回滚会比较麻烦，因为找到之前的镜像版本相对更困难

如果保持现状，部署固定版本：

• 优点
  • 保证稳定，绝大多数情况下不会在 Docker pull 之后出奇怪的新问题
  • 回滚比较简单，保证备份的可恢复性
• 缺点
  • 人工维护成本增高
  • 如手动更新维护不频繁，落后的版本可能含有安全漏洞
  • 有时候旧版的服务端和新版的客户端会有兼容性问题

以下几点也可以纳入考量：

• 放在以前的话，在一个小的 Homelab 环境，可能安全还是放在第二位考量。但是现在 AI 能力也逐渐提升，新的安全漏洞被发现的越来越快，这方面还是有必要上上心。
• 重要的东西已经逐步转移到 SaaS 平台，对 Homelab 的稳定性要求会相对减少，当然类似 HomeAssistant 这类全家都在用的服务依旧要求稳定运行
• 为了朋友家人使用方便，服务器的 HTTP （ S ）端口目前是直接转发到公网的，Traefik 做反向代理

是逐步转向 latest 图安心，还是保持现状求稳定，亦或是以一致性为成本，依据服务的重要性单独决定？

想请教下大家是怎么解决这个问题的。

在下 v2 新人，还请多关照~

[Aixiaoa]

保留回滚能力即可
比如用 docker swarm

[barathrum]

我现在用 argocd gitops, 有新版本出来 bot 会自动提一个 pr ，批一下就升级了，总体来说没什么摩擦。

[totoro625]

Seafile 一定要固定版本，打算更新之前预留 1 整天的时间用于修复配置文件

“新的安全漏洞被发现的越来越快，这方面还是有必要上上心”
私人使用直接针对指定的端口，配置 ip 白名单

[takanashisakura]

我是固定版本，每个月的最后一个周末集中做更新维护。
不过之前大部分 latest 也还好，就是 pull 前关注下更新日志看看有没有破坏性更新。
点草一下 Memos ，之前三天两头一个破坏性更新，弃用了。

[sparkssssssss]

现在很多软件升级都是为你写诗，我是搞好了满足需求了，就不在变动了，除非遇到问题

[dairiki]

感谢大家的回复～

@barathrum 这个有点意思，具体工作流大概是怎样？批准后自动备份，升级？有遇到过需要回滚的情况咩？还有这个貌似只有 K8s 能用。。。？🤔

[barathrum]

@dairiki 我用的 k3s ，批准后会自动拉新的，拉起来就踢掉老的，拉不起来老的就卡在那，状态会变成 out of sync 等你修，可以自己在 git 上 revert 掉然后重新 sync.
一切状态以 git 为准，不走 git 手动修改会被 argocd 覆盖回去。

[moxuanyuan]

@barathrum #2 我现在用 doco-cd+github+renovate