{"id":21684,"date":"2026-09-24T09:56:34","date_gmt":"2026-09-24T07:56:34","guid":{"rendered":"https:\/\/webhosting.de\/?p=21684"},"modified":"2026-09-24T09:56:37","modified_gmt":"2026-09-24T07:56:37","slug":"kernelcare-eportal-store-hostinginfrastrukturer","status":"publish","type":"post","link":"https:\/\/webhosting.de\/da\/kernelcare-eportal-grosse-hosting-infrastrukturen\/","title":{"rendered":"KernelCare ePortal til st\u00f8rre hosting-infrastrukturer"},"content":{"rendered":"<div class=\"wh-article\" data-wh-layout=\"2.1.2\" style=\"width:100%;max-width:820px;margin:0 auto;color:#263b4b;font-family:inherit;font-size:18px;line-height:1.8;text-align:start;overflow-wrap:break-word;box-sizing:border-box\"><p class=\"wh-lead\" style=\"font-size:20px;line-height:1.7;color:#233746;margin:0 0 1.1em\">KernelCare ePortal er en god investering for hostingudbydere, hvis <strong style=\"font-weight:700;color:inherit\">kontrollerede patch-ringe<\/strong>, lokal distribution, restriktive netv\u00e6rksudgange eller kontrollerbare godkendelser er p\u00e5kr\u00e6vet. Platformen styrer centralt patch-s\u00e6t, feeds og registreringsn\u00f8gler til KernelCare-agenter. Den erstatter dog hverken regelm\u00e6ssige genstarter eller en sikkerheds- og driftsmodel for hele infrastrukturen. Det er afg\u00f8rende at have en passende spejlstrategi, klart afgr\u00e6nsede udrulningsgrupper, robust overv\u00e5gning og en omhyggeligt sikret drift med h\u00f8j tilg\u00e6ngelighed.   <\/p>\n<nav class=\"wh-toc\" aria-label=\"Indholdet af denne artikel\" style=\"display:block;margin:28px 0 38px;padding:22px;border:1px solid #d9e4e8;border-radius:14px;background:#f4f8f8\"><p class=\"wh-toc-title\" style=\"font-size:13px;font-weight:700;letter-spacing:.08em;color:#49656b;margin:0 0 14px\">G\u00e5 direkte til afsnittet<\/p><div class=\"wh-toc-grid\" style=\"display:grid;grid-template-columns:repeat(auto-fit,minmax(min(100%,280px),1fr));gap:10px\"><div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#grundlagen\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Integrering af KernelCare ePortal i fl\u00e5dedriften<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#begriffe\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Skelne mellem Live-Patching, KernelCare og LibCare<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#einsatz\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Hvorn\u00e5r er central patch-styring \u00f8konomisk fordelagtig<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#modelle\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">V\u00e6lg den rigtige spejling og cache<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#rollout\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Oprettelse af patch-ringe til hostingfl\u00e5der<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#zugang\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Adskil feeds, n\u00f8gler og klienter<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#hochverfuegbarkeit\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Drift af replikering og TLS p\u00e5 en robust m\u00e5de<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#kontrollen\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Indf\u00f8re dokumentation, sikkerhedskopiering og overv\u00e5gning<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#stoerungen\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Vurdering af fejlm\u00f8nstre og driftsbeslutninger<\/a><\/div>\n<\/div><\/nav><section class=\"wh-section\" aria-labelledby=\"grundlagen\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"grundlagen\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Integrering af KernelCare ePortal i fl\u00e5dedriften<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><strong style=\"font-weight:700;color:inherit\">KernelCare ePortal<\/strong> er den selvdrevne administrations- og distributionskomponent til KernelCare-agenter i st\u00f8rre Linux-milj\u00f8er. Den samler patch-s\u00e6t, feeds og registreringsn\u00f8gler p\u00e5 \u00e9t kontrolleret sted. Dermed bestemmer operat\u00f8ren ikke kun, om v\u00e6rter skal hente opdateringer, men ogs\u00e5 fra hvilken lokal kilde og efter hvilke godkendelsesregler dette skal ske.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Uden ePortal kontakter agenterne direkte TuxCare-infrastrukturen. For sm\u00e5, stort set ensartede og internetforbundne serverparker er dette som regel den nemmeste l\u00f8sning: Der er ingen ekstra central platform, der skal opdateres, sikres og overv\u00e5ges. Med et stigende antal systemer bliver denne enkelhed imidlertid en ulempe, n\u00e5r der kr\u00e6ves sporbare godkendelser eller begr\u00e6nsede netv\u00e6rksudgange.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">I en hostingfl\u00e5de findes der ofte webservere, databaseservere, virtualiseringsv\u00e6rter og styringssystemer med forskellige distributioner og kernelserier. En central <strong style=\"font-weight:700;color:inherit\">Patch-k\u00f8b<\/strong> g\u00f8r det muligt at forsyne disse tekniske grupper m\u00e5lrettet med passende feeds og n\u00f8gler. ePortal er dermed ikke et alternativ til KernelCare-agenten, men udvider dennes hentning af patch-s\u00e6t med lokal styring og distribution.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Fordelen skyldes alts\u00e5 ikke alene antallet af servere. Afg\u00f8rende er bindende patch-cyklusser, kontrol- og dokumentationskrav, netv\u00e6rksspecifikationer samt sp\u00f8rgsm\u00e5let om, hvorvidt en central tjeneste selv kan drives p\u00e5lideligt. Disse krav afg\u00f8r ogs\u00e5, om lokal spejling, cache eller direkte hentning er den mest hensigtsm\u00e6ssige arkitektur.<\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"begriffe\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"begriffe\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Skelne mellem Live-Patching, KernelCare og LibCare<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">P\u00e5 <strong style=\"font-weight:700;color:inherit\">Live-patching<\/strong> KernelCare-agenten kontrollerer regelm\u00e6ssigt, om der er passende patch-s\u00e6t tilg\u00e6ngelige. Den henter dem, verificerer dem og installerer dem i den k\u00f8rende kerne. Sikkerhedsrettelser kan dermed tr\u00e6de i kraft uden at det er n\u00f8dvendigt at genstarte kernen. Hvilke patch-s\u00e6t der kan anvendes, afh\u00e6nger af den installerede kerne og den underst\u00f8ttede distribution.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">KernelCare betegner tilbuddet om live-kernel-patches. LibCare skal holdes adskilt herfra: Det er et valgfrit till\u00e6gsprodukt til bestemte userspace-komponenter og ikke et andet navn for kernel-patching. ePortal laver derimod ikke selv patches til kernen, men administrerer patch-s\u00e6t, feeds og registreringen af KernelCare-agenterne i en lokal virksomhedsinstallation.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Den tidligere betegnelse \u00bbKernelCare Plus\u00ab b\u00f8r kun forekomme i forbindelse med klassificering af \u00e6ldre dokumentation. Producenten har udfaset dette produkt siden marts 2023 og erstattet det med KernelCare. Ved opg\u00f8relser er det derfor vigtigt ikke at sidestille installerede agenter, kontrakter og dokumentation med aktuelle komponenter eller funktionsomfang p\u00e5 baggrund af historiske produktnavne.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Live-patching er ikke en erstatning for en fuldst\u00e6ndig vedligeholdelsesproces. Planlagt <strong style=\"font-weight:700;color:inherit\">Genstart<\/strong> er stadig n\u00f8dvendige, f.eks. i forbindelse med regelm\u00e6ssige kerneudskiftninger, hardware- og firmwareopdateringer, driver\u00e6ndringer, konfigurationsarbejde eller fejlscenarier, der ikke kan l\u00f8ses i realtid. Et driftskoncept b\u00f8r derfor kombinere den reducerede eksponering gennem patch-s\u00e6t med de fortsat planlagte genstartvinduer, i stedet for at fjerne disse helt.  <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"einsatz\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"einsatz\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Hvorn\u00e5r er central patch-styring \u00f8konomisk fordelagtig<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">ePortal er det rette valg, n\u00e5r virksomheden ikke blot skal distribuere patches hurtigt, men ogs\u00e5 skal styre udrulningen p\u00e5 en bindende m\u00e5de. Det g\u00e6lder for eksempel separate godkendelsesgrupper for Canary-hosts, staging og produktion, restriktive udg\u00e5ende firewall-regler eller dokumentation for, hvilken host der var tildelt hvilket feed. Ogs\u00e5 mange systemer med forskellige platforme drager fordel af en centralt vedligeholdt distributionsinstans.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Den ekstra fordel skal retf\u00e6rdigg\u00f8re indsatsen. En ePortal-instans kr\u00e6ver kapacitet, opdateringer, sikkerhedskopier, adgangsbeskyttelse og overv\u00e5gning; ved h\u00f8j tilg\u00e6ngelighed kommer replikering og netv\u00e6rksarkitektur oveni. For f\u00e5 ensartede servere med tilladt internetadgang er det derfor ofte nemmere at benytte TuxCare-infrastrukturen direkte. F\u00e6rre komponenter betyder i dette tilf\u00e6lde et mindre eget driftsomr\u00e5de.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Fra et \u00f8konomisk synspunkt er central styring is\u00e6r fordelagtig d\u00e9r, hvor uplanlagt samtidighed ville v\u00e6re dyr: for eksempel ved mange kundewebservere, databaseklynger eller virtualiseringsv\u00e6rter. En <strong style=\"font-weight:700;color:inherit\">Udgivelsesproces<\/strong> kan dermed afspejle b\u00e5de tekniske ligheder og forretningsm\u00e6ssige risici. Grupperne b\u00f8r ikke kun dannes ud fra placering, men ogs\u00e5 tage h\u00f8jde for distribution, kernelserie, hypervisor, kontrolpanel, hardware og kundeprofil.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Sikkerhedsd\u00e6kningen m\u00e5 dog ikke overvurderes. KernelCare stiller som udgangspunkt kun live-patches til r\u00e5dighed for en kerne, s\u00e5 l\u00e6nge distributionens udbyder udgiver sikkerhedsopdateringer til den p\u00e5g\u00e6ldende kerneserie. Desuden er live-patching ikke et generelt bevis p\u00e5, at alle s\u00e5rbarheder er blevet rettet. Patchstatus, distributionssupport og regelm\u00e6ssig vedligeholdelse skal fortsat kontrolleres separat.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Driftsbeslutningen lyder derfor ikke generelt: \u201ecentralt er bedre\u201c. ePortal er hensigtsm\u00e6ssigt, n\u00e5r lokal kontrol, differentieret fordeling og p\u00e5lidelig sporbarhed opfylder konkrete krav. Mangler disse krav, kan den bevidst enkle direkte indk\u00f8b v\u00e6re mere robust. I det n\u00e6ste trin er det den \u00f8nskede leveringsmodel, der afg\u00f8r lagerbehovet og de eksterne afh\u00e6ngigheder.<\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"modelle\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"modelle\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">V\u00e6lg den rigtige spejling og cache<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Valget af distributionsmodel afg\u00f8r, hvor uafh\u00e6ngig en hostingfl\u00e5de er, n\u00e5r det g\u00e6lder hentning af opdateringer, og hvor meget infrastruktur den skal drive til dette form\u00e5l. Ved direkte hentning henter KernelCare-agenter patch-s\u00e6t via TuxCare-infrastrukturen. ePortal flytter derimod frigivelse, lokal opbevaring og distribution til en egen instans; den kan spejle patch-s\u00e6t som et komplet eller filtreret arkiv eller cache dem efter behov.  <\/p>\n<div class=\"wh-table-scroll\" tabindex=\"0\" role=\"region\" aria-label=\"Driftsmodeller for indhentning af KernelCare-patches\u00e6t\" style=\"width:100%;max-width:100%;overflow-x:auto;margin:28px 0;border:1px solid #dce5e9;border-radius:14px;background:#fff;box-shadow:0 10px 28px -16px rgba(24,47,60,.32);box-sizing:border-box\"><table style=\"width:100%;min-width:580px;border-collapse:separate;border-spacing:0;border:0;margin:0;font-size:15px;line-height:1.6;background:#fff\"><caption style=\"padding:20px;text-align:start;font-size:17px;line-height:1.5;font-weight:700;color:#173246;background:#fff\">Driftsmodeller for indhentning af KernelCare-patches\u00e6t<\/caption><thead><tr><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Model<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Patch-styring<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Lokalt lagerbehov<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Ekstern afh\u00e6ngighed ved hentning<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Klassificering af afsk\u00e6rmede omr\u00e5der<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Driftsomkostninger<\/th><\/tr><\/thead><tbody><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Direkte indk\u00f8b<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Agenterne henter patch-s\u00e6t direkte; ingen lokal styring af feeds<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Intet ePortal-arkiv<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Hver agent skal have adgang til patch-kilden<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Uegnet til isolerede agentnetv\u00e6rk, medmindre der findes en lokal forbindelsesvej<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Lav<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Filtreret spejling<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Feeds og udvalgte distributioner kan styres centralt<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Afh\u00e6ngigt af de spejlede distributioner og kernevarianter<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">ePortal har fortsat brug for adgang til patchkilden for nye patch-s\u00e6t<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Agentnetv\u00e6rk kan v\u00e6re adskilt fra internettet; ePortal selv er fortsat afh\u00e6ngig af upstream for nye arkiver<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Medium<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Fuld spejling<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Feeds kan styres centralt; lokal opbevaring af de spejlede arkiver<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">H\u00f8j; producenten angiver mindst 1 TB, anbefalet 2 TB<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">For arkiver, der allerede findes i deres helhed, skal der ikke oprettes en ekstern forbindelse ved hentning via agenten<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Omg\u00e5r udfald i upstream-systemet for eksisterende arkiver; et fuldst\u00e6ndigt air-gapped ePortal kr\u00e6ver desuden en separat arkivoverf\u00f8rselsproces<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">H\u00f8j<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Cache-tilstand<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Feeds kan styres centralt; bin\u00e6re data gemmes midlertidigt lokalt<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Lav; producenten angiver mindst 25 GB, anbefalet 50 GB<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Hvis der ikke findes bin\u00e6re data, har ePortal brug for patchkilden<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Agentnetv\u00e6rk kan forsynes centralt via ePortal; ved cache-fejl er en upstream-rute p\u00e5kr\u00e6vet<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Medium<\/td><\/tr><\/tbody><\/table><\/div><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">En fuld spejling er hensigtsm\u00e6ssig, hvis allerede hentede patch-s\u00e6t skal forblive tilg\u00e6ngelige lokalt, selv n\u00e5r den eksterne forbindelse er afbrudt, eller hvis bindende interne godkendelser kr\u00e6ver dette. En filtreret spejling begr\u00e6nser arkivst\u00f8rrelsen og datatrafikken til de distributioner, der faktisk anvendes. Til dette form\u00e5l skal inventariseringen p\u00e5lideligt registrere, hvilke kernelserier og arkitekturer fl\u00e5den anvender; ellers mangler der netop et arkiv, n\u00e5r en host har brug for det. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Der <strong style=\"font-weight:700;color:inherit\">Cache-tilstand<\/strong> Det sparer lagerplads, men er ikke det samme som fuldst\u00e6ndig isoleret drift. ePortal indl\u00e6ser metadata og henter patch-bin\u00e6rdata fra kilden efter behov; if\u00f8lge dokumentationen forbliver de downloadede bin\u00e6rdata i den lokale cache i to uger. For isolerede agentnetv\u00e6rk kan dette v\u00e6re tilstr\u00e6kkeligt, s\u00e5 l\u00e6nge ePortal har tilladelse til at benytte den tilladte upstream-sti. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">En ePortal-server, der drives fuldst\u00e6ndigt isoleret fra netv\u00e6rket, skal vurderes separat. Nye patcharkiver skal i s\u00e5 fald importeres via en separat planlagt manuel overf\u00f8rsel. Definer i den forbindelse kildekontrol, integritets- og signaturkontrol, medie- eller netv\u00e6rksgodkendelse, importr\u00e6kkef\u00f8lge og ansvarsfordeling. Hverken filtreret eller fuldst\u00e6ndig spejling genererer denne proces automatisk; de bestemmer kun, hvilke arkiver ePortal opbevarer lokalt. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Lagringsplanl\u00e6gningen b\u00f8r ikke begr\u00e6nses til det nuv\u00e6rende arkivs st\u00f8rrelse. TuxCare angiver som retningslinje for ePortal SSD-lager med mindst 100 IOPS samt en v\u00e6kst p\u00e5 ca. 4 til 5 GiB om m\u00e5neden. Disse producentoplysninger erstatter ikke kapacitetsplanl\u00e6gningen: Genopretningsm\u00e5l, parallelle udrulninger, netv\u00e6rksforsinkelser, antallet af kernevarianter og overv\u00e5gningskrav kan have st\u00f8rre indflydelse p\u00e5 arkitekturen end ledig diskplads. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"rollout\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"rollout\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Oprettelse af patch-ringe til hostingfl\u00e5der<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Patch-ringe sikrer en kontrolleret udrulning ud fra et centralt tilg\u00e6ngeligt patch-s\u00e6t. En lille \u00bbCanary\u00ab-gruppe f\u00e5r f\u00f8rst godkendelsen, derefter f\u00f8lger \u00bbStaging\u00ab, en begr\u00e6nset produktionsgruppe og til sidst den brede produktion. Hver ring kr\u00e6ver p\u00e5 forh\u00e5nd definerede overv\u00e5gningsparametre og en ansvarlig instans; uden disse kriterier udskyder en forsinkelse blot risikoen i stedet for at vurdere den. <\/p>\n<figure class=\"wp-block-image size-large wh-figure\" aria-describedby=\"wh-caption-detail1\" style=\"display:block;float:none;clear:both;width:100%;max-width:760px;margin:34px auto 40px;border:1px solid #dae5e9;border-radius:14px;overflow:hidden;background:#f5f8fa;box-shadow:0 10px 28px -17px rgba(24,47,60,.28);box-sizing:border-box\"><div class=\"wh-figure-media\" style=\"display:block;background:#eef3f5;line-height:0\"><img loading=\"lazy\" width=\"800\" height=\"534\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/09\/kernelcare-eportal-patch-ringe-9fabeef8-detail1-eb954d38cc-1024x683.webp\" class=\"wp-image-21694\" alt=\"Trinvis udrulning af opdateringer fra Canary-systemer til bred produktion\" decoding=\"async\" srcset=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/09\/kernelcare-eportal-patch-ringe-9fabeef8-detail1-eb954d38cc-1024x683.webp 1024w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/09\/kernelcare-eportal-patch-ringe-9fabeef8-detail1-eb954d38cc-300x200.webp 300w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/09\/kernelcare-eportal-patch-ringe-9fabeef8-detail1-eb954d38cc-768x512.webp 768w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/09\/kernelcare-eportal-patch-ringe-9fabeef8-detail1-eb954d38cc-18x12.webp 18w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/09\/kernelcare-eportal-patch-ringe-9fabeef8-detail1-eb954d38cc.webp 1536w\" sizes=\"auto, (max-width: 800px) 100vw, 800px\" ><\/div><figcaption class=\"wh-caption\" id=\"wh-caption-detail1\" style=\"display:block;margin:0;padding:12px 18px 15px;border-top:1px solid #dce5e9;color:#506575;background:#f5f8fa;font-size:14px;line-height:1.55;text-align:start\">Patch-ringe begr\u00e6nser den f\u00f8rste uds\u00e5ning og skaber klare beslutningspunkter inden den brede uds\u00e5ning.<\/figcaption><\/figure><div class=\"wh-table-scroll\" tabindex=\"0\" role=\"region\" aria-label=\"Eksempel p\u00e5 organisatoriske patch-ringe uden faste tidsfrister\" style=\"width:100%;max-width:100%;overflow-x:auto;margin:28px 0;border:1px solid #dce5e9;border-radius:14px;background:#fff;box-shadow:0 10px 28px -16px rgba(24,47,60,.32);box-sizing:border-box\"><table style=\"width:100%;min-width:580px;border-collapse:separate;border-spacing:0;border:0;margin:0;font-size:15px;line-height:1.6;background:#fff\"><caption style=\"padding:20px;text-align:start;font-size:17px;line-height:1.5;font-weight:700;color:#173246;background:#fff\">Eksempel p\u00e5 organisatoriske patch-ringe uden faste tidsfrister<\/caption><thead><tr><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Ring<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">M\u00e5lgruppe<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Feed-kanal<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Godkendelseskriterium<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Forsinkelseslogik<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Tilbagefald og ansvar<\/th><\/tr><\/thead><tbody><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Kanariefugl<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Repr\u00e6sentative interne eller lavrisikohosts<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Stald<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Patchstatus, servicemetrikker og logfiler er normale<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Indtil den dokumenterede vurdering<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Stop feedet; platformteamet tr\u00e6ffer beslutningen<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Iscenes\u00e6ttelse<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Pr\u00e6produktionssystemer med en lignende stack<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Stald<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Anvendelsestests og driftstests best\u00e5et<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Efter frigivelsen af Canary-ringen<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Stop feed; App- og platformteamet<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Begr\u00e6nset produktion<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">En begr\u00e6nset, repr\u00e6sentativ gruppe af kunder eller webservere<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Stald<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Ingen markante fejlfrekvenser eller support-signaler<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Efter vurdering af staging-ringen<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Stop udbredelsen; de ansvarlige for h\u00e6ndelsen<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Bred produktion<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Andre egnede produktionsv\u00e6rter<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Stald<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Tidligere ringe er frigivet<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Efter dokumenteret godkendelse<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">S\u00e6t udrulningen p\u00e5 pause; driftsteamet<\/td><\/tr><\/tbody><\/table><\/div><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">For produktionsringene g\u00e6lder, at <strong style=\"font-weight:700;color:inherit\">Stald<\/strong> den p\u00e5t\u00e6nkte kanal. Testing er velegnet til en separat, bevidst kontrolleret evalueringsproces, fordi denne kanal omfatter alle tilg\u00e6ngelige patchs\u00e6t og dermed kan indeholde yderligere patchs\u00e6t, der endnu ikke er markeret som Stable. Unstable er if\u00f8lge dokumentationen en Early-Access-kanal og anbefales ikke. Testing og Unstable skal derfor ikke betragtes som generel produktionsbevis. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Ringe b\u00f8r sammens\u00e6ttes ud fra teknisk lighed i stedet for udelukkende ud fra datacentrets placering. Relevante faktorer er distribution og kernelserien, hardwareplatform, virtualisering, kontrolpanel, webserver-stack og kundeprofil. En Canary-host med en anden kernelserien eller en anden virtualisering d\u00e6kker kun i begr\u00e6nset omfang adf\u00e6rden i et produktivt m\u00e5lsystem. Ved shared hosting omfatter ressourceprofiler og konfigurationer af <a href=\"https:\/\/webhosting.de\/da\/cloudlinux-lve-manager-konfiguration-af-delt-hosting-ressourceadministration\/\">CloudLinux LVE-administratorer<\/a> i denne vurdering, da de kan p\u00e5virke belastnings- og fejlbilleder.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Der skal udvises s\u00e6rlig forsigtighed med nye ePortal-instanser. If\u00f8lge producentens oplysninger tjekker ePortal hvert tiende minut, om der er nye patch-s\u00e6t, og henter dem, men stiller dem ikke automatisk til r\u00e5dighed for alle feeds. N\u00e5r arkiver hentes for f\u00f8rste gang, tildeles de indeholdte patch-s\u00e6t samme udgivelsestidspunkt. En allerede konfigureret forsinkelse kan derfor medf\u00f8re, at hele den oprindelige beholdning, n\u00e5r forsinkelsen er udl\u00f8bet, overf\u00f8res til et automatisk opdateret feed. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Undlad derfor under den indledende synkronisering at udf\u00f8re automatisk opdatering af produktive feeds og deres produktive n\u00f8gletildeling. Indl\u00e6s den f\u00f8rste datam\u00e6ngde fuldst\u00e6ndigt, kontroller den samt feedkonfigurationen, og tildel f\u00f8rst derefter n\u00f8glerne kontrolleret til de p\u00e5t\u00e6nkte ringe, eller aktiver deres automatiske opdatering. Forsinkelseslogikken anvendes derefter til nye patch-s\u00e6t, der ankommer; den adskiller ikke p\u00e5lideligt den historiske startdatas\u00e6t fra en ny instans. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"zugang\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"zugang\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Adskil feeds, n\u00f8gler og klienter<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Feeds udg\u00f8r den tekniske side af rollout-ringene: De forbinder patchkanalen og forsinkelseslogikken med en gruppe af systemer. Registreringsn\u00f8gler kan knyttes til feeds og forsynes med serverbegr\u00e6nsninger. Dermed kan en operat\u00f8r f.eks. forsyne interne platforme, managed server-tilbud og separate kundemilj\u00f8er med forskellige frigivelsesveje uden at skulle \u00e6ndre agentkonfigurationen p\u00e5 hver enkelt host. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Denne indstilling udg\u00f8r dog ikke en fuldst\u00e6ndig sikkerhedsgr\u00e6nse. Den valgfri funktion <strong style=\"font-weight:700;color:inherit\">Forretningsenheder<\/strong> Underst\u00f8tter multi-tenancy i ePortal, men erstatter hverken netv\u00e6rkssegmentering, en adgangsretningsmodel eller adskilte administrative ansvarsomr\u00e5der. Ogs\u00e5 logf\u00f8ring, hemmelighedsstyring og kontrollen af, hvem der m\u00e5 oprette n\u00f8gler eller \u00e6ndre feeds, skal planl\u00e6gges og kontrolleres regelm\u00e6ssigt uafh\u00e6ngigt af produktfunktionen. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">I klientmilj\u00f8er er adskillelsen mellem patchstyring og den \u00f8vrige hosting-isolering s\u00e6rligt vigtig. En n\u00f8gle kan begr\u00e6nse den tilsigtede feed-tildeling og antallet af servere, der kan registreres, men forhindrer ikke tv\u00e6rg\u00e5ende adgang til andre infrastrukturkomponenter. Proces- og filsystemisolering forbliver separate opgaver; dette suppleres af artiklen om <a href=\"https:\/\/webhosting.de\/da\/cloudlinux-securelve-procesisolering-shared-hosting-shield\/\">CloudLinux SecureLVE<\/a> p\u00e5 niveauet for konti og websteder.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Fra ePortal 2.14-1 kan API-n\u00f8gler til den offentlige API anvendes som alternativ til Basic Authentication. ePortal-administrationen tillader blandt andet, at API-n\u00f8gler kan tilbagekaldes enkeltvis, samt at der angives en valgfri udl\u00f8bsdato. Dette letter oprettelsen af separate tilladelser til CMDB-integrationer eller konfigurationsautomatisering, forudsat at rettighederne for den tilh\u00f8rende brugerkonto bevidst begr\u00e6nses.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Gem tokens som hemmeligheder i et hemmelighedsstyringssystem, ikke i playbooks, images, shell-historikker eller tickets. Dette er en driftsm\u00e6ssig sikkerhedsforanstaltning og ikke en egenskab, der automatisk h\u00e5ndh\u00e6ves af ePortal. En praktisk proces tildeler hver n\u00f8gle en ejer, et form\u00e5l, tilladte produkter, en servergr\u00e6nse og en rotationsdato. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">API-n\u00f8gler b\u00f8r m\u00e5lrettet tilbagekaldes ved et systemsskifte, et rolle\u00e6ndring eller hvis adgangen til automatiseringen ikke l\u00e6ngere er n\u00f8dvendig. Registreringsn\u00f8gler skal du h\u00e5ndtere anderledes: If\u00f8lge dokumentationen vil fjernelsen af en s\u00e5dan n\u00f8gle ogs\u00e5 fjerne alle de servere, der er registreret under den, fra ePortal. Planl\u00e6g derfor inden sletningen overf\u00f8rslen til en ny n\u00f8gle eller omregistreringen af de ber\u00f8rte v\u00e6rter, og kontroller derefter deres feed-tildeling samt check-in-status. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"hochverfuegbarkeit\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"hochverfuegbarkeit\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Drift af replikering og TLS p\u00e5 en robust m\u00e5de<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">For en <strong style=\"font-weight:700;color:inherit\">distribution af opdateringer med h\u00f8j tilg\u00e6ngelighed<\/strong> kombineres flere ePortal-noder p\u00e5 en s\u00e5dan m\u00e5de, at KernelCare-agenter henvender sig til et f\u00e6lles cluster-DNS-navn eller en HTTP-load-balancer. Til administrative opgaver skal du derimod bruge et kontrolleret, knudespecifikt admin-endepunkt. If\u00f8lge producenten m\u00e5 du ikke bruge det f\u00e6lles cluster-endepunkt til operationer i ePortal-administrationsgr\u00e6nsefladen. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Inden idrifts\u00e6ttelsen b\u00f8r arkitekturen ikke kun tage h\u00f8jde for nedbrud p\u00e5 en ePortal-server. Ogs\u00e5 DNS-opl\u00f8sning, load balancer, certifikater, lagerplads til patcharkiver, forbindelsen til patchkilden og tilg\u00e6ngeligheden fra hvert netv\u00e6rkssegment er relevante faktorer. En ekstra node uden koordineret netv\u00e6rks- og driftsoverv\u00e5gning forbedrer tilg\u00e6ngeligheden kun i begr\u00e6nset omfang; i tilf\u00e6lde af en fejl kan den endda skjule afvigende tilstande. <\/p>\n<figure class=\"wp-block-image size-large wh-figure\" aria-describedby=\"wh-caption-detail2\" style=\"display:block;float:none;clear:both;width:100%;max-width:760px;margin:34px auto 40px;border:1px solid #dae5e9;border-radius:14px;overflow:hidden;background:#f5f8fa;box-shadow:0 10px 28px -17px rgba(24,47,60,.28);box-sizing:border-box\"><div class=\"wh-figure-media\" style=\"display:block;background:#eef3f5;line-height:0\"><img loading=\"lazy\" width=\"800\" height=\"534\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/09\/kernelcare-eportal-hochverfuegbarkeit-9fabeef8-detail2-8d7f96a3cf-1024x683.webp\" class=\"wp-image-21695\" alt=\"Redundante ePortal-knudepunkter med load balancer, agentsti og beskyttet replikering\" decoding=\"async\" srcset=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/09\/kernelcare-eportal-hochverfuegbarkeit-9fabeef8-detail2-8d7f96a3cf-1024x683.webp 1024w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/09\/kernelcare-eportal-hochverfuegbarkeit-9fabeef8-detail2-8d7f96a3cf-300x200.webp 300w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/09\/kernelcare-eportal-hochverfuegbarkeit-9fabeef8-detail2-8d7f96a3cf-768x512.webp 768w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/09\/kernelcare-eportal-hochverfuegbarkeit-9fabeef8-detail2-8d7f96a3cf-18x12.webp 18w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/09\/kernelcare-eportal-hochverfuegbarkeit-9fabeef8-detail2-8d7f96a3cf.webp 1536w\" sizes=\"auto, (max-width: 800px) 100vw, 800px\" ><\/div><figcaption class=\"wh-caption\" id=\"wh-caption-detail2\" style=\"display:block;margin:0;padding:12px 18px 15px;border-top:1px solid #dce5e9;color:#506575;background:#f5f8fa;font-size:14px;line-height:1.55;text-align:start\">Redundans kr\u00e6ver ikke blot flere noder, men ogs\u00e5 kontrolleret replikering, TLS og separate administratoradgange.<\/figcaption><\/figure><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Knudepunkterne synkroniserer \u00e6ndringer via replikering. Denne synkronisering er ikke n\u00f8dvendigvis synlig med det samme. Is\u00e6r ved Round-Robin kan en agent, der netop er blevet registreret, f\u00f8rst n\u00e5 det f\u00f8rste knudepunkt til registrering og umiddelbart derefter et knudepunkt, der endnu ikke er synkroniseret, til opdatering. Automatiseringer b\u00f8r derfor indeholde et kort ventetidspunkt eller en gentagelseslogik med et begr\u00e6nset antal gentagelser, i stedet for at behandle en umiddelbart efterf\u00f8lgende hentning af en patch som en p\u00e5lidelig slutstatus. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Ogs\u00e5 l\u00e6ngerevarende afbrydelser indg\u00e5r i fejlscenariet. If\u00f8lge dokumentationen opbevares replikeringsprotokoller i syv dage; hvis en node forbliver afbrudt i l\u00e6ngere tid, kan den g\u00e5 glip af \u00e6ndringer. Den <strong style=\"font-weight:700;color:inherit\">Replikationsforsinkelse<\/strong> Det er alts\u00e5 en driftsstatus, ikke blot en diagnosev\u00e6rdi. Efter netv\u00e6rksforstyrrelser skal du derfor kontrollere feed-tildelinger, n\u00f8glebeholdningen og patcharkivet p\u00e5 den genoprettede node, inden den igen behandler agentforesp\u00f8rgsler som normalt. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Replikeringen foreg\u00e5r via HTTP. Uden en passende TLS-sikring overf\u00f8res replikeringsdataene derfor ukrypteret. Opdel denne datatrafik i mindst et p\u00e5lideligt netv\u00e6rk, eller konfigurer TLS i overensstemmelse med arkitekturen. For agentendepunkter, der er tilg\u00e6ngelige eksternt eller p\u00e5 tv\u00e6rs af netv\u00e6rk, er en verificerbar certifikatk\u00e6de en vigtig del af <strong style=\"font-weight:700;color:inherit\">TLS-afslutning<\/strong>; en deaktiveret certifikatkontrol er ikke en forsvarlig langsigtet l\u00f8sning. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Hvis der er en reverse proxy foran ePortal, skal de tilladte v\u00e6rtsnavne konfigureres, s\u00e5 ePortal begr\u00e6nser anmodninger om v\u00e6rtsheadere. Proxyen skal desuden videresende den oprindelige v\u00e6rtsheader samt X-Forwarded-Proto korrekt. Ellers kan der opst\u00e5 forkerte eksterne URL'er, omdirigeringsproblemer eller en fejlagtig vurdering af det anvendte protokol. Denne header-konfiguration b\u00f8r derfor v\u00e6re en del af enhver \u00e6ndring af proxyen og godkendelsen heraf. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"kontrollen\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"kontrollen\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Indf\u00f8re dokumentation, sikkerhedskopiering og overv\u00e5gning<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Kontrollerbar live-patching kr\u00e6ver l\u00f8bende dokumentation, ikke blot en vellykket f\u00f8rste installation. Registrer som minimum hver hosts feed-tildeling, den seneste agent-check-in, den rapporterede patch-status og status for registreringsn\u00f8glerne. Suppler disse data med oplysninger om de ansvarlige teams og en sporbar godkendelsesbeslutning. P\u00e5 den m\u00e5de kan man ved en sikkerhedsmeddelelse m\u00e5lrettet fastsl\u00e5, hvilken gruppe der bruger hvilken implementeringsvej. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Andre faste kontroller vedr\u00f8rer lagerpladsv\u00e6kst, ledig plads til arkiver, replikeringsstatus samt rotation eller tilbagekaldelse af n\u00f8gler, der ikke l\u00e6ngere er n\u00f8dvendige. API-n\u00f8gler er bedre egnet til automatiserede foresp\u00f8rgsler end delte administratoradgangskoder, fordi de kan administreres individuelt, tilbagekaldes og eventuelt forsynes med en udl\u00f8bsdato. Opbevar dem som en sikkerhedsforanstaltning i en hemmelighedsstyring, ikke i billeder, playbooks eller tickets.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">For en eksisterende klynge er f\u00f8lgende, ikke-\u00e6ndrende kontrolkald et velegnet element til overv\u00e5gning eller en planlagt sundhedstjek. Det leverer en maskinl\u00e6sbar kortstatus, herunder replikeringsforsinkelse. I tilf\u00e6lde af et problem afsluttes opkaldet med exit-kode 1; overv\u00e5gningen b\u00f8r udl\u00f8se en alarm ved denne tilstand, men yderligere indsn\u00e6vre \u00e5rsagen p\u00e5 baggrund af node- og netv\u00e6rksdata. <\/p>\n<div class=\"wh-code-window\" data-wh-code style=\"margin:28px 0 34px;border:1px solid #2c4656;border-radius:12px;overflow:hidden;background:#132a3b;box-shadow:0 9px 25px -13px rgba(15,35,55,.2)\"><div class=\"wh-code-toolbar\" style=\"display:flex;flex-wrap:wrap;align-items:center;justify-content:space-between;gap:10px;padding:11px 16px;background:#223e50;color:#edf5fa;font-size:13px;line-height:1.5;font-weight:600\"><span>Terminal<\/span><button type=\"button\" class=\"wh-code-copy\" data-wh-copy hidden style=\"padding:6px 11px;border:1px solid #7893a1;border-radius:6px;background:transparent;color:#fff;font-size:12px;line-height:1.5;font-weight:600;cursor:pointer\">Kopier kode<\/button><span class=\"wh-copy-status\" aria-live=\"polite\"><\/span><span data-wh-copy-success hidden>Kopieret<\/span><span data-wh-copy-fallback hidden>Kode er markeret \u2013 kopier venligst<\/span><\/div><pre class=\"wh-code\" data-no-translation translate=\"no\" style=\"display:block;margin:0;padding:20px;max-width:100%;overflow-x:auto;color:#edf5fa;background:#132a3b;font:14px\/1.75 ui-monospace,SFMono-Regular,Menlo,Consolas,monospace;white-space:pre;direction:ltr;text-align:left\"><code class=\"language-bash\" style=\"font:inherit;color:inherit;background:transparent;padding:0;border:0;white-space:inherit\">kc.eportal replication --short-status<\/code><\/pre><\/div><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">ePortal skelner mellem en arkiveringsk\u00f8rsel af en sikkerhedskopi og en ren sikkerhedskopi af databasen. Den fulde kommandosyntaks lyder <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">kc.eportal backup &lt;path_to_archive&gt;<\/code>; den opretter et sikkerhedskopieringsarkiv, der indeholder patchset-filerne. Med <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">kc.eportal backup-db &lt;path_to_backup&gt;<\/code> I stedet sikkerhedskopierer du kun databaserne uden patch-s\u00e6t-filer. Denne anden metode er velegnet til konfigurations- og serverdata, men ikke til lokal arkivering af patches. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Disse ePortal-sikkerhedskopier omfatter ikke automatisk hele milj\u00f8et. Operativsystemkonfiguration, reverse-proxy- og load-balancer-konfiguration, TLS-certifikater og private n\u00f8gler, DNS-indstillinger samt eksterne firewall- eller secret management-konfigurationer kr\u00e6ver egne sikkerheds- og gendannelsesregler. Definer for hver sikkerhedskopieringstype form\u00e5l, opbevaringsperiode, lagringssted og den ansvarlige gendannelsesvej. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Ved en gendannelse skal ePortal-tjenesten stoppes. Planl\u00e6g denne afbrydelse af tjenesten, informer om n\u00f8dvendigt de ber\u00f8rte driftshold, og kontroller derefter n\u00f8je datakonsistensen samt agenternes adgang. En sikkerhedskopiering g\u00e6lder f\u00f8rst efter en kontrolleret, planlagt <strong style=\"font-weight:700;color:inherit\">Gendan<\/strong> som p\u00e5lidelig. En test m\u00e5 ikke ved en fejltagelse \u00e6ndre produktive feeds eller n\u00f8gletildelinger. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"stoerungen\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"stoerungen\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Vurdering af fejlm\u00f8nstre og driftsbeslutninger<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Hvis forventede patches udebliver, skal der f\u00f8rst skelnes mellem manglende tilg\u00e6ngelighed, manglende hentning og manglende frigivelse. Kontroller den installerede agent- og ePortal-version, de tildelte n\u00f8gler og feeds, den relevante distribution samt kernelserien og forbindelsen til patchkilden. En patch kan desuden mangle, hvis den p\u00e5g\u00e6ldende kernelserie ikke l\u00e6ngere modtager sikkerhedsopdateringer fra distributionsudbyderen; live-patching oph\u00e6ver ikke denne begr\u00e6nsning.  <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Historiske producentmeddelelser vedr\u00f8rende \u00e6ldre komponentversioner m\u00e5 ikke opfattes som faste versionsangivelser. En meddelelse fra december 2025 vedr\u00f8rte blandt andet KernelCare-Agent 3.x og ePortal 2.20 i forbindelse med et nyt signeret patch-format. F\u00f8r du foretager opdateringer, skal du derfor kontrollere den aktuelle <strong style=\"font-weight:700;color:inherit\">Kompatibilitetsmatrix<\/strong>, de faktisk installerede versioner og den internt godkendte r\u00e6kkef\u00f8lge for opdateringerne. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">I cache-tilstand kan en cache-miss ved begr\u00e6nset ekstern adgang forsinke hentningen af en patch, fordi den n\u00f8dvendige bin\u00e6rfil endnu ikke findes lokalt. Dette er ikke et bevis p\u00e5 fuldst\u00e6ndig isoleret drift. Fastl\u00e6g for restriktive zoner, hvilke forbindelser der er tilladt, hvordan manglende arkiver overf\u00f8res, og hvem der er ansvarlig for godkendelse, integritet og tidspunktet for denne overf\u00f8rsel. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Et andet fejlscenarie er en uventet bred udrulning efter den f\u00f8rste download af patcharkiver til en ny instans. Da de arkiver, der downloades for f\u00f8rste gang, samtidig fremst\u00e5r som nye for forsinkelseslogikken, beskytter en tidligere indstillet forsinkelse ikke p\u00e5lideligt mod en f\u00e6lles udrulning. Uds\u00e6t automatiske feed-opdateringer og produktive n\u00f8gletildelinger under den indledende synkronisering, kontroller den indledende beholdning, og aktiver f\u00f8rst derefter de produktive ringe p\u00e5 en kontrolleret m\u00e5de. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Replikationshuller efter l\u00e6ngerevarende afbrydelser i knudepunkterne og fejlbeh\u00e6ftede reverse-proxyer kr\u00e6ver forskellige foranstaltninger: F\u00f8rstn\u00e6vnte kr\u00e6ver en afstemning af knudepunktets tilstand, sidstn\u00e6vnte en kontrol af TLS, tilladte v\u00e6rtsnavne samt videresendte headere. Begge tilf\u00e6lde skal indg\u00e5 i runbooks med klare eskaleringsprocedurer. En generel genstart l\u00f8ser hverken manglende data eller en forkert tillidsgr\u00e6nse. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">ePortal er is\u00e6r nyttigt, n\u00e5r der reelt er behov for patch-ringe, lokal distribution, kontrollerede netv\u00e6rksudgange eller verificerbare godkendelser. For en lille, homogen og internetkompatibel serverpark er det ofte nemmere at hente data direkte via TuxCare-infrastrukturen. Beslutningen b\u00f8r derfor afveje den ekstra driftsindsats mod konkrete kontrol- og dokumentationskrav, ikke alene mod antallet af servere. <\/p>\n<\/section><section class=\"wh-sources\" style=\"margin:40px 0 0;padding:24px 0 0;border-top:1px solid #dce5e9;color:#596b7b;font-size:14px;line-height:1.65\"><h2 style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Kilder og den aktuelle videnskabelige viden<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Status for unders\u00f8gelsen: <time datetime=\"2026-09-24\">2026-09-24<\/time><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Status for unders\u00f8gelsen: 24. september 2026. Kontroller produkt- og versionsstatus, is\u00e6r kompatibilitetskrav for KernelCare-Agent og ePortal, inden \u00e6ndringer foretages, ved hj\u00e6lp af den aktuelle producentdokumentation og den internt godkendte opdateringsr\u00e6kkef\u00f8lge.<\/p><div class=\"wh-source-urls\"><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/docs.tuxcare.com\/live-patching-services\/<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/docs.tuxcare.com\/eportal\/<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/docs.tuxcare.com\/eportal-api\/<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/support.tuxcare.com\/hc\/en-us\/articles\/21805315120540-Required-KernelCare-Agent-ePortal-Upgrade-How-to-update-KernelCare-ePortal<\/span><\/p><\/div><\/section><\/div>","protected":false},"excerpt":{"rendered":"<p>KernelCare ePortal centraliserer distributionen og frigivelsen af live-patches i store Linux-fl\u00e5der. Artiklen viser, hvorn\u00e5r den ekstra platform kan betale sig, og hvordan patch-ringe, spejling, replikering og sikkerhedskontroller kan drives p\u00e5 en kontrolleret m\u00e5de.<\/p>","protected":false},"author":1,"featured_media":21693,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"inline_featured_image":false,"footnotes":""},"categories":[794],"tags":[],"class_list":["post-21684","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sicherheit-computer_und_internet"],"acf":[],"_wp_attached_file":null,"_wp_attachment_metadata":null,"surfer_file_name":null,"surfer_file_original_url":null,"_wp_attachment_image_alt":null,"litespeed-optimize-set":null,"litespeed-optimize-size":null,"_oembed_b5e1eb923ad3b086e579b1befcd4075c":null,"_elementor_source_image_hash":null,"stockpack_author_name":null,"stockpack_author_url":null,"stockpack_provider":null,"stockpack_image_url":null,"stockpack_license":null,"stockpack_license_url":null,"stockpack_modification":null,"color":null,"original_id":null,"original_url":null,"original_link":null,"unsplash_location":null,"unsplash_sponsor":null,"unsplash_exif":null,"unsplash_attachment_metadata":null,"_elementor_is_screenshot":null,"_source_url":null,"_elementor_migrations_state_8b2d":null,"envato_tk_source_kit":null,"envato_tk_source_index":null,"envato_tk_manifest":null,"envato_tk_folder_name":null,"envato_tk_builder":null,"envato_elements_download_event":null,"_menu_item_type":null,"_menu_item_menu_item_parent":null,"_menu_item_object_id":null,"_menu_item_object":null,"_menu_item_target":null,"_menu_item_classes":null,"_menu_item_xfn":null,"_menu_item_url":null,"_trp_menu_languages":null,"rank_math_primary_category":"794","_wh_make_key":"wh_9fabeef84de650120776240c8951ce5b","rank_math_internal_links_processed":"1","_wh_make_topic":"CloudLinux KernelCare ePortal f\u00fcr gr\u00f6\u00dfere Hosting-Infrastrukturen","_wh_make_input_keywords":["kernelcare eportal","tuxcare enterprise","live patching"],"_wh_make_config":{"research_model":"gpt-5.6-terra","writer_model":"gpt-5.6-terra","review_model":"gpt-5.6-sol","image_model":"gpt-image-2.5-flare","image_quality":"medium","image_format":"webp","final_status":"draft","charts_enabled":true},"_wh_make_links":{"I1":{"id":"I1","post_id":21323,"url":"https:\/\/webhosting.de\/cloudlinux-lve-manager-shared-hosting-konfiguration-ressourcenverwaltung\/","title":"S\u00e5dan konfigureres CloudLinux LVE Manager korrekt p\u00e5 shared hosting","excerpt":"Jeg viser dig, hvordan du konfigurerer CloudLinux LVE Manager korrekt i shared hosting og indstiller de vigtigste CloudLinux LVE-gr\u00e6nser p\u00e5 en fornuftig m\u00e5de. P\u00e5 den m\u00e5de kan du m\u00e5lrettet styre CPU, RAM, I\/O og processer pr. konto, undg\u00e5 flaskehalse og forhindre naboer i at overskride gr\u00e6nserne. Vigtige punkter Inden jeg g\u00e5r i detaljer, vil jeg sammenfatte de vigtigste beslutninger, der er afg\u00f8rende for en konstant hostingkvalitet. VMEM fra: Begr\u00e6ns kun hukommelsen via PMEM CPU realistisk: mindst 100 %, ofte 200 % IO\/IOPS: Tilpas v\u00e6rdierne til lagringsenheden (SATA\/SSD\/NVMe) EP\/NPROC: Tilstr\u00e6kkelig margin mod 503-fejl Overv\u00e5gning: Overv\u00e5g fejl, juster gr\u00e6nserne Konfigurer kort LVE Manager: Adgang og grundkonfiguration Jeg logger ind i WHM som root og \u00e5bner posten \u201eCloudLinux Manager\u201c eller \u201eCloudLinux LVE Manager\u201c, afh\u00e6ngigt af panelversionen, for at aktivere brugergr\u00e6nsefladen. Hvis posten mangler, installerer jeg pakken lvemanager eller k\u00f8rer scriptet cldeploy ved nye installationer, hvilket aktiverer kernen, LVE-komponenterne og lvestats. Derefter kontrollerer jeg, om statistikkerne skrives, og om nye konti automatisk f\u00e5r standardgr\u00e6nserne. I Plesk eller DirectAdmin g\u00f8r jeg det p\u00e5 samme m\u00e5de, da brugergr\u00e6nsefladeelementerne og funktionerne er meget ens. F\u00f8rst n\u00e5r Manager er synlig, tjenesterne er aktive og LVE-statistikkerne er udfyldt, begynder jeg med den egentlige planl\u00e6gning af gr\u00e6nserne og dokumentationen af standardindstillingerne. V\u00e6lg de rigtige gr\u00e6nser: SPEED, PMEM, IO, IOPS, EP, NPROC Jeg starter med SPEED, fordi CPU-begr\u00e6nsninger bremser hjemmesider direkte, og indstiller mindst 100 %, oftest 200 % for almindelige CMS'er, s\u00e5 belastningsspidser ikke sl\u00e5r igennem med det samme, og ydeevnen forbliver konstant. Jeg definerer PMEM som den afg\u00f8rende hukommelsesgr\u00e6nse og deaktiverer VMEM fuldst\u00e6ndigt, da virtuel hukommelse virker upr\u00e6cis og udl\u00f8ser falske alarmer. IO fasts\u00e6tter jeg i MB\/s og tilpasser v\u00e6rdien til lagringsmediet: p\u00e5 SATA ret konservativt, p\u00e5 NVMe mere gener\u00f8st. Jeg begr\u00e6nser IOPS mod meget mange sm\u00e5 adgangsforesp\u00f8rgsler, hvilket er vigtigt p\u00e5 dynamiske sider med mange filer. Jeg holder EP s\u00e5 h\u00f8jt, at der ikke opst\u00e5r 503-fejl ved kortvarige spidsbelastninger, og NPROC beskytter mod for mange processer fra cron-jobs eller"},"I2":{"id":"I2","post_id":21175,"url":"https:\/\/webhosting.de\/cloudlinux-securelve-prozessisolation-shared-hosting-shield\/","title":"CloudLinux SecureLVE \u2013 procesisolering og sikkerhed ved delt hosting","excerpt":"CloudLinux SecureLVE adskiller processer strengt, begr\u00e6nser ressourcerne pr. konto og indkapsler hjemmesider i egne sandkasser, s\u00e5 intet projekt p\u00e5virker andre kunder. Jeg viser, hvordan CloudLinux SecureLVE med LVE, CageFS og isolaterne g\u00f8r shared hosting mere sikker, forudsigelig og robust. Hovedpunkter For at du straks kan f\u00e5 overblik over de vigtigste aspekter, opsummerer jeg kort de centrale budskaber om SecureLVE og formulerer dem, s\u00e5 du direkte kan udlede handlingsmuligheder. Jeg beskriver isoleringen p\u00e5 konto- og hjemmesideniveau, forklarer CageFS\u2019 rolle og understreger, hvorfor begr\u00e6nsninger beskytter den samlede ydeevne. Desuden n\u00e6vner jeg fordelene for hostingudbydere og brugere uden markedsf\u00f8ringsfloskler. S\u00e5dan f\u00e5r du et klart billede af, hvordan du organiserer hosting p\u00e5 en mere sikker m\u00e5de. Procesisolering: Adskillelse pr. konto og valgfrit pr. hjemmeside LVE-begr\u00e6nsninger: Retf\u00e6rdig fordeling af CPU, RAM, I\/O og processer CageFS: Filtrering og begr\u00e6nsning af indsigt i systemfiler Isolater: Sikring af dom\u00e6ner enkeltvis, selv inden for samme konto Gennemsigtighed: Overv\u00e5gning, logfiler, klare ressourceprofiler Jeg bruger disse punkter som en r\u00f8d tr\u00e5d og overf\u00f8rer dem til typiske scenarier, fra WordPress-projekter til bureauer med mange dom\u00e6ner. CloudLinux SecureLVE kort forklaret Jeg opfatter SecureLVE som et samspil mellem LVE til begr\u00e6nsninger, CageFS til filsystemisolering og Isolates til adskillelse p\u00e5 hjemmesideplan. Disse byggesten griber ind i hinanden og forhindrer sidekanaler mellem konti eller dom\u00e6ner. P\u00e5 den m\u00e5de forbliver p\u00e5virkningsomr\u00e5det begr\u00e6nset, selv ved fejlbeh\u00e6ftede scripts. Jeg f\u00e5r forudsigelige ressourcer, f\u00e6rre bivirkninger og en klart defineret sikkerhedsgr\u00e6nse pr. applikation. Det er pr\u00e6cis det, jeg forventer af en moderne multi-tenant-arkitektur. For at du hurtigere kan overskue forskellene, har jeg samlet egenskaberne i en overskuelig tabel. Den viser, p\u00e5 hvilket niveau isoleringen finder sted, hvilke hovedm\u00e5l den opfylder, og hvilke funktioner der er s\u00e6rligt vigtige. Ud fra dette udleder jeg derefter konkrete konfigurationstips. S\u00e5dan sikrer du, at du aktiverer det rigtige lag til dit m\u00e5l. Desuden kan du se, hvor mulighederne supplerer hinanden p\u00e5 en fornuftig m\u00e5de. Komponent Isolation"},"I3":{"id":"I3","post_id":21111,"url":"https:\/\/webhosting.de\/cloudlinux-securelinks-symlink-protection-hosting-security-guard\/","title":"CloudLinux SecureLinks \u2013 Beskyttelse af symbolske links for maksimal hosting-sikkerhed","excerpt":"CloudLinux SecureLinks blokerer misbrug af symlinks og hardlinks direkte i kernen og lukker dermed sikkerhedshuller, som rene webserverindstillinger efterlader. P\u00e5 den m\u00e5de forhindrer jeg tv\u00e6rg\u00e5ende sikkerhedsbrud mellem hostingkonti, beskytter konfigurationsfiler og minimerer risici selv ved strenge filrettigheder. Hovedpunkter Jeg opsummerer kort de vigtigste pointer, inden jeg g\u00e5r mere i dybden. Shared-hosts bliver hurtigt udsat for tv\u00e6rg\u00e5ende adgang, n\u00e5r angribere opretter symlinks til fremmede filer. SecureLinks virker p\u00e5 kernelniveau, kontrollerer ejerskabet og s\u00e6tter en stopper for uautoriseret adgang. Dette yder beskyttelse, uanset om adgangen sker via Apache, PHP-FPM, FTP, Cron eller CLI. I kombination med CageFS styrkes isolationen yderligere og mindsker risikoen for alle kunder. Kernelbeskyttelse: Adgangskontrol f\u00f8r Apache, PHP-FPM, FTP, Cron Ejerskabskontrol: Adgang via symlinks kun ved matchende ejer-ID Blokering af hardlinks: Ingen hardlinks til fremmede filer Beskyttelse mod race-conditions: Rettighedskontrol og stiopl\u00f8sning udf\u00f8res atomart Kombination med CageFS: yderligere isolation pr. konto Hvad g\u00f8r symlink-angreb s\u00e5 risikable? Symlinks henviser fleksibelt til filer, men i shared hosting udg\u00f8r de en sikkerhedsrisiko. En kompromitteret konto kan oprette links til fremmede konfigurationer, sessioner eller midlertidige filer og dermed udl\u00e6se f\u00f8lsomme oplysninger. K\u00f8rer webserveren med vidtg\u00e5ende rettigheder, er klassiske UNIX-tilladelser ofte ikke l\u00e6ngere tilstr\u00e6kkelige. Det bliver s\u00e6rligt problematisk, n\u00e5r flere tjenester er involveret, og hver komponent h\u00e5ndterer kontrollen forskelligt. Jeg forhindrer dette rod ved at flytte beslutningerne om symlinks frem og satse p\u00e5 kernel-logik. S\u00e5dan fungerer CloudLinux SecureLinks teknisk set: SecureLinks kontrollerer ved \u00e5bning af filer, om ejeren af symlinket og m\u00e5lstien stemmer overens, f\u00f8r applikationerne overhovedet bliver aktive. Disse kontroller foreg\u00e5r centralt i kernen, s\u00e5 ingen app-specifikke undtagelser kan tr\u00e6de i kraft. Det spiller derfor ingen rolle, om adgangen sker via Apache, PHP-FPM, FTP, Cron eller CLI. Forkerte konfigurationer i VirtualHosts, .htaccess eller PHP-indstillinger er ikke l\u00e6ngere noget problem. P\u00e5 denne m\u00e5de forenkler jeg sikkerhedsarkitekturen og"}},"_wh_make_stage":"entwurf","_wh_make_research_date":"2026-09-24","_wh_make_sitemap_info":{"index":"https:\/\/webhosting.de\/sitemap_index.xml","sitemaps":["https:\/\/webhosting.de\/post-sitemap1.xml","https:\/\/webhosting.de\/post-sitemap2.xml","https:\/\/webhosting.de\/post-sitemap3.xml","https:\/\/webhosting.de\/post-sitemap4.xml"],"url_count":3095,"fetched_at":"2026-09-24T04:58:15+00:00","selected_ids":[21323,21175,21111]},"_wh_make_draft_hash":"36797d8e77db0a13de42122a5792a08b89c72d8fe0a0e780ca354eb8979f1c13","_wh_make_work":{"version":"2.1","identity":{"sheet_ref":"1VMjxV8Q73i0Q1HO6s-u4jNHVRF0snliGCeg97intLPs","sheet_name":"Tabellenblatt1","external_id":"1390","topic":"CloudLinux KernelCare ePortal f\u00fcr gr\u00f6\u00dfere Hosting-Infrastrukturen","keywords":["kernelcare eportal","tuxcare enterprise","live patching"],"category_input":"794"},"config":{"research_model":"gpt-5.6-terra","writer_model":"gpt-5.6-terra","review_model":"gpt-5.6-sol","image_model":"gpt-image-2.5-flare","image_quality":"medium","image_format":"webp","final_status":"draft","charts_enabled":true},"phase":"done","pending":null,"receipts":{"a90b1668d05d873b59917bea7b94878c":"89f6cdb9d8f8461ac9013207b65f63df6f8ab2208f66dc96b52df5f23eaedf17","68d1c434f33adee0437da92994f32d7e":"52a9ce093b514c4b7ed650ac91227ea1252d310f6a521c2d4f648376e824887b","77fd50ac40790f3e7d30de915f2c4bc2":"fb95122836473de1fb2d52dd49272f606e72ead8c6bbbccca4aa02db234d5518","4e6e818903895579e19790329fde29ce":"0f09da6b12d7daf9cefa78f38afff8f7a81dc9df80e44b4e950287b09424c858","f5d73dbf3c103566bd1c35003fbcddbc":"dfa9eaa29402614b100cf5e5fd9c62c2cbd32836b9f9b960c1ebd799558b0b74","b44826979efff2726a8aeaac4a6e465a":"430630e334cfa67c27abb1d615e505a60f1f0ed9e8c55367de4fe618acbdfb6b","de751197529071015fb02b17dcf960a8":"ba4ed15b3c4278301753643cf4e5713be942c4db8a2d6663266cba24d8f7391c","8a39cf964249fffb7e90eb0289478a2d":"16b5b87864296a3961c30ef80e5755eab4a998a7d1104877b54173c74afc884e","3ca35459c030152cbb9a9a19d8594f74":"e96a4fa2470db2fdeb13d4ecd2c759f3be1f0e52e118f8f70ecdf56099bcac6c","262fbd852467488213675f50b03bf86c":"6cd346c26e807766f8155f8415040950ac807a71765d4a9f45e88303cfa8bda7","c24b66fc0752c3be31bc2d7ccd14c9ea":"e904c97aac23ac2f72c7e566eef9bb5ad289c7bfdd9233e20ac894c0c3bc9687","74e748a6db0ee54b54af85a86ba15eea":"a7b15829ce31f5cb768b05c0393a0e03c93022261685fd12eb234a4c9ad2e342","ecba73bb0d47971f6bd2e64372d09408":"5f8c2dc820238fa7af1c3a6c74dcac273445eca9b9bb0ecc7753a76bf47d3ebc","b4750fdc424eba53b0b0e0cd97d424ee":"88d973284ba62be4fa413da97041143da7dfd186d3d3bb889280ddee3ba76787","19eb92c47c1ff9b26f406628b0706915":"3f36e9463401aa7ea2c8e2fceff99a20dff99d92291572cb0e789fb049c74d10","41eb285ece7435ae7f6b1183ebabe871":"d49230199c586b488b1b3365920e0baca40333cdadc09bb4835761824221593b","a148b1bed18a4cec271ed59beea98bd4":"59c72374845e29dfe5f752a53b825e200b19704e0448068b3b174ca9bed9de8e","ac42266cdcfa84ea0bb564373bcae060":"038bb8f614f37d8ed5296b1f549d57ad70d09b0349ed871bf81167a0d5df126b","4e9b20252106e1000e5d44bc228a99d0":"e237caee7de35d6e60f54c61c84c4941e576d6d8a35b6b2228bbc0ed08fd4a57"},"parts":{"1":[{"id":"grundlagen","heading":"KernelCare ePortal im Flottenbetrieb einordnen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"KernelCare ePortal ist die selbst betriebene Management- und Verteilkomponente f\u00fcr KernelCare-Agenten in gr\u00f6\u00dferen Linux-Umgebungen. Sie b\u00fcndelt Patchsets, Feeds und Registrierungsschl\u00fcssel an einer kontrollierten Stelle. Damit entscheidet der Betreiber nicht nur, ob Hosts Patches beziehen, sondern auch, aus welcher lokalen Quelle und nach welcher Freigabelogik dies geschieht. ","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ohne ePortal kontaktieren die Agenten die TuxCare-Infrastruktur direkt. Das ist f\u00fcr kleine, weitgehend einheitliche und internetf\u00e4hige Serverbest\u00e4nde meist der einfachere Weg: Es gibt keine zus\u00e4tzliche zentrale Plattform zu aktualisieren, abzusichern und zu \u00fcberwachen. Mit wachsender Zahl an Systemen wird diese Einfachheit jedoch zum Nachteil, wenn nachvollziehbare Freigaben oder begrenzte Netzausg\u00e4nge verlangt werden. ","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"In einer Hosting-Flotte treffen oft Webserver, Datenbankserver, Virtualisierungshosts und Management-Systeme mit unterschiedlichen Distributionen und Kernelreihen zusammen. Ein zentraler ","ref":""},{"kind":"strong","text":"Patchbezug","ref":""},{"kind":"text","text":" erlaubt, diese technischen Gruppen gezielt mit passenden Feeds und Schl\u00fcsseln zu versorgen. ePortal ist damit keine Alternative zum KernelCare-Agenten, sondern erweitert dessen Bezug von Patchsets um lokale Steuerung und Verteilung. ","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Der Nutzen entsteht folglich nicht allein durch die Zahl der Server. Ausschlaggebend sind verbindliche Patch-Ringe, Pr\u00fcf- und Nachweispflichten, Netzwerkvorgaben sowie die Frage, ob ein zentraler Dienst selbst zuverl\u00e4ssig betrieben werden kann. Diese Anforderungen bestimmen auch, ob lokale Spiegelung, Cache oder direkter Bezug die angemessene Architektur ist.","ref":""}]}]},{"id":"begriffe","heading":"Live-Patching, KernelCare und LibCare abgrenzen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Beim ","ref":""},{"kind":"strong","text":"Live-Patching","ref":""},{"kind":"text","text":" pr\u00fcft der KernelCare-Agent regelm\u00e4\u00dfig, ob passende Patchsets verf\u00fcgbar sind. Er l\u00e4dt diese herunter, verifiziert sie und installiert sie in den laufenden Kernel. Sicherheitskorrekturen k\u00f6nnen dadurch aktiv werden, ohne dass f\u00fcr diesen Schritt ein Kernel-Neustart erforderlich ist. Welche Patchsets anwendbar sind, h\u00e4ngt dabei vom installierten Kernel und der unterst\u00fctzten Distribution ab. ","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"KernelCare bezeichnet das Angebot f\u00fcr Live-Kernel-Patches. LibCare ist davon zu trennen: Es ist ein optionales Zusatzprodukt f\u00fcr bestimmte Userspace-Komponenten und kein anderer Name f\u00fcr Kernel-Patching. ePortal wiederum patcht keinen Kernel selbst, sondern verwaltet Patchsets, Feeds und die Registrierung der KernelCare-Agenten in einer lokalen Enterprise-Installation. ","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die fr\u00fchere Bezeichnung KernelCare Plus sollte nur bei der Einordnung \u00e4lterer Dokumentationen auftauchen. Der Hersteller hat dieses Produkt seit M\u00e4rz 2023 abgek\u00fcndigt und durch KernelCare ersetzt. F\u00fcr Bestandsaufnahmen ist daher wichtig, installierte Agenten, Vertr\u00e4ge und Dokumentation nicht anhand historischer Produktnamen mit aktuellen Komponenten oder Funktionsumf\u00e4ngen gleichzusetzen. ","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Live-Patching ersetzt keinen vollst\u00e4ndigen Wartungsprozess. Geplante ","ref":""},{"kind":"strong","text":"Reboots","ref":""},{"kind":"text","text":" bleiben etwa f\u00fcr regul\u00e4re Kernelwechsel, Hardware- und Firmware-Updates, Treiber\u00e4nderungen, Konfigurationsarbeiten oder Fehlerbilder n\u00f6tig, die sich nicht live beheben lassen. Ein Betriebskonzept sollte deshalb die verk\u00fcrzte Exposition durch Patchsets mit weiterhin geplanten Neustartfenstern verbinden, statt diese ersatzlos zu streichen. ","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"einsatz","heading":"Wann zentrale Patchsteuerung wirtschaftlich passt","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"ePortal passt, wenn der Betrieb Patches nicht lediglich schnell verteilen, sondern ihre Bereitstellung verbindlich steuern muss. Das betrifft beispielsweise getrennte Freigabegruppen f\u00fcr Canary-Hosts, Staging und Produktion, restriktive ausgehende Firewall-Regeln oder Nachweise dar\u00fcber, welcher Host welchem Feed zugeordnet war. Auch viele Systeme mit verschiedenen Plattformen profitieren von einer zentral gepflegten Verteilinstanz. ","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Der zus\u00e4tzliche Nutzen muss den Aufwand rechtfertigen. Eine ePortal-Instanz ben\u00f6tigt Kapazit\u00e4t, Updates, Backups, Zugriffsschutz und Monitoring; bei hoher Verf\u00fcgbarkeit kommen Replikation und Netzarchitektur hinzu. F\u00fcr wenige gleichartige Server mit erlaubtem Internetzugang bleibt der Direktbezug \u00fcber die TuxCare-Infrastruktur daher oft einfacher. Weniger Komponenten bedeuten dort eine kleinere eigene Betriebsfl\u00e4che. ","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Wirtschaftlich wird zentrale Steuerung besonders dort, wo ungeplante Gleichzeitigkeit teuer w\u00e4re: etwa bei vielen Kunden-Webservern, Datenbankclustern oder Virtualisierungshosts. Ein ","ref":""},{"kind":"strong","text":"Freigabeprozess","ref":""},{"kind":"text","text":" kann dann technische \u00c4hnlichkeit und Gesch\u00e4ftsrisiko gemeinsam abbilden. Gruppen sollten nicht nur nach Standort entstehen, sondern auch Distribution, Kernelreihe, Hypervisor, Control Panel, Hardware und Kundenprofil ber\u00fccksichtigen. ","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Sicherheitsabdeckung darf dabei nicht \u00fcbersch\u00e4tzt werden. KernelCare stellt Live-Patches f\u00fcr einen Kernel grunds\u00e4tzlich nur bereit, solange dessen Distribution-Anbieter Sicherheitsupdates f\u00fcr die betreffende Kernelserie ver\u00f6ffentlicht. Zudem ist Live-Patching kein pauschaler Nachweis f\u00fcr die Behebung aller Schwachstellen. Patchstatus, Distribution-Support und regul\u00e4re Wartung bleiben getrennt zu pr\u00fcfen. ","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Betriebsentscheidung lautet daher nicht pauschal \u201ezentral ist besser\u201c. ePortal ist sinnvoll, wenn lokale Kontrolle, abgestufte Verteilung und belastbare Nachvollziehbarkeit konkrete Anforderungen erf\u00fcllen. Fehlen diese Anforderungen, kann der bewusst einfache Direktbezug robuster sein. Im n\u00e4chsten Schritt entscheidet das gew\u00fcnschte Bereitstellungsmodell \u00fcber Speicherbedarf und externe Abh\u00e4ngigkeiten.","ref":""}]}]}],"2":[{"id":"modelle","heading":"Spiegelung und Cache passend ausw\u00e4hlen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Wahl des Verteilmodells bestimmt, wie unabh\u00e4ngig eine Hosting-Flotte beim Patchabruf ist und wie viel Infrastruktur sie daf\u00fcr betreiben muss. Beim Direktbezug laden KernelCare-Agenten Patchsets \u00fcber die TuxCare-Infrastruktur. ePortal verlagert dagegen Freigabe, lokale Vorhaltung und Verteilung in eine eigene Instanz; sie kann Patchsets als vollst\u00e4ndiges oder gefiltertes Archiv spiegeln oder bedarfsorientiert zwischenspeichern.","ref":""},{"kind":"citation","text":"","ref":"S1"},{"kind":"citation","text":"","ref":"S2"}]},{"type":"table","caption":"Betriebsmodelle f\u00fcr den Bezug von KernelCare-Patchsets","headers":["Modell","Patchsteuerung","Lokaler Speicherbedarf","Externe Abh\u00e4ngigkeit beim Abruf","Eignung f\u00fcr isolierte Netze","Betriebsaufwand"],"rows":[["Direktbezug","Agenten beziehen Patchsets direkt; keine lokale Feed-Steuerung","Kein ePortal-Archiv","Jeder Agent ben\u00f6tigt Zugang zur Patchquelle","Gering","Niedrig"],["Gefilterte Spiegelung","Feeds und ausgew\u00e4hlte Distributionen zentral steuerbar","Abh\u00e4ngig von den gespiegelten Distributionen und Kernelvarianten","ePortal bezieht die ausgew\u00e4hlten Archive extern","Geeignet bei definiertem Transferweg","Mittel"],["Vollspiegelung","Feeds zentral steuerbar; vollst\u00e4ndige lokale Vorhaltung","Hoch; Hersteller nennt mindestens 1 TB, empfohlen 2 TB","Nach vollst\u00e4ndiger Spiegelung keine externe Abh\u00e4ngigkeit f\u00fcr vorhandene Archive","Geeignet, wenn lokale Archive erforderlich sind","Hoch"],["Cache-Modus","Feeds zentral steuerbar; Bin\u00e4rdaten lokal zwischengespeichert","Niedrig; Hersteller nennt mindestens 25 GB, empfohlen 50 GB","Bei nicht vorhandenen Bin\u00e4rdaten ben\u00f6tigt ePortal die Patchquelle","Nicht als automatisch luftgetrennt anzusehen","Mittel"]],"source_ids":["S1","S2"]},{"type":"paragraph","runs":[{"kind":"text","text":"Eine Vollspiegelung ist sinnvoll, wenn Patchsets auch bei einem Ausfall der externen Verbindung lokal verf\u00fcgbar bleiben m\u00fcssen oder verbindliche interne Freigaben dies verlangen. Eine gefilterte Spiegelung begrenzt Archivgr\u00f6\u00dfe und Datenverkehr auf tats\u00e4chlich eingesetzte Distributionen. Daf\u00fcr muss die Inventarisierung zuverl\u00e4ssig erfassen, welche Kernelreihen und Architekturen die Flotte verwendet; sonst fehlt genau dann ein Archiv, wenn ein Host es ben\u00f6tigt.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Der ","ref":""},{"kind":"strong","text":"Cache-Modus","ref":""},{"kind":"text","text":" spart Speicher, ist aber kein Synonym f\u00fcr einen vollst\u00e4ndig isolierten Betrieb. ePortal l\u00e4dt Metadaten und beschafft Patch-Bin\u00e4rdaten bei Bedarf von der Quelle; heruntergeladene Bin\u00e4rdaten verbleiben laut Dokumentation zwei Wochen im lokalen Cache. F\u00fcr abgeschottete Segmente braucht es daher zus\u00e4tzlich einen dokumentierten Transfer-, Pr\u00fcf- und Freigabeprozess f\u00fcr Archive.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Speicherplanung sollte nicht bei der Gr\u00f6\u00dfe des aktuellen Archivs enden. TuxCare nennt f\u00fcr ePortal SSD-Speicher mit mindestens 100 IOPS sowie ein Wachstum von etwa 4 bis 5 GiB pro Monat als Orientierung. Diese Herstellerangaben ersetzen keine Kapazit\u00e4tsplanung: Recovery-Ziele, parallele Rollouts, Netzwerklatenzen, Anzahl der Kernelvarianten und Monitoring-Anforderungen k\u00f6nnen die Architektur st\u00e4rker pr\u00e4gen als freie Plattenkapazit\u00e4t.","ref":""},{"kind":"citation","text":"","ref":"S2"}]}]},{"id":"rollout","heading":"Patch-Ringe f\u00fcr Hosting-Flotten aufbauen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Patch-Ringe machen aus einem zentral verf\u00fcgbaren Patchset einen kontrollierten Rollout. Ein kleiner Canary-Kreis erh\u00e4lt die Freigabe zuerst, danach folgen Staging, eine begrenzte Produktionsgruppe und schlie\u00dflich die breite Produktion. Jeder Ring braucht vorab definierte Beobachtungen und eine verantwortliche Stelle; ohne diese Kriterien verschiebt eine Verz\u00f6gerung lediglich das Risiko, statt es zu bewerten.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"table","caption":"Beispiel f\u00fcr organisatorische Patch-Ringe ohne feste Zeitvorgaben","headers":["Ring","Zielgruppe","Feed-Kanal","Freigabekriterium","Verz\u00f6gerungslogik","R\u00fcckfall und Verantwortung"],"rows":[["Canary","Repr\u00e4sentative interne oder risikoarme Hosts","Testing oder Stable","Patchstatus, Dienstmetriken und Logs unauff\u00e4llig","Bis zur dokumentierten Bewertung","Feed anhalten; Plattformteam entscheidet"],["Staging","Vorproduktionssysteme mit \u00e4hnlichem Stack","Stable","Anwendungstests und Betriebschecks bestanden","Nach Freigabe des Canary-Rings","Feed anhalten; Anwendungs- und Plattformteam"],["Eingeschr\u00e4nkte Produktion","Begrenzte, repr\u00e4sentative Kunden- oder Webservergruppe","Stable","Keine auff\u00e4lligen Fehlerraten oder Supportsignale","Nach Bewertung des Staging-Rings","Ausweitung stoppen; Incident-Verantwortliche"],["Breite Produktion","\u00dcbrige geeignete Produktionshosts","Stable","Vorherige Ringe freigegeben","Nach dokumentierter Freigabe","Rollout pausieren; Betriebsteam"]],"source_ids":["S2"]},{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr die breite Produktion ist ","ref":""},{"kind":"strong","text":"Stable","ref":""},{"kind":"text","text":" der vorgesehene Kanal. Testing dient einer bewusst kontrollierten Vorabpr\u00fcfung, w\u00e4hrend Unstable laut Dokumentation ein Early-Access-Kanal ist und nicht empfohlen wird. Ein Testing- oder Unstable-Ergebnis darf deshalb nicht als Aussage \u00fcber die Qualit\u00e4t eines Stable-Patchsets ausgegeben werden. Die Kanalauswahl ist eine Risikoregel, keine blo\u00dfe technische Voreinstellung.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ringe sollten nach technischer \u00c4hnlichkeit statt nur nach Rechenzentrumsstandort zusammengesetzt sein. Relevant sind Distribution und Kernelreihe, Hardwareplattform, Virtualisierung, Control Panel, Webserver-Stack und Kundenprofil. Ein Canary-Host mit anderer Kernelserie oder anderer Virtualisierung deckt das Verhalten eines produktiven Zielsystems nur eingeschr\u00e4nkt ab. Bei Shared Hosting geh\u00f6ren Ressourcenprofile und Konfigurationen des ","ref":""},{"kind":"internal_link","text":"CloudLinux LVE Managers","ref":"I1"},{"kind":"text","text":" in diese Bewertung, weil sie Last- und Fehlerbilder beeinflussen k\u00f6nnen.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Besondere Vorsicht gilt neuen ePortal-Instanzen. ePortal pr\u00fcft nach Herstellerangabe alle zehn Minuten auf neue Patchsets und l\u00e4dt sie herunter, stellt sie aber nicht automatisch jedem Feed bereit. Wird ein Archiv erstmals vollst\u00e4ndig geladen, k\u00f6nnen die Patchsets f\u00fcr Verz\u00f6gerungsregeln gleichzeitig neu erscheinen. Plane Feeds und Verz\u00f6gerungen daher vor dem ersten Archivdownload, damit kein ungepr\u00fcfter Bestand unerwartet breit bereitgestellt wird.","ref":""},{"kind":"citation","text":"","ref":"S2"}]}]},{"id":"zugang","heading":"Feeds, Schl\u00fcssel und Mandanten trennen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Feeds bilden die technische Seite der Rollout-Ringe ab: Sie verbinden Patchkanal und Verz\u00f6gerungslogik mit einer Gruppe von Systemen. Registrierungsschl\u00fcssel lassen sich an Feeds binden und mit Serverlimits versehen. Dadurch kann ein Betreiber etwa interne Plattformen, Managed-Server-Angebote und getrennte Kundenumgebungen mit unterschiedlichen Freigabepfaden versorgen, ohne die Agentenkonfiguration auf jedem Host einzeln \u00e4ndern zu m\u00fcssen.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Diese Zuordnung ist jedoch keine vollst\u00e4ndige Sicherheitsgrenze. Die optionale Funktion ","ref":""},{"kind":"strong","text":"Business Units","ref":""},{"kind":"text","text":" unterst\u00fctzt Multi-Tenancy im ePortal, ersetzt aber weder Netzwerksegmentierung noch ein Berechtigungsmodell oder getrennte administrative Zust\u00e4ndigkeiten. Auch Protokollierung, Secret-Management und die Pr\u00fcfung, wer Schl\u00fcssel erstellen oder Feeds \u00e4ndern darf, m\u00fcssen unabh\u00e4ngig von der Produktfunktion geplant und regelm\u00e4\u00dfig kontrolliert werden.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr Mandantenumgebungen ist die Trennung von Patchsteuerung und \u00fcbriger Hosting-Isolation besonders wichtig. Ein Schl\u00fcssel kann die beabsichtigte Feed-Zuordnung und die Zahl registrierbarer Server begrenzen, verhindert aber keine Querzugriffe in anderen Infrastrukturkomponenten. Prozess- und Dateisystemisolation bleiben eigene Aufgaben; dazu erg\u00e4nzt der Beitrag \u00fcber ","ref":""},{"kind":"internal_link","text":"CloudLinux SecureLVE","ref":"I2"},{"kind":"text","text":" die Ebene von Accounts und Websites.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr Automatisierung k\u00f6nnen ab ePortal 2.14-1 API-Tokens alternativ zur Basic Authentication eingesetzt werden. Tokens lassen sich einzeln widerrufen und mit einem Ablaufdatum versehen; das erleichtert getrennte Berechtigungen f\u00fcr CMDB-Anbindungen oder Konfigurationsautomatisierung. Lege Tokens als Secrets in einem Secret-Management-System ab, nicht in Playbooks, Images, Shell-Historien oder Tickets.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein praxistauglicher Prozess ordnet jedem Schl\u00fcssel einen Eigent\u00fcmer, einen Zweck, zul\u00e4ssige Produkte, ein Serverlimit und ein Rotationsdatum zu. Werden Systeme au\u00dfer Betrieb genommen oder Teams wechseln, m\u00fcssen zugeh\u00f6rige Schl\u00fcssel und Tokens gezielt widerrufen werden. So bleibt die zentrale Patchverteilung nachvollziehbar, ohne aus einem gemeinsamen Zugang eine schwer pr\u00fcfbare Dauerberechtigung zu machen.","ref":""},{"kind":"citation","text":"","ref":"S2"},{"kind":"citation","text":"","ref":"S4"}]}]}],"3":[{"id":"hochverfuegbarkeit","heading":"Replikation und TLS belastbar betreiben","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr eine ","ref":""},{"kind":"strong","text":"hochverf\u00fcgbare Patch-Verteilung","ref":""},{"kind":"text","text":" werden mehrere ePortal-Knoten so kombiniert, dass KernelCare-Agenten einen gemeinsamen Cluster-DNS-Namen oder einen HTTP-Load-Balancer ansprechen. F\u00e4llt ein Knoten aus, muss der Agentendienst einen erreichbaren Knoten weiter nutzen k\u00f6nnen. Die Administrationsoberfl\u00e4che geh\u00f6rt dagegen auf einen einzelnen, klar kontrollierten Verwaltungszugang und nicht hinter denselben Cluster-Endpunkt wie die Agenten.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Vor der Produktivsetzung sollte die Architektur nicht nur den Ausfall eines ePortal-Servers betrachten. Relevant sind auch DNS-Aufl\u00f6sung, Load-Balancer, Zertifikate, Speicher f\u00fcr Patcharchive, die Verbindung zur Patchquelle und die Erreichbarkeit aus jedem Netzsegment. Ein zweiter Knoten ohne abgestimmte Netzwerk- und Betriebs\u00fcberwachung verbessert die Verf\u00fcgbarkeit nur begrenzt; er kann im Fehlerfall sogar abweichende Zust\u00e4nde verdecken.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Knoten gleichen \u00c4nderungen per Replikation ab. Dieser Abgleich ist nicht zwingend sofort sichtbar. Besonders bei Round-Robin kann ein gerade registrierter Agent den ersten Knoten f\u00fcr die Registrierung und direkt danach einen noch nicht synchronisierten Knoten f\u00fcr die Aktualisierung erreichen. Automatisierungen sollten deshalb einen kurzen Wartepunkt oder eine Retry-Logik mit begrenzten Wiederholungen vorsehen, statt einen unmittelbar folgenden Patchabruf als verl\u00e4sslichen Endzustand zu behandeln.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Auch l\u00e4ngere Trennungen geh\u00f6ren in das Fehlerszenario. Replikationsprotokolle werden laut Dokumentation sieben Tage vorgehalten; bleibt ein Knoten l\u00e4nger getrennt, kann er \u00c4nderungen \u00fcberspringen. Der ","ref":""},{"kind":"strong","text":"Replikationsverzug","ref":""},{"kind":"text","text":" ist damit ein operativer Status, nicht blo\u00df ein Diagnosewert. Nach Netzwerkst\u00f6rungen pr\u00fcfst du daher Feed-Zuordnungen, Schl\u00fcsselbestand und Patcharchiv auf dem zur\u00fcckkehrenden Knoten, bevor er wieder regul\u00e4r Agentenanfragen bedient.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Replikation erfolgt \u00fcber HTTP. Ohne eine geeignete TLS-Absicherung werden die Replikationsdaten daher unverschl\u00fcsselt \u00fcbertragen. Segmentiere diesen Datenverkehr mindestens in ein vertrauensw\u00fcrdiges Netz oder terminiere TLS passend zur Architektur. F\u00fcr extern oder netz\u00fcbergreifend erreichbare Agentenendpunkte ist eine \u00fcberpr\u00fcfbare Zertifikatskette wichtiger Bestandteil der ","ref":""},{"kind":"strong","text":"TLS-Terminierung","ref":""},{"kind":"text","text":"; eine deaktivierte Zertifikatspr\u00fcfung ist keine vertretbare Dauerl\u00f6sung.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Steht ein Reverse Proxy vor ePortal, m\u00fcssen erlaubte Hostnamen konfiguriert sein, damit ePortal Host-Header-Anfragen begrenzt. Der Proxy muss au\u00dferdem den urspr\u00fcnglichen Host-Header sowie X-Forwarded-Proto korrekt weiterreichen. Andernfalls k\u00f6nnen falsche externe URLs, Weiterleitungsprobleme oder eine fehlerhafte Einsch\u00e4tzung des verwendeten Protokolls entstehen. Diese Header-Konfiguration sollte deshalb Teil jeder Proxy-\u00c4nderung und ihrer Abnahme sein.","ref":""},{"kind":"citation","text":"","ref":"S2"}]}]},{"id":"kontrollen","heading":"Nachweise, Backups und Monitoring etablieren","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Kontrollierbares Live-Patching braucht wiederkehrende Nachweise, nicht nur eine erfolgreiche Erstinstallation. Erfasse mindestens die Feed-Zuordnung jedes Hosts, den letzten Agenten-Check-in, den gemeldeten Patchstand und den Status der Registrierungsschl\u00fcssel. Erg\u00e4nze diese Daten um verantwortliche Teams und eine nachvollziehbare Freigabeentscheidung. So l\u00e4sst sich bei einer Sicherheitsmeldung gezielt feststellen, welche Gruppe welchen Bereitstellungsweg nutzt.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Weitere feste Kontrollen betreffen Speicherwachstum, freien Platz f\u00fcr Archive, den Replikationsstatus und die Rotation oder den Widerruf nicht mehr ben\u00f6tigter Schl\u00fcssel. API-Tokens eignen sich f\u00fcr automatisierte Abfragen besser als geteilte Administratorkennw\u00f6rter, weil sie einzeln ablaufen und widerrufen werden k\u00f6nnen. Sie bleiben dennoch Secrets: Lege sie in einer Secret-Verwaltung ab, nicht in Images, Playbooks oder Tickets.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr einen vorhandenen Cluster ist der folgende, nicht ver\u00e4ndernde Pr\u00fcfaufruf ein geeigneter Baustein f\u00fcr Monitoring oder einen geplanten Health-Check. Er liefert einen maschinenlesbaren Kurzstatus einschlie\u00dflich Replikationsverzug. Bei einem Problem beendet sich der Aufruf mit Exit-Code 1; das Monitoring sollte diesen Zustand alarmieren, aber die Ursache anhand von Knoten- und Netzwerkdaten weiter eingrenzen.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"code","language":"bash","code":"kc.eportal replication --short-status","source_ids":["S2"]},{"type":"paragraph","runs":[{"kind":"text","text":"Backups m\u00fcssen Daten und Wiederherstellbarkeit abdecken. ePortal dokumentiert Sicherungen des Gesamtsystems sowie reine Datenbanksicherungen. Ein Datenbankbackup sch\u00fctzt vor allem Konfigurations- und Verwaltungsdaten, ersetzt aber nicht zwingend lokale Archive, Systemkonfiguration oder die f\u00fcr einen vollst\u00e4ndigen Neuaufbau n\u00f6tigen Komponenten. Definiere daher je Sicherungsart Zweck, Aufbewahrung, Speicherort und einen dokumentierten Wiederherstellungsweg.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei einer Wiederherstellung muss der ePortal-Dienst gestoppt werden. Plane diese Dienstunterbrechung, informiere gegebenenfalls betroffene Betriebsteams und pr\u00fcfe danach gezielt die Datenkonsistenz sowie die Erreichbarkeit f\u00fcr Agenten. Eine Sicherung gilt erst nach einer kontrolliert geplanten ","ref":""},{"kind":"strong","text":"R\u00fccksicherung","ref":""},{"kind":"text","text":" als belastbar. Dabei darf ein Test nicht versehentlich produktive Feeds oder Schl\u00fcsselzuweisungen ver\u00e4ndern.","ref":""},{"kind":"citation","text":"","ref":"S2"}]}]},{"id":"stoerungen","heading":"Fehlerbilder und Betriebsentscheidung bewerten","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Bleiben erwartete Patches aus, ist zun\u00e4chst zwischen fehlender Verf\u00fcgbarkeit, fehlendem Abruf und fehlender Freigabe zu unterscheiden. Pr\u00fcfe installierte Agenten- und ePortal-Version, zugeordneten Schl\u00fcssel und Feed, die passende Distribution samt Kernelreihe sowie die Verbindung zur Patchquelle. Ein Patch kann au\u00dferdem fehlen, wenn die betreffende Kernelserie vom Distributionsanbieter keine Sicherheitsupdates mehr erh\u00e4lt; Live-Patching hebt diese Grenze nicht auf.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Historische Herstellerhinweise zu \u00e4lteren Komponentenst\u00e4nden d\u00fcrfen nicht als dauerhafte Versionsvorgabe gelesen werden. Ein Hinweis aus Dezember 2025 betraf unter anderem KernelCare-Agent 3.x und ePortal 2.20 im Kontext eines neuen signierten Patchformats. Vor Aktualisierungen pr\u00fcfst du deshalb die aktuelle ","ref":""},{"kind":"strong","text":"Kompatibilit\u00e4tsmatrix","ref":""},{"kind":"text","text":", die tats\u00e4chlich installierten Versionen und die intern freigegebene Update-Reihenfolge.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Im Cache-Modus kann ein Cache-Miss bei eingeschr\u00e4nktem externem Zugang den Patchbezug verz\u00f6gern, weil die ben\u00f6tigte Bin\u00e4rdatei noch nicht lokal liegt. Das ist kein Beleg f\u00fcr einen vollst\u00e4ndig isolierten Betrieb. Lege f\u00fcr restriktive Zonen fest, welche Verbindungen zul\u00e4ssig sind, wie fehlende Archive transferiert werden und wer Freigabe, Integrit\u00e4t und Zeitpunkt dieses Transfers verantwortet.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein weiteres Fehlerbild ist ein unerwartet breiter Rollout nach dem ersten vollst\u00e4ndigen Download von Patcharchiven auf einer neuen Instanz. F\u00fcr Verz\u00f6gerungsregeln k\u00f6nnen die Archive dann gleichzeitig neu erscheinen. Richte Feeds und Freigabelogik daher vor der automatisierten Bereitstellung ein und beobachte den ersten Synchronisationslauf. Bei Unstimmigkeiten h\u00e4ltst du die breite Produktion zur\u00fcck, statt nur einzelne Agenten nachtr\u00e4glich umzuh\u00e4ngen.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Replikationsl\u00fccken nach l\u00e4ngerer Knotenunterbrechung und fehlerhafte Reverse-Proxies verlangen unterschiedliche Ma\u00dfnahmen: Erstere erfordern einen Abgleich des Knotenzustands, letztere eine Pr\u00fcfung von TLS, erlaubten Hostnamen sowie weitergereichten Headern. Beide F\u00e4lle geh\u00f6ren in Runbooks mit klarer Eskalation. Ein pauschaler Neustart behebt weder fehlende Daten noch eine unzutreffende Vertrauensgrenze.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"ePortal ist vor allem sinnvoll, wenn Patch-Ringe, lokale Verteilung, kontrollierte Netzausg\u00e4nge oder pr\u00fcfbare Freigaben tats\u00e4chlich gefordert sind. F\u00fcr einen kleinen, homogenen und internetf\u00e4higen Serverbestand bleibt der direkte Bezug \u00fcber die TuxCare-Infrastruktur oft einfacher. Die Entscheidung sollte daher den zus\u00e4tzlichen Betriebsaufwand gegen konkrete Steuerungs- und Nachweispflichten abw\u00e4gen, nicht allein gegen die Zahl der Server.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]}]},"plan":{"reader_question":"Wann lohnt sich KernelCare ePortal f\u00fcr gr\u00f6\u00dfere Hosting-Infrastrukturen, und wie l\u00e4sst sich Live-Patching \u00fcber Patch-Ringe, lokale Verteilung und Hochverf\u00fcgbarkeit kontrolliert betreiben?","sections":[{"id":"grundlagen","heading":"KernelCare ePortal im Flottenbetrieb einordnen","part":1,"target_words":270,"purpose":"Erkl\u00e4rt die Rolle von ePortal als selbst betriebene Management- und Verteilkomponente f\u00fcr KernelCare-Agenten. Grenzt den Direktbezug von Patches \u00fcber die TuxCare-Infrastruktur von lokaler Steuerung ab und ordnet typische Hosting-Flotten mit Web-, Datenbank- und Virtualisierungsservern ein. Ein kurzer \u00dcbergang f\u00fchrt von der Produktarchitektur zur Betriebsentscheidung.","source_ids":["S1","S2"],"internal_link_ids":[]},{"id":"begriffe","heading":"Live-Patching, KernelCare und LibCare abgrenzen","part":1,"target_words":250,"purpose":"Definiert Live-Patching pr\u00e4zise: Agenten pr\u00fcfen, laden, verifizieren und aktivieren passende Patchsets ohne Kernel-Neustart. Trennt KernelCare, optionales LibCare und ePortal sauber; erw\u00e4hnt die Abl\u00f6sung von KernelCare Plus nur als historische Produktbezeichnung. Verdeutlicht anschlie\u00dfend, warum Live-Patching regul\u00e4re Reboots f\u00fcr Kernelwechsel, Firmware, Treiber oder nicht live patchbare Probleme nicht ersetzt.","source_ids":["S1","S2"],"internal_link_ids":[]},{"id":"einsatz","heading":"Wann zentrale Patchsteuerung wirtschaftlich passt","part":1,"target_words":270,"purpose":"Leitet Entscheidungskriterien f\u00fcr und gegen ePortal aus Betriebsanforderungen ab: verbindliche Freigabegruppen, restriktive Netzausg\u00e4nge, Nachweisbarkeit, viele Hosts und unterschiedliche Plattformen. Stellt dem den einfacheren Direktbezug f\u00fcr kleine, homogene und internetf\u00e4hige Best\u00e4nde gegen\u00fcber. Grenzen der Sicherheitsabdeckung und die Bindung der Patchversorgung an Distribution-Kernelupdates werden in einem eigenen Absatz eingeordnet.","source_ids":["S1","S2"],"internal_link_ids":[]},{"id":"modelle","heading":"Spiegelung und Cache passend ausw\u00e4hlen","part":2,"target_words":290,"purpose":"Vergleicht Vollspiegelung, gefilterte Spiegelung und Cache-Modus mit dem Direktbezug in einer informativen Tabelle. Spalten behandeln Patchsteuerung, lokalen Speicherbedarf, externe Abh\u00e4ngigkeit beim Abruf, Eignung f\u00fcr isolierte Netze und Betriebsaufwand. Der Text ordnet SSD- und Speicherbedarf sowie Datenwachstum als Herstellerorientierung ein und erkl\u00e4rt, warum Recovery-Ziele, Kernelvielfalt und Netzwerkpolitik wichtiger als reine Plattenkapazit\u00e4t sind.","source_ids":["S1","S2"],"internal_link_ids":[]},{"id":"rollout","heading":"Patch-Ringe f\u00fcr Hosting-Flotten aufbauen","part":2,"target_words":300,"purpose":"Beschreibt ein gestaffeltes Vorgehen mit Canary-, Staging-, eingeschr\u00e4nkter und breiter Produktionsgruppe. Eine zweite Tabelle ordnet Zielgruppe, Feed-Kanal, Freigabekriterium, Verz\u00f6gerungslogik, R\u00fcckfallentscheidung und Verantwortung zu, ohne allgemeing\u00fcltige Zeitwerte vorzugeben. Erkl\u00e4rt Stable, Testing und Unstable korrekt sowie die Risikobewertung nach Distribution, Kernelreihe, Hardware, Virtualisierung, Control Panel und Kundenprofil. Warnt vor einem unkontrollierten ersten Archivdownload auf neuen Instanzen.","source_ids":["S2"],"internal_link_ids":["I1"]},{"id":"zugang","heading":"Feeds, Schl\u00fcssel und Mandanten trennen","part":2,"target_words":260,"purpose":"Zeigt, wie Feeds, Registrierungsschl\u00fcssel und Serverlimits organisatorische Rollout-Gruppen und Kundenplattformen abbilden k\u00f6nnen. Erkl\u00e4rt Business Units als optionale Multi-Tenancy-Funktion, grenzt sie aber klar von vollst\u00e4ndiger Mandantentrennung ab. Behandelt erg\u00e4nzend API-Tokens f\u00fcr Automatisierung, Ablauf und Widerruf sowie Secret-Management; Netzwerksegmentierung, Berechtigungen und Protokollierung bleiben eigenst\u00e4ndige Schutzschichten.","source_ids":["S2","S4"],"internal_link_ids":["I2"]},{"id":"hochverfuegbarkeit","heading":"Replikation und TLS belastbar betreiben","part":3,"target_words":280,"purpose":"Erl\u00e4utert die Hochverf\u00fcgbarkeitsarchitektur mit mehreren ePortal-Knoten, Cluster-DNS oder HTTP-Load-Balancer f\u00fcr Agenten und separatem Administrationszugang. Beschreibt Replikationsverzug, die Gefahr bei Round-Robin direkt nach Registrierung und sinnvolle Retry-Logik. Behandelt TLS-Terminierung, unverschl\u00fcsselte Replikation ohne TLS, erlaubte Hostnamen sowie korrekt weitergereichte Host- und X-Forwarded-Proto-Header als konkrete Sicherheits- und Betriebsgrenzen.","source_ids":["S2"],"internal_link_ids":[]},{"id":"kontrollen","heading":"Nachweise, Backups und Monitoring etablieren","part":3,"target_words":260,"purpose":"B\u00fcndelt wiederkehrende Betriebskontrollen: Feed-Zuordnung, Agenten-Check-ins, Patchstand, Schl\u00fcsselrotation, Speicherwachstum, Replikationsstatus und Backup-Pr\u00fcfung. Erkl\u00e4rt den Unterschied zwischen Gesamt- und Datenbankbackup sowie die notwendige Dienstunterbrechung bei Wiederherstellungen. Ein klar als nicht ver\u00e4ndernd gekennzeichneter Pr\u00fcfaufruf, kc.eportal replication --short-status, dient als Beispiel f\u00fcr automatisierbares Statusmonitoring; Exit-Codes und Aufbewahrungsgrenzen werden eingeordnet.","source_ids":["S2","S4"],"internal_link_ids":[]},{"id":"stoerungen","heading":"Fehlerbilder und Betriebsentscheidung bewerten","part":3,"target_words":250,"purpose":"Ordnet typische Probleme und Entscheidungen zusammen: fehlende Patches durch veraltete Komponenten, Cache-Miss bei eingeschr\u00e4nkter Au\u00dfenverbindung, unerwartet breite Feed-Freigabe, Replikationsl\u00fccken und Proxy-Fehlkonfigurationen. Hebt hervor, dass historische Versionshinweise keine dauerhafte Vorgabe sind und vor \u00c4nderungen aktuelle Kompatibilit\u00e4tsmatrix, installierte Versionen und freigegebene Update-Reihenfolge gepr\u00fcft werden m\u00fcssen. Schlie\u00dft mit einer kompakten Entscheidung: ePortal bei echter Steuerungs- und Nachweispflicht, Direktbezug bei bewusst einfacher Betriebsf\u00fchrung.","source_ids":["S2","S3"],"internal_link_ids":[]}]},"repairs":4,"reviews":5,"issues":[],"guard":{"content_md5":"f713f5bc4ad773138709ddb814febdd5","title":"KernelCare ePortal til st\u00f8rre hosting-infrastrukturer","slug":"kernelcare-eportal-store-hostinginfrastrukturer","excerpt":"KernelCare ePortal centraliserer distributionen og frigivelsen af live-patches i store Linux-fl\u00e5der. Artiklen viser, hvorn\u00e5r den ekstra platform kan betale sig, og hvordan patch-ringe, spejling, replikering og sikkerhedskontroller kan drives p\u00e5 en kontrolleret m\u00e5de.","status":"draft","featured_media":21693},"verify":{"content_md5":"f713f5bc4ad773138709ddb814febdd5","title":"KernelCare ePortal til st\u00f8rre hosting-infrastrukturer","slug":"kernelcare-eportal-store-hostinginfrastrukturer","excerpt":"KernelCare ePortal centraliserer distributionen og frigivelsen af live-patches i store Linux-fl\u00e5der. Artiklen viser, hvorn\u00e5r den ekstra platform kan betale sig, og hvordan patch-ringe, spejling, replikering og sikkerhedskontroller kan drives p\u00e5 en kontrolleret m\u00e5de.","status":"draft","featured_media":21693},"row_number":1884,"created_at":"2026-09-24T04:58:15+00:00","updated_at":"2026-09-24T07:33:16+00:00","editorial_reopen_213":{"reason":"legacy_source_pairing","baseline_repairs":2,"additional_repairs":2,"at":"2026-09-24T05:16:07+00:00","user_id":1,"original_fingerprint":"91b5c7ba361041d173f70c4d61158c01eb6942aa836f0be8887bdc7f9793a0b8"},"conflict_recovery_receipt_217":{"request_hash":"f48f9af4de4761a1723a86bc6d80d7110af611c4965a0623f251e575b4714968","before_fingerprint":"d91061463ffc2420710db64757920485688cd8a8b11eded84822eada3ba5983f","expected_guard":{"content_md5":"d648966cd9aa93bc04d4e21bf53608cd","title":"KernelCare ePortal til st\u00f8rre hosting-infrastrukturer","slug":"kernelcare-eportal-store-hostinginfrastrukturer","excerpt":"KernelCare ePortal centraliserer distributionen og frigivelsen af live-patches i store Linux-fl\u00e5der. Artiklen viser, hvorn\u00e5r den ekstra platform kan betale sig, og hvordan patch-ringe, spejling, replikering og sikkerhedskontroller kan drives p\u00e5 en kontrolleret m\u00e5de.","status":"draft","featured_media":0},"restore_content_sha256":"d8da26d0cc796102a8f9bf3a1a812fcd0e3214a64aac04e587d387736ba5949d","commit_hash":"b4bba90f95e4f0728fe7233ff5175ce4fb50c97a21d4a986383901fb3e081160"},"guard_confirmation_receipts_218":[{"confirmation":1,"request_hash":"08cb43d0398b3bf2105e79fb6823aa4b46890339a857b078188ed71f1f9919f3","before_fingerprint":"85ff32197ae4d33cad8be3595e902d6310ed86ba107cef70f7514ef0e6157590","expected_guard":{"content_md5":"d648966cd9aa93bc04d4e21bf53608cd","title":"KernelCare ePortal til st\u00f8rre hosting-infrastrukturer","slug":"kernelcare-eportal-store-hostinginfrastrukturer","excerpt":"KernelCare ePortal centraliserer distributionen og frigivelsen af live-patches i store Linux-fl\u00e5der. Artiklen viser, hvorn\u00e5r den ekstra platform kan betale sig, og hvordan patch-ringe, spejling, replikering og sikkerhedskontroller kan drives p\u00e5 en kontrolleret m\u00e5de.","status":"draft","featured_media":0},"expected_revision_id":21688,"parent_receipt_hash":"b4bba90f95e4f0728fe7233ff5175ce4fb50c97a21d4a986383901fb3e081160","commit_hash":"a9b86f3c04262c53176c7a6e6090d58121a6ddcfcfea3b8fe9ed2b7d37cef9ee"}],"verified_at":"2026-09-24T07:32:59+00:00"},"_wh_make_research":"Recherchebriefing zum Stichtag 24. September 2026\n\nLeserfrage und Ziel des sp\u00e4teren Artikels\n\nDer Artikel sollte die praktische Frage beantworten: Wann lohnt sich KernelCare ePortal f\u00fcr einen Hosting-Anbieter oder Betreiber gr\u00f6\u00dferer Linux-Flotten, und wie wird die Plattform so betrieben, dass Live-Patching kontrollierbar, nachvollziehbar und hochverf\u00fcgbar bleibt?\n\nIm Mittelpunkt steht nicht die allgemeine Erkl\u00e4rung von Live-Patching, sondern die Betriebsentscheidung f\u00fcr viele Web-, Datenbank-, Virtualisierungs- oder Kundenserver. ePortal ist dabei die selbst betriebene Management- und Verteilkomponente f\u00fcr KernelCare. Sie verwaltet Patchsets, Feeds, Registrierungsschl\u00fcssel und den Patch-Bezug der KernelCare-Agenten. Dadurch kann ein Betreiber Patch-Rollouts zeitlich steuern und Gruppen gezielt unterschiedlichen Feeds zuordnen. ([docs.tuxcare.com](https:\/\/docs.tuxcare.com\/live-patching-services\/))\n\nDie Produktbegriffe m\u00fcssen im Artikel sauber abgegrenzt werden. KernelCare ist das Live-Kernel-Patching-Angebot. LibCare ist ein optionales Zusatzprodukt f\u00fcr bestimmte Userspace-Komponenten. ePortal ist keine Alternative zu KernelCare, sondern dessen lokale Managementoberfl\u00e4che f\u00fcr Enterprise-Szenarien. Der fr\u00fchere Name KernelCare Plus ist laut Hersteller seit M\u00e4rz 2023 abgek\u00fcndigt und durch KernelCare ersetzt. Der Begriff \u201eTuxCare Enterprise\u201c sollte deshalb nur verwendet werden, wenn im jeweiligen Vertrags- oder Produktkontext eine belastbare Herstellerbezeichnung vorliegt; die vorliegenden Dokumente bezeichnen die L\u00f6sung \u00fcberwiegend als KernelCare und KernelCare Enterprise. ([docs.tuxcare.com](https:\/\/docs.tuxcare.com\/live-patching-services\/))\n\nVoraussetzungen und gesicherte Funktionsweise\n\nDer KernelCare-Agent pr\u00fcft periodisch auf Patchsets, l\u00e4dt sie herunter, verifiziert sie und installiert sie in den laufenden Kernel, ohne daf\u00fcr einen Neustart vorauszusetzen. Das ersetzt jedoch nicht jede regul\u00e4re Kernelwartung: Ein langfristig sinnvoller Betriebsprozess ben\u00f6tigt weiterhin geplante Reboots f\u00fcr Kernelwechsel, Hardware-Firmware, Treiber, Konfigurations\u00e4nderungen oder nicht live patchbare Fehlerbilder. KernelCare liefert Live-Patches f\u00fcr einen einzelnen Kernel grunds\u00e4tzlich nur so lange, wie dessen Distribution-Anbieter Sicherheitsupdates f\u00fcr die jeweilige Kernelserie ver\u00f6ffentlicht. ([docs.tuxcare.com](https:\/\/docs.tuxcare.com\/live-patching-services\/))\n\nePortal verschiebt die operative Kontrolle vom einzelnen Agenten in eine zentrale Instanz. Administratoren k\u00f6nnen Patchsets herunterladen, Feeds mit unterschiedlichen Kan\u00e4len und Verz\u00f6gerungen einrichten und Registrierungsschl\u00fcssel an diese Feeds binden. Ein Feed kann beispielsweise f\u00fcr einen kleinen Canary-Kreis, einen Staging-Bereich oder die breite Produktion dienen. Die Feed-Konfiguration kennt die Kan\u00e4le Stable, Testing und Unstable. F\u00fcr einen allgemeinen Produktionsnachweis eignet sich ausschlie\u00dflich Stable; Testing dient einer bewusst kontrollierten Vorabpr\u00fcfung. Unstable ist laut Hersteller ein Early-Access-Kanal und nicht empfohlen. Entwicklungs- oder Early-Access-Zweige d\u00fcrfen im Artikel daher nicht als Aussage \u00fcber den Zustand stabiler Patchsets dargestellt werden. ([docs.tuxcare.com](https:\/\/docs.tuxcare.com\/eportal\/))\n\nDer Artikel sollte au\u00dferdem den Unterschied zwischen Patch-Abruf und Patch-Aktivierung deutlich machen: ePortal pr\u00fcft laut Dokumentation alle zehn Minuten auf neue Patchsets und l\u00e4dt verf\u00fcgbare Patchsets herunter, stellt sie damit aber nicht automatisch f\u00fcr jeden Feed bereit. Erst die Feed- und Verz\u00f6gerungslogik entscheidet \u00fcber die Bereitstellung. Bei neu aufgesetzten ePortal-Instanzen ist Vorsicht geboten: Wenn Patcharchive erstmals vollst\u00e4ndig geladen werden, k\u00f6nnen sie f\u00fcr eine Verz\u00f6gerungsregel so wirken, als seien sie gleichzeitig neu erschienen. Das kann zu einem unerwartet breiten Rollout f\u00fchren, wenn Feeds ohne vorherige Planung automatisiert werden. ([docs.tuxcare.com](https:\/\/docs.tuxcare.com\/eportal\/))\n\nF\u00fcr das zentrale ePortal-System nennt die Herstellerdokumentation SSD-Speicher mit mindestens 100 IOPS als notwendige Grundlage. Beim vollst\u00e4ndigen Spiegeln aller Distributionen werden mindestens 1 TB, empfohlen 2 TB Speicher genannt; im Cache-Modus nennt die Dokumentation 25 GB mindestens und 50 GB empfohlen. Zus\u00e4tzlich ist mit etwa 4 bis 5 GiB Datenwachstum pro Monat zu planen. Die Angaben zu 10.000 beziehungsweise 75.000 verbundenen Systemen sind Herstellerwerte f\u00fcr konkret beschriebene Testkonfigurationen, keine allgemein garantierten Skalierungsgrenzen. Im Artikel sollten sie deshalb als Orientierung aus der TuxCare-Dokumentation bezeichnet und um den Hinweis erg\u00e4nzt werden, dass gleichzeitige Rollouts, Netzwerklatenzen, Patchumfang, Monitoring und Hochverf\u00fcgbarkeit vor dem Produktivbetrieb mit der eigenen Architektur validiert werden m\u00fcssen. ([docs.tuxcare.com](https:\/\/docs.tuxcare.com\/eportal\/))\n\nRelevante Praxisf\u00e4lle f\u00fcr Hosting-Infrastrukturen\n\nErster Praxisfall: gestaffeltes Security-Patching f\u00fcr Shared-Hosting- und Webserver-Flotten. Ein Betreiber kann einen kleinen Feed f\u00fcr interne Testsysteme oder repr\u00e4sentative Canary-Hosts anlegen, anschlie\u00dfend einen Feed f\u00fcr eine begrenzte Gruppe produktiver Webserver und erst danach den Standardfeed f\u00fcr die Gesamtflotte. Entscheidend ist, die Gruppen nach Risiko und technischer \u00c4hnlichkeit zu schneiden: Kernelversion, Distribution, Hardwareplattform, Virtualisierung, Control Panel, Webserver-Stack und Kundenprofil. Ein Feed nur nach Standort reicht selten aus, wenn unterschiedliche Kernelreihen verwendet werden. Schl\u00fcssel lassen sich an Feeds binden und mit Serverlimits versehen; das hilft, Rollout-Gruppen und Mandanten technisch voneinander abzugrenzen. ([docs.tuxcare.com](https:\/\/docs.tuxcare.com\/eportal\/))\n\nZweiter Praxisfall: abgeschottete Netze und restriktive Firewalls. ePortal kann on-premises oder in einer privaten Cloud laufen und Patchsets zentral beziehen. Der normale Cache-Modus ist jedoch nicht gleichbedeutend mit vollst\u00e4ndig luftgetrenntem Betrieb: Er l\u00e4dt Metadaten und ruft bei Bedarf Patch-Bin\u00e4rdaten von der Patchquelle ab; heruntergeladene Bin\u00e4rdaten werden laut Dokumentation zwei Wochen lokal zwischengespeichert. F\u00fcr wirklich isolierte Zonen muss der sp\u00e4tere Artikel daher den konkreten Transfer- und Freigabeprozess separat beschreiben, statt ohne Pr\u00fcfung \u201eair-gapped\u201c zu versprechen. Die Dokumentation enth\u00e4lt Verfahren zum manuellen Deployment von Patchset-Archiven, aber die organisatorische Vertrauenskette, Signaturpr\u00fcfung, Medienfreigabe und Change-Freigabe bleiben Betreiberaufgaben. ([docs.tuxcare.com](https:\/\/docs.tuxcare.com\/eportal\/))\n\nDritter Praxisfall: Mandantenf\u00e4higer Hosting-Betrieb. ePortal bietet eine optionale Business-Units-Funktion f\u00fcr Multi-Tenancy. Dar\u00fcber hinaus k\u00f6nnen getrennte Registrierungsschl\u00fcssel Serverlimits, Feeds und zugelassene Produkte definieren. Das kann beispielsweise f\u00fcr getrennte Kundenplattformen, interne Teams oder Managed-Server-Tarife sinnvoll sein. Der Artikel sollte aber klarstellen, dass diese Funktionen keine vollst\u00e4ndige Mandantentrennung der gesamten Infrastruktur beweisen. Netzwerksegmentierung, Berechtigungsmodell, Protokollierung, Secret-Management und administrative Zust\u00e4ndigkeiten m\u00fcssen unabh\u00e4ngig davon konzipiert werden. ([docs.tuxcare.com](https:\/\/docs.tuxcare.com\/eportal\/))\n\nVierter Praxisfall: hochverf\u00fcgbare Patch-Verteilung. ePortal unterst\u00fctzt Replikation zwischen Knoten; Agenten k\u00f6nnen \u00fcber einen gemeinsamen Cluster-DNS-Namen oder einen HTTP-Load-Balancer auf mehrere Instanzen verteilt werden. Die Administration soll dagegen nicht \u00fcber den Cluster-Namen erfolgen. Die Dokumentation weist auf zwei wesentliche Grenzen hin: Die Replikation arbeitet \u00fcber HTTP; ohne TLS-Terminierung werden Replikationsdaten unverschl\u00fcsselt \u00fcbertragen. Au\u00dferdem kann Round-Robin bei Registrierung und unmittelbar anschlie\u00dfender Aktualisierung Replikationsverzug sichtbar machen. F\u00fcr die Automatisierung empfiehlt der Hersteller als Gegenma\u00dfnahme eine Wartezeit von zehn Sekunden oder Wiederholungslogik. Replikationsprotokolle werden sieben Tage vorgehalten; bei l\u00e4ngerer Trennung kann ein Knoten \u00c4nderungen \u00fcberspringen. ([docs.tuxcare.com](https:\/\/docs.tuxcare.com\/eportal\/))\n\nEntscheidungsalternativen\n\nOhne ePortal beziehen KernelCare-Agenten Patches direkt \u00fcber die TuxCare-Infrastruktur. Das ist f\u00fcr kleine, einheitliche und internetf\u00e4hige Serverbest\u00e4nde administrativ einfacher, bietet jedoch weniger lokale Steuerung \u00fcber Freigabegruppen, lokale Spiegelung und zentrale Registrierung. ePortal ist passend, wenn ein Anbieter verbindliche Patch-Ringe, restriktive Ausg\u00e4nge, zentrale Nachweise oder sehr viele Hosts verwalten muss. ([docs.tuxcare.com](https:\/\/docs.tuxcare.com\/live-patching-services\/))\n\nInnerhalb von ePortal besteht die wichtigste Architekturentscheidung zwischen Vollspiegelung, gefilterter Spiegelung und Cache-Modus. Vollspiegelung maximiert die lokale Vorhaltung, ben\u00f6tigt aber erheblich mehr Speicher. Die Filterung auf tats\u00e4chlich eingesetzte Distributionen reduziert Speicher und Bandbreite. Cache-Modus minimiert den Speicherbedarf, verlangt aber weiter eine funktionierende Verbindung des ePortal-Servers zur Patchquelle, wenn Patch-Bin\u00e4rdaten noch nicht im Cache liegen. Diese Auswahl sollte aus Recovery-Ziel, Netzwerkpolitik, Distributionen, Anzahl der Kernelvarianten und Wartungsfenstern abgeleitet werden, nicht allein aus Plattenkapazit\u00e4t. ([docs.tuxcare.com](https:\/\/docs.tuxcare.com\/eportal\/))\n\nGrenzen, Risiken und typische Fehler\n\nEin zentraler Fehler w\u00e4re, Live-Patching mit vollst\u00e4ndigem Patch-Management gleichzusetzen. Nicht jeder k\u00fcnftige Kernelzustand und nicht jedes Betriebssystemproblem l\u00e4sst sich ohne Reboot erledigen. Ebenso darf die Abdeckung nicht pauschal f\u00fcr \u201ealle CVEs\u201c behauptet werden: Der Hersteller spricht von wirtschaftlich angemessenen Bem\u00fchungen f\u00fcr vom Distribution-Anbieter behobene Schwachstellen und nennt ein Ziel, nicht eine Garantie, innerhalb von zehn Tagen nach \u00f6ffentlicher Offenlegung. ([docs.tuxcare.com](https:\/\/docs.tuxcare.com\/live-patching-services\/))\n\nEin zweiter Fehler ist das Verwenden alter Komponentenst\u00e4nde. TuxCare ver\u00f6ffentlichte im Dezember 2025 den Hinweis, dass KernelCare-Agent 3.x und ePortal 2.20 f\u00fcr das neue signierte Patchformat relevant sind und \u00e4ltere Agenten ab Mitte Dezember 2025 keine Patches mehr erhalten sollten. F\u00fcr den sp\u00e4teren Artikel darf daraus keine zeitlos g\u00fcltige Versionsvorgabe entstehen. Stattdessen sollte er empfehlen, die aktuelle Kompatibilit\u00e4tsmatrix, den installierten Agenten, die ePortal-Version und die f\u00fcr das Unternehmen freigegebene Update-Reihenfolge vor dem Rollout beim Hersteller zu pr\u00fcfen. ([support.tuxcare.com](https:\/\/support.tuxcare.com\/hc\/en-us\/articles\/21805315120540-Required-KernelCare-Agent-ePortal-Upgrade-How-to-update-KernelCare-ePortal))\n\nEin dritter Fehler betrifft Sicherheit und Reverse Proxies: F\u00fcr ePortal m\u00fcssen zul\u00e4ssige Hostnamen konfiguriert werden, um HTTP-Host-Header-Angriffe zu begrenzen. Bei TLS-Terminierung vor ePortal m\u00fcssen insbesondere Host- und X-Forwarded-Proto-Header korrekt weitergegeben werden. Ein Beispiel mit deaktivierter HTTPS-Zertifikatspr\u00fcfung aus der Dokumentation darf keinesfalls als Praxisempfehlung erscheinen. ([docs.tuxcare.com](https:\/\/docs.tuxcare.com\/eportal\/))\n\nGeeignete Tabellen f\u00fcr den sp\u00e4teren Artikel\n\nTabelle 1 sollte \u201eBetriebsmodell und Konsequenz\u201c vergleichen: Direktbezug, gefiltertes ePortal-Mirroring, Vollspiegelung und Cache-Modus. Sinnvolle Spalten sind Patchsteuerung, lokaler Speicherbedarf, externe Abh\u00e4ngigkeit beim Patchabruf, Eignung f\u00fcr isolierte Netze und Betriebsaufwand.\n\nTabelle 2 sollte \u201eRollout-Ringe\u201c zeigen: Canary, Staging, eingeschr\u00e4nkte Produktion, breite Produktion. Spalten: Zielgruppe, Feed-Kanal, Freigabekriterium, Verz\u00f6gerung, R\u00fcckfallentscheidung und verantwortliches Team. Keine festen Stundenwerte als allgemeine Empfehlung behaupten; sie h\u00e4ngen von Risiko und Betriebsmodell ab.\n\nTabelle 3 sollte \u201eBetriebs- und Sicherheitskontrollen\u201c enthalten: TLS, ALLOWED_HOSTS, Backup, Replikationsstatus, Speicherwachstum, Agenten-Check-in, Feed-Zuordnung und Schl\u00fcsselrotation. ePortal dokumentiert Backups f\u00fcr Gesamtdaten und nur Datenbanken; f\u00fcr Wiederherstellungen muss der Dienst gestoppt werden. ([docs.tuxcare.com](https:\/\/docs.tuxcare.com\/eportal\/))\n\nSichere Beispiele und redaktionelle Leitplanken\n\nEin sicherer, nicht ver\u00e4ndernder Pr\u00fcfaufruf f\u00fcr einen vorhandenen Cluster w\u00e4re als Terminalbefehl zu kennzeichnen: kc.eportal replication --short-status. Laut Hersteller liefert der Befehl einen maschinenlesbaren Status einschlie\u00dflich Replikationsverzug und beendet sich bei Problemen mit Exit-Code 1. ([docs.tuxcare.com](https:\/\/docs.tuxcare.com\/eportal\/))\n\nF\u00fcr Automatisierung sollte der Artikel keine Zugangsdaten oder API-Token zeigen. Inhaltlich gen\u00fcgt: API-Token k\u00f6nnen ab ePortal 2.14-1 alternativ zur Basic Authentication eingesetzt, einzeln widerrufen und mit Ablaufdatum versehen werden; das ist f\u00fcr Ansible, CMDB-Anbindung und Server-Tags besser geeignet als geteilte Administratorpassw\u00f6rter. Tokens sind als Secrets in einem Secret-Management-System zu hinterlegen und nicht in Playbooks, Images oder Tickets abzulegen. ([docs.tuxcare.com](https:\/\/docs.tuxcare.com\/eportal-api\/))","_wh_make_sources":{"S1":{"id":"S1","url":"https:\/\/docs.tuxcare.com\/live-patching-services\/","title":"KernelCare"},"S2":{"id":"S2","url":"https:\/\/docs.tuxcare.com\/eportal\/","title":"ePortal"},"S3":{"id":"S3","url":"https:\/\/support.tuxcare.com\/hc\/en-us\/articles\/21805315120540-Required-KernelCare-Agent-ePortal-Upgrade-How-to-update-KernelCare-ePortal","title":"P\u00e5kr\u00e6vet opgradering af KernelCare Agent og ePortal | Hvordan opdaterer man KernelCare og ePortal? \u2013 TuxCare"},"S4":{"id":"S4","url":"https:\/\/docs.tuxcare.com\/eportal-api\/","title":"ePortal API"}},"_wh_make_usage":{"research":{"input_tokens":37488,"output_tokens":3756,"response_id":"resp_0851e358e9d087c8016ab4adeb2f3087d295f3ba18479e0c11","model":"gpt-5.6-terra","search_calls":4},"plan_68d1c434f33adee0437da92994f32d7e":{"input_tokens":5524,"output_tokens":1492,"response_id":"resp_0a88384f8a9745f0016ab4ae1f473087d2a2d5d41437b7d0d2","model":"gpt-5.6-terra","search_calls":0},"part1_77fd50ac40790f3e7d30de915f2c4bc2":{"input_tokens":7956,"output_tokens":1615,"response_id":"resp_0e0da17bee7dcd61016ab4ae3231a487d29720b2475b041539","model":"gpt-5.6-terra","search_calls":0},"part2_4e6e818903895579e19790329fde29ce":{"input_tokens":8020,"output_tokens":2353,"response_id":"resp_0842fb81fac426ad016ab4ae46c19487d2855c977efb29378d","model":"gpt-5.6-terra","search_calls":0},"part3_f5d73dbf3c103566bd1c35003fbcddbc":{"input_tokens":8068,"output_tokens":2395,"response_id":"resp_041cf33d70f1a1b2016ab4ae6442ec87d29b17512249abc186","model":"gpt-5.6-terra","search_calls":0},"package_b44826979efff2726a8aeaac4a6e465a":{"input_tokens":12888,"output_tokens":1594,"response_id":"resp_0b4853c5e9f317c9016ab4ae843f7487d28dff27bba3c2575b","model":"gpt-5.6-terra","search_calls":0},"review_de751197529071015fb02b17dcf960a8":{"input_tokens":53156,"output_tokens":1413,"response_id":"resp_09ebb76805d5343d016ab4ae9b3f9887d2b5438b8a4015cfe1","model":"gpt-5.6-sol","search_calls":4},"repair_8a39cf964249fffb7e90eb0289478a2d":{"input_tokens":28072,"output_tokens":1980,"response_id":"resp_00673f1877ccacee016ab4aeb885f887d2a341c824c93dff05","model":"gpt-5.6-terra","search_calls":1},"review_3ca35459c030152cbb9a9a19d8594f74":{"input_tokens":50744,"output_tokens":1232,"response_id":"resp_0ea9816dec0894cc016ab4aecd57d887d2ac74305a94c5a3cd","model":"gpt-5.6-sol","search_calls":4},"repair_262fbd852467488213675f50b03bf86c":{"input_tokens":32177,"output_tokens":2116,"response_id":"resp_0b2dcafdd8987571016ab4aee4664087d28f578dd92edf5b68","model":"gpt-5.6-terra","search_calls":2},"review_c24b66fc0752c3be31bc2d7ccd14c9ea":{"input_tokens":35554,"output_tokens":1604,"response_id":"resp_01e77f8ca7b3a6e6016ab4aef9bc7487d2a7de074592740ad1","model":"gpt-5.6-sol","search_calls":2},"repair_74e748a6db0ee54b54af85a86ba15eea":{"input_tokens":37165,"output_tokens":4010,"response_id":"resp_0338a03682b6eac0016ab4b342e67087d2bcd3b2b2dad6ac00","model":"gpt-5.6-terra","search_calls":2},"review_ecba73bb0d47971f6bd2e64372d09408":{"input_tokens":44773,"output_tokens":1433,"response_id":"resp_0a42e325bb068f59016ab4d17cb6d087d2b43356b5310686bd","model":"gpt-5.6-sol","search_calls":3},"repair_b4750fdc424eba53b0b0e0cd97d424ee":{"input_tokens":35467,"output_tokens":2821,"response_id":"resp_00d976fbc9da831c016ab4d1a0be8487d2b3ee369782b54548","model":"gpt-5.6-terra","search_calls":2},"review_19eb92c47c1ff9b26f406628b0706915":{"input_tokens":44775,"output_tokens":936,"response_id":"resp_02fcce1bc06e1f50016ab4d1be9a6887d28369214736acfdcd","model":"gpt-5.6-sol","search_calls":3},"image_hero":{"input_tokens":126,"output_tokens":343,"response_id":"","model":"gpt-image-2.5-flare","search_calls":0},"image_detail1":{"input_tokens":115,"output_tokens":343,"response_id":"","model":"gpt-image-2.5-flare","search_calls":0},"image_detail2":{"input_tokens":117,"output_tokens":343,"response_id":"","model":"gpt-image-2.5-flare","search_calls":0}},"_wh_make_last_error":"","_wh_make_write_intent":{"before":{"content_md5":"d0e8fcfc7d334df0d656d43245914612","title":"KernelCare ePortal til st\u00f8rre hosting-infrastrukturer","slug":"kernelcare-eportal-store-hostinginfrastrukturer","excerpt":"KernelCare ePortal centraliserer distributionen og frigivelsen af live-patches i store Linux-fl\u00e5der. Artiklen viser, hvorn\u00e5r den ekstra platform kan betale sig, og hvordan patch-ringe, spejling, replikering og sikkerhedskontroller kan drives p\u00e5 en kontrolleret m\u00e5de.","status":"draft","featured_media":0},"expected":{"content_md5":"f713f5bc4ad773138709ddb814febdd5","title":"KernelCare ePortal til st\u00f8rre hosting-infrastrukturer","slug":"kernelcare-eportal-store-hostinginfrastrukturer","excerpt":"KernelCare ePortal centraliserer distributionen og frigivelsen af live-patches i store Linux-fl\u00e5der. Artiklen viser, hvorn\u00e5r den ekstra platform kan betale sig, og hvordan patch-ringe, spejling, replikering og sikkerhedskontroller kan drives p\u00e5 en kontrolleret m\u00e5de.","status":"draft","featured_media":21693},"at":"2026-09-24T07:32:46+00:00"},"_wh_make_design_version":"2.1.8","rank_math_title":"KernelCare ePortal f\u00fcr Hosting-Flotten","_wh_make_doc":{"title":"KernelCare ePortal til st\u00f8rre hosting-infrastrukturer","slug":"kernelcare-eportal-store-hostinginfrastrukturer","excerpt":"KernelCare ePortal centraliserer distributionen og frigivelsen af live-patches i store Linux-fl\u00e5der. Artiklen viser, hvorn\u00e5r den ekstra platform kan betale sig, og hvordan patch-ringe, spejling, replikering og sikkerhedskontroller kan drives p\u00e5 en kontrolleret m\u00e5de.","seo":{"title":"KernelCare ePortal til hostingfl\u00e5der","description":"KernelCare ePortal til store hostingfl\u00e5der: patch-ringe, mirror- og cache-tilstand, h\u00f8j tilg\u00e6ngelighed, TLS, overv\u00e5gning og driftsgr\u00e6nser.","focus_keyword":"KernelCare ePortal"},"lead":[{"kind":"text","text":"KernelCare ePortal lohnt sich f\u00fcr Hosting-Anbieter, wenn ","ref":""},{"kind":"strong","text":"kontrollierte Patch-Ringe","ref":""},{"kind":"text","text":", lokale Verteilung, restriktive Netzausg\u00e4nge oder pr\u00fcfbare Freigaben erforderlich sind. Die Plattform steuert Patchsets, Feeds und Registrierungsschl\u00fcssel f\u00fcr KernelCare-Agenten zentral. Sie ersetzt jedoch weder regul\u00e4re Reboots noch ein Sicherheits- und Betriebsmodell f\u00fcr die gesamte Infrastruktur. Entscheidend sind eine passende Spiegelstrategie, klar abgegrenzte Rollout-Gruppen, belastbares Monitoring und ein sorgf\u00e4ltig abgesicherter Hochverf\u00fcgbarkeitsbetrieb. ","ref":""},{"kind":"citation","text":"","ref":"S1"},{"kind":"citation","text":"","ref":"S2"}],"images":{"hero":{"prompt":"Konzeptionelle technische Illustration zur zentralen Live-Patch-Steuerung: eine ruhige zentrale Verteilinstanz verbindet klar getrennte Gruppen aus Webservern, Datenbankservern und Virtualisierungshosts \u00fcber gestaffelte Pfade; sichtbarer Datenfluss von Patcharchiv \u00fcber Freigaberinge zu Hosts, sachliche dunkelblaue und t\u00fcrkisfarbene Farbgebung, viel Freiraum, keine Beschriftungen, keine Logos, keine Benutzeroberfl\u00e4chen.","alt":"Zentrale Patch-Verteilung mit gestaffelten Gruppen f\u00fcr verschiedene Hosting-Server","caption":"Konzeptionelle Darstellung einer zentral gesteuerten Patch-Verteilung \u00fcber mehrere Hosting-Systemgruppen.","filename_base":"kernelcare-eportal-patchverteilung","section_id":"","after_block":0},"detail1":{"prompt":"Konzeptionelle Illustration eines gestaffelten Patch-Rollouts: vier klar unterscheidbare Servergruppen entlang eines kontrollierten Pfads, von einer kleinen Pr\u00fcfumgebung \u00fcber Vorproduktion und begrenzte Produktion bis zur breiten Flotte; ein zentraler Freigabepunkt zwischen den Stufen, zur\u00fcckhaltende blaue und gr\u00fcne Akzente, klare Blickf\u00fchrung, keine W\u00f6rter, Zahlen, Logos oder Dashboards.","alt":"Gestaffelter Patch-Rollout von Canary-Systemen bis zur breiten Produktion","caption":"Patch-Ringe begrenzen die erste Ausbringung und schaffen definierte Entscheidungspunkte vor der breiten Verteilung.","filename_base":"kernelcare-eportal-patch-ringe","section_id":"rollout","after_block":1},"detail2":{"prompt":"Konzeptionelle Infrastrukturillustration f\u00fcr hochverf\u00fcgbare Patch-Verteilung: zwei synchronisierte Managementknoten hinter einem neutralen Lastverteiler, mehrere Agenten erreichen den gemeinsamen Endpunkt; separat hervorgehobener gesch\u00fctzter Replikationspfad und administrativer Zugang, klare technische Linien, dunkelblaues Farbschema mit dezenten t\u00fcrkisfarbenen Akzenten, keine Beschriftungen, Zahlen, Logos oder Screenshots.","alt":"Redundante ePortal-Knoten mit Load-Balancer, Agentenpfad und gesch\u00fctzter Replikation","caption":"Redundanz verlangt neben mehreren Knoten auch kontrollierte Replikation, TLS und getrennte Verwaltungszug\u00e4nge.","filename_base":"kernelcare-eportal-hochverfuegbarkeit","section_id":"hochverfuegbarkeit","after_block":2}},"chart":null,"social":{"facebook":"KernelCare ePortal schafft zentrale Kontrolle f\u00fcr Live-Patching in gro\u00dfen Hosting-Flotten. Der Beitrag erkl\u00e4rt Patch-Ringe, Mirror- und Cache-Modelle, Replikation, TLS und wichtige Betriebsgrenzen.","instagram":"Live-Patching in gro\u00dfen Hosting-Flotten braucht mehr als einen Agenten: KernelCare ePortal verbindet Feed-Steuerung, Patch-Ringe, lokale Archive und nachvollziehbare Freigaben.","tiktok":"KernelCare ePortal erkl\u00e4rt: Wann zentrale Patch-Ringe und lokale Patch-Verteilung f\u00fcr gro\u00dfe Hosting-Flotten sinnvoll sind \u2013 und warum Live-Patching Reboots nicht ersetzt.","youtube":"KernelCare ePortal f\u00fcr Hosting-Infrastrukturen: Architektur, Patch-Ringe, Cache oder Spiegelung, Hochverf\u00fcgbarkeit und Sicherheitskontrollen verst\u00e4ndlich eingeordnet.","threads":"Wann lohnt sich KernelCare ePortal? Der Fachartikel zeigt, wie gro\u00dfe Linux-Flotten Live-Patches mit Feeds, Rollout-Ringen, lokaler Verteilung und Replikation kontrollierbar betreiben.","x":"KernelCare ePortal lohnt sich bei Patch-Ringen, lokalen Archiven, restriktiven Netzausg\u00e4ngen und pr\u00fcfbaren Freigaben. Der Artikel ordnet Cache, Spiegelung, TLS, Replikation und Betriebsgrenzen f\u00fcr Hosting-Flotten ein."},"avatar_script":"KernelCare ePortal richtet sich an Betreiber, die Live-Patching nicht nur verteilen, sondern in einer gr\u00f6\u00dferen Linux-Flotte nachvollziehbar steuern m\u00fcssen. Entscheidend ist die Abgrenzung: KernelCare bringt Live-Patches in den laufenden Kernel, w\u00e4hrend ePortal Patchsets, Feeds und Schl\u00fcssel zentral verwaltet. F\u00fcr den Betrieb z\u00e4hlen vor allem sauber zugeschnittene Patch-Ringe, die passende Wahl zwischen Spiegelung und Cache sowie belastbare Kontrollen f\u00fcr Replikation, TLS, Backups und Zug\u00e4nge. Live-Patching reduziert dabei Reboot-Bedarf, ersetzt aber keine regul\u00e4re Kernelwartung und keine geplanten Neustartfenster. Ob ePortal passt, h\u00e4ngt deshalb von konkreten Freigabe-, Netzwerk- und Nachweispflichten ab, nicht allein von der Anzahl der Server.","version_note":"Stand der Recherche: 24. September 2026. Produkt- und Versionsst\u00e4nde, insbesondere Kompatibilit\u00e4tsvorgaben f\u00fcr KernelCare-Agent und ePortal, vor \u00c4nderungen anhand der aktuellen Herstellerdokumentation und der intern freigegebenen Update-Reihenfolge pr\u00fcfen.","sections":[{"id":"grundlagen","heading":"KernelCare ePortal im Flottenbetrieb einordnen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"KernelCare ePortal ist die selbst betriebene Management- und Verteilkomponente f\u00fcr KernelCare-Agenten in gr\u00f6\u00dferen Linux-Umgebungen. Sie b\u00fcndelt Patchsets, Feeds und Registrierungsschl\u00fcssel an einer kontrollierten Stelle. Damit entscheidet der Betreiber nicht nur, ob Hosts Patches beziehen, sondern auch, aus welcher lokalen Quelle und nach welcher Freigabelogik dies geschieht. ","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ohne ePortal kontaktieren die Agenten die TuxCare-Infrastruktur direkt. Das ist f\u00fcr kleine, weitgehend einheitliche und internetf\u00e4hige Serverbest\u00e4nde meist der einfachere Weg: Es gibt keine zus\u00e4tzliche zentrale Plattform zu aktualisieren, abzusichern und zu \u00fcberwachen. Mit wachsender Zahl an Systemen wird diese Einfachheit jedoch zum Nachteil, wenn nachvollziehbare Freigaben oder begrenzte Netzausg\u00e4nge verlangt werden. ","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"In einer Hosting-Flotte treffen oft Webserver, Datenbankserver, Virtualisierungshosts und Management-Systeme mit unterschiedlichen Distributionen und Kernelreihen zusammen. Ein zentraler ","ref":""},{"kind":"strong","text":"Patchbezug","ref":""},{"kind":"text","text":" erlaubt, diese technischen Gruppen gezielt mit passenden Feeds und Schl\u00fcsseln zu versorgen. ePortal ist damit keine Alternative zum KernelCare-Agenten, sondern erweitert dessen Bezug von Patchsets um lokale Steuerung und Verteilung. ","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Der Nutzen entsteht folglich nicht allein durch die Zahl der Server. Ausschlaggebend sind verbindliche Patch-Ringe, Pr\u00fcf- und Nachweispflichten, Netzwerkvorgaben sowie die Frage, ob ein zentraler Dienst selbst zuverl\u00e4ssig betrieben werden kann. Diese Anforderungen bestimmen auch, ob lokale Spiegelung, Cache oder direkter Bezug die angemessene Architektur ist.","ref":""}]}]},{"id":"begriffe","heading":"Live-Patching, KernelCare und LibCare abgrenzen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Beim ","ref":""},{"kind":"strong","text":"Live-Patching","ref":""},{"kind":"text","text":" pr\u00fcft der KernelCare-Agent regelm\u00e4\u00dfig, ob passende Patchsets verf\u00fcgbar sind. Er l\u00e4dt diese herunter, verifiziert sie und installiert sie in den laufenden Kernel. Sicherheitskorrekturen k\u00f6nnen dadurch aktiv werden, ohne dass f\u00fcr diesen Schritt ein Kernel-Neustart erforderlich ist. Welche Patchsets anwendbar sind, h\u00e4ngt dabei vom installierten Kernel und der unterst\u00fctzten Distribution ab. ","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"KernelCare bezeichnet das Angebot f\u00fcr Live-Kernel-Patches. LibCare ist davon zu trennen: Es ist ein optionales Zusatzprodukt f\u00fcr bestimmte Userspace-Komponenten und kein anderer Name f\u00fcr Kernel-Patching. ePortal wiederum patcht keinen Kernel selbst, sondern verwaltet Patchsets, Feeds und die Registrierung der KernelCare-Agenten in einer lokalen Enterprise-Installation. ","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die fr\u00fchere Bezeichnung KernelCare Plus sollte nur bei der Einordnung \u00e4lterer Dokumentationen auftauchen. Der Hersteller hat dieses Produkt seit M\u00e4rz 2023 abgek\u00fcndigt und durch KernelCare ersetzt. F\u00fcr Bestandsaufnahmen ist daher wichtig, installierte Agenten, Vertr\u00e4ge und Dokumentation nicht anhand historischer Produktnamen mit aktuellen Komponenten oder Funktionsumf\u00e4ngen gleichzusetzen. ","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Live-Patching ersetzt keinen vollst\u00e4ndigen Wartungsprozess. Geplante ","ref":""},{"kind":"strong","text":"Reboots","ref":""},{"kind":"text","text":" bleiben etwa f\u00fcr regul\u00e4re Kernelwechsel, Hardware- und Firmware-Updates, Treiber\u00e4nderungen, Konfigurationsarbeiten oder Fehlerbilder n\u00f6tig, die sich nicht live beheben lassen. Ein Betriebskonzept sollte deshalb die verk\u00fcrzte Exposition durch Patchsets mit weiterhin geplanten Neustartfenstern verbinden, statt diese ersatzlos zu streichen. ","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"einsatz","heading":"Wann zentrale Patchsteuerung wirtschaftlich passt","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"ePortal passt, wenn der Betrieb Patches nicht lediglich schnell verteilen, sondern ihre Bereitstellung verbindlich steuern muss. Das betrifft beispielsweise getrennte Freigabegruppen f\u00fcr Canary-Hosts, Staging und Produktion, restriktive ausgehende Firewall-Regeln oder Nachweise dar\u00fcber, welcher Host welchem Feed zugeordnet war. Auch viele Systeme mit verschiedenen Plattformen profitieren von einer zentral gepflegten Verteilinstanz. ","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Der zus\u00e4tzliche Nutzen muss den Aufwand rechtfertigen. Eine ePortal-Instanz ben\u00f6tigt Kapazit\u00e4t, Updates, Backups, Zugriffsschutz und Monitoring; bei hoher Verf\u00fcgbarkeit kommen Replikation und Netzarchitektur hinzu. F\u00fcr wenige gleichartige Server mit erlaubtem Internetzugang bleibt der Direktbezug \u00fcber die TuxCare-Infrastruktur daher oft einfacher. Weniger Komponenten bedeuten dort eine kleinere eigene Betriebsfl\u00e4che. ","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Wirtschaftlich wird zentrale Steuerung besonders dort, wo ungeplante Gleichzeitigkeit teuer w\u00e4re: etwa bei vielen Kunden-Webservern, Datenbankclustern oder Virtualisierungshosts. Ein ","ref":""},{"kind":"strong","text":"Freigabeprozess","ref":""},{"kind":"text","text":" kann dann technische \u00c4hnlichkeit und Gesch\u00e4ftsrisiko gemeinsam abbilden. Gruppen sollten nicht nur nach Standort entstehen, sondern auch Distribution, Kernelreihe, Hypervisor, Control Panel, Hardware und Kundenprofil ber\u00fccksichtigen. ","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Sicherheitsabdeckung darf dabei nicht \u00fcbersch\u00e4tzt werden. KernelCare stellt Live-Patches f\u00fcr einen Kernel grunds\u00e4tzlich nur bereit, solange dessen Distribution-Anbieter Sicherheitsupdates f\u00fcr die betreffende Kernelserie ver\u00f6ffentlicht. Zudem ist Live-Patching kein pauschaler Nachweis f\u00fcr die Behebung aller Schwachstellen. Patchstatus, Distribution-Support und regul\u00e4re Wartung bleiben getrennt zu pr\u00fcfen. ","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Betriebsentscheidung lautet daher nicht pauschal \u201ezentral ist besser\u201c. ePortal ist sinnvoll, wenn lokale Kontrolle, abgestufte Verteilung und belastbare Nachvollziehbarkeit konkrete Anforderungen erf\u00fcllen. Fehlen diese Anforderungen, kann der bewusst einfache Direktbezug robuster sein. Im n\u00e4chsten Schritt entscheidet das gew\u00fcnschte Bereitstellungsmodell \u00fcber Speicherbedarf und externe Abh\u00e4ngigkeiten.","ref":""}]}]},{"id":"modelle","heading":"Spiegelung und Cache passend ausw\u00e4hlen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Wahl des Verteilmodells bestimmt, wie unabh\u00e4ngig eine Hosting-Flotte beim Patchabruf ist und wie viel Infrastruktur sie daf\u00fcr betreiben muss. Beim Direktbezug laden KernelCare-Agenten Patchsets \u00fcber die TuxCare-Infrastruktur. ePortal verlagert dagegen Freigabe, lokale Vorhaltung und Verteilung in eine eigene Instanz; sie kann Patchsets als vollst\u00e4ndiges oder gefiltertes Archiv spiegeln oder bedarfsorientiert zwischenspeichern.","ref":""},{"kind":"citation","text":"","ref":"S1"},{"kind":"citation","text":"","ref":"S2"}]},{"type":"table","caption":"Betriebsmodelle f\u00fcr den Bezug von KernelCare-Patchsets","headers":["Modell","Patchsteuerung","Lokaler Speicherbedarf","Externe Abh\u00e4ngigkeit beim Abruf","Einordnung f\u00fcr abgeschottete Bereiche","Betriebsaufwand"],"rows":[["Direktbezug","Agenten beziehen Patchsets direkt; keine lokale Feed-Steuerung","Kein ePortal-Archiv","Jeder Agent ben\u00f6tigt Zugang zur Patchquelle","F\u00fcr isolierte Agentennetze ungeeignet, sofern kein lokaler Vermittlungsweg bereitsteht","Niedrig"],["Gefilterte Spiegelung","Feeds und ausgew\u00e4hlte Distributionen zentral steuerbar","Abh\u00e4ngig von den gespiegelten Distributionen und Kernelvarianten","ePortal ben\u00f6tigt f\u00fcr neue Patchsets weiterhin den Zugang zur Patchquelle","Agentennetze k\u00f6nnen vom Internet getrennt sein; ePortal selbst bleibt f\u00fcr neue Archive upstream-abh\u00e4ngig","Mittel"],["Vollspiegelung","Feeds zentral steuerbar; lokale Vorhaltung der gespiegelten Archive","Hoch; Hersteller nennt mindestens 1 TB, empfohlen 2 TB","F\u00fcr bereits vollst\u00e4ndig vorhandene Archive keine externe Verbindung beim Agentenabruf","\u00dcberbr\u00fcckt Upstream-Ausf\u00e4lle f\u00fcr vorhandene Archive; ein vollst\u00e4ndig air-gapped ePortal verlangt zus\u00e4tzlich einen getrennten Archivtransferprozess","Hoch"],["Cache-Modus","Feeds zentral steuerbar; Bin\u00e4rdaten lokal zwischengespeichert","Niedrig; Hersteller nennt mindestens 25 GB, empfohlen 50 GB","Bei nicht vorhandenen Bin\u00e4rdaten ben\u00f6tigt ePortal die Patchquelle","Agentennetze k\u00f6nnen zentral \u00fcber ePortal versorgt werden; f\u00fcr Cache-Misses ist ein Upstream-Pfad erforderlich","Mittel"]],"source_ids":["S1","S2"]},{"type":"paragraph","runs":[{"kind":"text","text":"Eine Vollspiegelung ist sinnvoll, wenn bereits \u00fcbernommene Patchsets auch bei einer unterbrochenen externen Verbindung lokal verf\u00fcgbar bleiben m\u00fcssen oder verbindliche interne Freigaben dies verlangen. Eine gefilterte Spiegelung begrenzt Archivgr\u00f6\u00dfe und Datenverkehr auf tats\u00e4chlich eingesetzte Distributionen. Daf\u00fcr muss die Inventarisierung zuverl\u00e4ssig erfassen, welche Kernelreihen und Architekturen die Flotte verwendet; sonst fehlt genau dann ein Archiv, wenn ein Host es ben\u00f6tigt.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Der ","ref":""},{"kind":"strong","text":"Cache-Modus","ref":""},{"kind":"text","text":" spart Speicher, ist aber kein Synonym f\u00fcr einen vollst\u00e4ndig isolierten Betrieb. ePortal l\u00e4dt Metadaten und beschafft Patch-Bin\u00e4rdaten bei Bedarf von der Quelle; heruntergeladene Bin\u00e4rdaten verbleiben laut Dokumentation zwei Wochen im lokalen Cache. F\u00fcr abgeschottete Agentennetze kann das gen\u00fcgen, solange ePortal den erlaubten Upstream-Pfad nutzen darf.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein vollst\u00e4ndig luftgetrennt betriebener ePortal-Server ist davon getrennt zu beurteilen. Neue Patcharchive m\u00fcssen dann \u00fcber einen separat geplanten manuellen Transfer eingebracht werden. Definiere daf\u00fcr Quellenpr\u00fcfung, Integrit\u00e4ts- und Signaturkontrolle, Medien- oder Netzwerkfreigabe, Importreihenfolge und Verantwortlichkeiten. Weder gefilterte noch vollst\u00e4ndige Spiegelung erzeugen diesen Prozess automatisch; sie bestimmen nur, welche Archive ePortal lokal vorh\u00e4lt.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Speicherplanung sollte nicht bei der Gr\u00f6\u00dfe des aktuellen Archivs enden. TuxCare nennt f\u00fcr ePortal SSD-Speicher mit mindestens 100 IOPS sowie ein Wachstum von etwa 4 bis 5 GiB pro Monat als Orientierung. Diese Herstellerangaben ersetzen keine Kapazit\u00e4tsplanung: Recovery-Ziele, parallele Rollouts, Netzwerklatenzen, Anzahl der Kernelvarianten und Monitoring-Anforderungen k\u00f6nnen die Architektur st\u00e4rker pr\u00e4gen als freie Plattenkapazit\u00e4t.","ref":""},{"kind":"citation","text":"","ref":"S2"}]}]},{"id":"rollout","heading":"Patch-Ringe f\u00fcr Hosting-Flotten aufbauen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Patch-Ringe machen aus einem zentral verf\u00fcgbaren Patchset einen kontrollierten Rollout. Ein kleiner Canary-Kreis erh\u00e4lt die Freigabe zuerst, danach folgen Staging, eine begrenzte Produktionsgruppe und schlie\u00dflich die breite Produktion. Jeder Ring braucht vorab definierte Beobachtungen und eine verantwortliche Stelle; ohne diese Kriterien verschiebt eine Verz\u00f6gerung lediglich das Risiko, statt es zu bewerten.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"table","caption":"Beispiel f\u00fcr organisatorische Patch-Ringe ohne feste Zeitvorgaben","headers":["Ring","Zielgruppe","Feed-Kanal","Freigabekriterium","Verz\u00f6gerungslogik","R\u00fcckfall und Verantwortung"],"rows":[["Canary","Repr\u00e4sentative interne oder risikoarme Hosts","Stable","Patchstatus, Dienstmetriken und Logs unauff\u00e4llig","Bis zur dokumentierten Bewertung","Feed anhalten; Plattformteam entscheidet"],["Staging","Vorproduktionssysteme mit \u00e4hnlichem Stack","Stable","Anwendungstests und Betriebschecks bestanden","Nach Freigabe des Canary-Rings","Feed anhalten; Anwendungs- und Plattformteam"],["Eingeschr\u00e4nkte Produktion","Begrenzte, repr\u00e4sentative Kunden- oder Webservergruppe","Stable","Keine auff\u00e4lligen Fehlerraten oder Supportsignale","Nach Bewertung des Staging-Rings","Ausweitung stoppen; Incident-Verantwortliche"],["Breite Produktion","\u00dcbrige geeignete Produktionshosts","Stable","Vorherige Ringe freigegeben","Nach dokumentierter Freigabe","Rollout pausieren; Betriebsteam"]],"source_ids":["S2"]},{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr die Produktionsringe ist ","ref":""},{"kind":"strong","text":"Stable","ref":""},{"kind":"text","text":" der vorgesehene Kanal. Testing eignet sich f\u00fcr einen separaten, bewusst kontrollierten Evaluierungsprozess, weil dieser Kanal alle verf\u00fcgbaren Patchsets einbezieht und damit zus\u00e4tzliche Patchsets enthalten kann, die noch nicht f\u00fcr Stable markiert sind. Unstable ist laut Dokumentation ein Early-Access-Kanal und nicht empfohlen. Testing und Unstable sind daher nicht als allgemeiner Produktionsnachweis zu behandeln.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ringe sollten nach technischer \u00c4hnlichkeit statt nur nach Rechenzentrumsstandort zusammengesetzt sein. Relevant sind Distribution und Kernelreihe, Hardwareplattform, Virtualisierung, Control Panel, Webserver-Stack und Kundenprofil. Ein Canary-Host mit anderer Kernelserie oder anderer Virtualisierung deckt das Verhalten eines produktiven Zielsystems nur eingeschr\u00e4nkt ab. Bei Shared Hosting geh\u00f6ren Ressourcenprofile und Konfigurationen des ","ref":""},{"kind":"internal_link","text":"CloudLinux LVE Managers","ref":"I1"},{"kind":"text","text":" in diese Bewertung, weil sie Last- und Fehlerbilder beeinflussen k\u00f6nnen.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Besondere Vorsicht gilt neuen ePortal-Instanzen. ePortal pr\u00fcft nach Herstellerangabe alle zehn Minuten auf neue Patchsets und l\u00e4dt sie herunter, stellt sie aber nicht automatisch jedem Feed bereit. Werden Archive erstmals geladen, erhalten die enthaltenen Patchsets denselben Erscheinungszeitpunkt. Eine bereits konfigurierte Verz\u00f6gerung kann deshalb dazu f\u00fchren, dass der gesamte Erstbestand nach ihrem Ablauf in einen automatisch aktualisierten Feed gelangt.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Halte w\u00e4hrend der initialen Synchronisation daher die automatische Aktualisierung produktiver Feeds und deren produktive Schl\u00fcsselzuordnung zur\u00fcck. Lade den Erstbestand vollst\u00e4ndig, pr\u00fcfe ihn sowie die Feed-Konfiguration und ordne Schl\u00fcssel erst danach kontrolliert den vorgesehenen Ringen zu oder aktiviere deren automatische Aktualisierung. Die Verz\u00f6gerungslogik dient anschlie\u00dfend f\u00fcr neu eintreffende Patchsets; sie trennt den historischen Erstbestand einer neuen Instanz nicht zuverl\u00e4ssig.","ref":""},{"kind":"citation","text":"","ref":"S2"}]}]},{"id":"zugang","heading":"Feeds, Schl\u00fcssel und Mandanten trennen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Feeds bilden die technische Seite der Rollout-Ringe ab: Sie verbinden Patchkanal und Verz\u00f6gerungslogik mit einer Gruppe von Systemen. Registrierungsschl\u00fcssel lassen sich an Feeds binden und mit Serverlimits versehen. Dadurch kann ein Betreiber etwa interne Plattformen, Managed-Server-Angebote und getrennte Kundenumgebungen mit unterschiedlichen Freigabepfaden versorgen, ohne die Agentenkonfiguration auf jedem Host einzeln \u00e4ndern zu m\u00fcssen.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Diese Zuordnung ist jedoch keine vollst\u00e4ndige Sicherheitsgrenze. Die optionale Funktion ","ref":""},{"kind":"strong","text":"Business Units","ref":""},{"kind":"text","text":" unterst\u00fctzt Multi-Tenancy im ePortal, ersetzt aber weder Netzwerksegmentierung noch ein Berechtigungsmodell oder getrennte administrative Zust\u00e4ndigkeiten. Auch Protokollierung, Secret-Management und die Pr\u00fcfung, wer Schl\u00fcssel erstellen oder Feeds \u00e4ndern darf, m\u00fcssen unabh\u00e4ngig von der Produktfunktion geplant und regelm\u00e4\u00dfig kontrolliert werden.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr Mandantenumgebungen ist die Trennung von Patchsteuerung und \u00fcbriger Hosting-Isolation besonders wichtig. Ein Schl\u00fcssel kann die beabsichtigte Feed-Zuordnung und die Zahl registrierbarer Server begrenzen, verhindert aber keine Querzugriffe in anderen Infrastrukturkomponenten. Prozess- und Dateisystemisolation bleiben eigene Aufgaben; dazu erg\u00e4nzt der Beitrag \u00fcber ","ref":""},{"kind":"internal_link","text":"CloudLinux SecureLVE","ref":"I2"},{"kind":"text","text":" die Ebene von Accounts und Websites.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ab ePortal 2.14-1 k\u00f6nnen API-Keys f\u00fcr die \u00f6ffentliche API alternativ zur Basic Authentication verwendet werden. Die ePortal-Verwaltung erlaubt f\u00fcr API-Keys unter anderem einzeln widerrufbare Schl\u00fcssel sowie ein optionales Ablaufdatum. Das erleichtert getrennte Berechtigungen f\u00fcr CMDB-Anbindungen oder Konfigurationsautomatisierung, sofern die Rechte des zugeh\u00f6rigen Benutzerkontos bewusst begrenzt werden.","ref":""},{"kind":"citation","text":"","ref":"S4"},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Lege Tokens als Secrets in einem Secret-Management-System ab, nicht in Playbooks, Images, Shell-Historien oder Tickets. Das ist eine betriebliche Schutzma\u00dfnahme und keine durch ePortal automatisch erzwungene Eigenschaft. Ein praxistauglicher Prozess ordnet jedem Schl\u00fcssel einen Eigent\u00fcmer, einen Zweck, zul\u00e4ssige Produkte, ein Serverlimit und ein Rotationsdatum zu.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"API-Keys sollten bei einem Systemwechsel, einem Rollenwechsel oder einem nicht mehr ben\u00f6tigten Automatisierungszugang gezielt widerrufen werden. Registrierungsschl\u00fcssel behandelst du anders: Das Entfernen eines solchen Schl\u00fcssels entfernt laut Dokumentation auch alle darunter registrierten Server aus ePortal. Plane deshalb vor dem L\u00f6schen die Migration auf einen neuen Schl\u00fcssel oder die erneute Registrierung der betroffenen Hosts und pr\u00fcfe anschlie\u00dfend deren Feed-Zuordnung sowie Check-in-Status.","ref":""},{"kind":"citation","text":"","ref":"S2"}]}]},{"id":"hochverfuegbarkeit","heading":"Replikation und TLS belastbar betreiben","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr eine ","ref":""},{"kind":"strong","text":"hochverf\u00fcgbare Patch-Verteilung","ref":""},{"kind":"text","text":" werden mehrere ePortal-Knoten so kombiniert, dass KernelCare-Agenten einen gemeinsamen Cluster-DNS-Namen oder einen HTTP-Load-Balancer ansprechen. F\u00fcr administrative Arbeiten verwendest du dagegen einen kontrollierten, knotenspezifischen Admin-Endpunkt. Den gemeinsamen Cluster-Endpunkt darfst du laut Hersteller nicht f\u00fcr Operationen in der ePortal-Administrationsoberfl\u00e4che einsetzen.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Vor der Produktivsetzung sollte die Architektur nicht nur den Ausfall eines ePortal-Servers betrachten. Relevant sind auch DNS-Aufl\u00f6sung, Load-Balancer, Zertifikate, Speicher f\u00fcr Patcharchive, die Verbindung zur Patchquelle und die Erreichbarkeit aus jedem Netzsegment. Ein zweiter Knoten ohne abgestimmte Netzwerk- und Betriebs\u00fcberwachung verbessert die Verf\u00fcgbarkeit nur begrenzt; er kann im Fehlerfall sogar abweichende Zust\u00e4nde verdecken.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Knoten gleichen \u00c4nderungen per Replikation ab. Dieser Abgleich ist nicht zwingend sofort sichtbar. Besonders bei Round-Robin kann ein gerade registrierter Agent den ersten Knoten f\u00fcr die Registrierung und direkt danach einen noch nicht synchronisierten Knoten f\u00fcr die Aktualisierung erreichen. Automatisierungen sollten deshalb einen kurzen Wartepunkt oder eine Retry-Logik mit begrenzten Wiederholungen vorsehen, statt einen unmittelbar folgenden Patchabruf als verl\u00e4sslichen Endzustand zu behandeln.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Auch l\u00e4ngere Trennungen geh\u00f6ren in das Fehlerszenario. Replikationsprotokolle werden laut Dokumentation sieben Tage vorgehalten; bleibt ein Knoten l\u00e4nger getrennt, kann er \u00c4nderungen \u00fcberspringen. Der ","ref":""},{"kind":"strong","text":"Replikationsverzug","ref":""},{"kind":"text","text":" ist damit ein operativer Status, nicht blo\u00df ein Diagnosewert. Nach Netzwerkst\u00f6rungen pr\u00fcfst du daher Feed-Zuordnungen, Schl\u00fcsselbestand und Patcharchiv auf dem zur\u00fcckkehrenden Knoten, bevor er wieder regul\u00e4r Agentenanfragen bedient.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Replikation erfolgt \u00fcber HTTP. Ohne eine geeignete TLS-Absicherung werden die Replikationsdaten daher unverschl\u00fcsselt \u00fcbertragen. Segmentiere diesen Datenverkehr mindestens in ein vertrauensw\u00fcrdiges Netz oder terminiere TLS passend zur Architektur. F\u00fcr extern oder netz\u00fcbergreifend erreichbare Agentenendpunkte ist eine \u00fcberpr\u00fcfbare Zertifikatskette wichtiger Bestandteil der ","ref":""},{"kind":"strong","text":"TLS-Terminierung","ref":""},{"kind":"text","text":"; eine deaktivierte Zertifikatspr\u00fcfung ist keine vertretbare Dauerl\u00f6sung.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Steht ein Reverse Proxy vor ePortal, m\u00fcssen erlaubte Hostnamen konfiguriert sein, damit ePortal Host-Header-Anfragen begrenzt. Der Proxy muss au\u00dferdem den urspr\u00fcnglichen Host-Header sowie X-Forwarded-Proto korrekt weiterreichen. Andernfalls k\u00f6nnen falsche externe URLs, Weiterleitungsprobleme oder eine fehlerhafte Einsch\u00e4tzung des verwendeten Protokolls entstehen. Diese Header-Konfiguration sollte deshalb Teil jeder Proxy-\u00c4nderung und ihrer Abnahme sein.","ref":""},{"kind":"citation","text":"","ref":"S2"}]}]},{"id":"kontrollen","heading":"Nachweise, Backups und Monitoring etablieren","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Kontrollierbares Live-Patching braucht wiederkehrende Nachweise, nicht nur eine erfolgreiche Erstinstallation. Erfasse mindestens die Feed-Zuordnung jedes Hosts, den letzten Agenten-Check-in, den gemeldeten Patchstand und den Status der Registrierungsschl\u00fcssel. Erg\u00e4nze diese Daten um verantwortliche Teams und eine nachvollziehbare Freigabeentscheidung. So l\u00e4sst sich bei einer Sicherheitsmeldung gezielt feststellen, welche Gruppe welchen Bereitstellungsweg nutzt.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Weitere feste Kontrollen betreffen Speicherwachstum, freien Platz f\u00fcr Archive, den Replikationsstatus und die Rotation oder den Widerruf nicht mehr ben\u00f6tigter Schl\u00fcssel. API-Keys eignen sich f\u00fcr automatisierte Abfragen besser als geteilte Administratorkennw\u00f6rter, weil sie einzeln verwaltet, widerrufen und optional mit einem Ablaufdatum versehen werden k\u00f6nnen. Lege sie als betriebliche Schutzma\u00dfnahme in einer Secret-Verwaltung ab, nicht in Images, Playbooks oder Tickets.","ref":""},{"kind":"citation","text":"","ref":"S2"},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr einen vorhandenen Cluster ist der folgende, nicht ver\u00e4ndernde Pr\u00fcfaufruf ein geeigneter Baustein f\u00fcr Monitoring oder einen geplanten Health-Check. Er liefert einen maschinenlesbaren Kurzstatus einschlie\u00dflich Replikationsverzug. Bei einem Problem beendet sich der Aufruf mit Exit-Code 1; das Monitoring sollte diesen Zustand alarmieren, aber die Ursache anhand von Knoten- und Netzwerkdaten weiter eingrenzen.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"code","language":"bash","code":"kc.eportal replication --short-status","source_ids":["S2"]},{"type":"paragraph","runs":[{"kind":"text","text":"ePortal unterscheidet einen Datenbackup-Archivlauf und ein reines Datenbankbackup. Die vollst\u00e4ndige Befehlssyntax lautet ","ref":""},{"kind":"code","text":"kc.eportal backup <path_to_archive>","ref":""},{"kind":"text","text":"; sie erstellt ein Backup-Archiv einschlie\u00dflich der Patchset-Dateien. Mit ","ref":""},{"kind":"code","text":"kc.eportal backup-db <path_to_backup>","ref":""},{"kind":"text","text":" sicherst du dagegen nur die Datenbanken ohne Patchset-Dateien. Dieser zweite Weg eignet sich f\u00fcr Konfigurations- und Serverdaten, nicht f\u00fcr die lokale Patcharchivierung.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Diese ePortal-Backups umfassen nicht automatisch die gesamte Umgebung. Betriebssystemkonfiguration, Reverse-Proxy- und Load-Balancer-Konfiguration, TLS-Zertifikate und private Schl\u00fcssel, DNS-Einstellungen sowie externe Firewall- oder Secret-Management-Konfigurationen brauchen eigene Sicherungs- und Wiederherstellungsregeln. Definiere je Sicherungsart Zweck, Aufbewahrung, Speicherort und den verantwortlichen Wiederherstellungsweg.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei einer Wiederherstellung muss der ePortal-Dienst gestoppt werden. Plane diese Dienstunterbrechung, informiere gegebenenfalls betroffene Betriebsteams und pr\u00fcfe danach gezielt die Datenkonsistenz sowie die Erreichbarkeit f\u00fcr Agenten. Eine Sicherung gilt erst nach einer kontrolliert geplanten ","ref":""},{"kind":"strong","text":"R\u00fccksicherung","ref":""},{"kind":"text","text":" als belastbar. Dabei darf ein Test nicht versehentlich produktive Feeds oder Schl\u00fcsselzuweisungen ver\u00e4ndern.","ref":""},{"kind":"citation","text":"","ref":"S2"}]}]},{"id":"stoerungen","heading":"Fehlerbilder und Betriebsentscheidung bewerten","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Bleiben erwartete Patches aus, ist zun\u00e4chst zwischen fehlender Verf\u00fcgbarkeit, fehlendem Abruf und fehlender Freigabe zu unterscheiden. Pr\u00fcfe installierte Agenten- und ePortal-Version, zugeordneten Schl\u00fcssel und Feed, die passende Distribution samt Kernelreihe sowie die Verbindung zur Patchquelle. Ein Patch kann au\u00dferdem fehlen, wenn die betreffende Kernelserie vom Distributionsanbieter keine Sicherheitsupdates mehr erh\u00e4lt; Live-Patching hebt diese Grenze nicht auf.","ref":""},{"kind":"citation","text":"","ref":"S2"},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Historische Herstellerhinweise zu \u00e4lteren Komponentenst\u00e4nden d\u00fcrfen nicht als dauerhafte Versionsvorgabe gelesen werden. Ein Hinweis aus Dezember 2025 betraf unter anderem KernelCare-Agent 3.x und ePortal 2.20 im Kontext eines neuen signierten Patchformats. Vor Aktualisierungen pr\u00fcfst du deshalb die aktuelle ","ref":""},{"kind":"strong","text":"Kompatibilit\u00e4tsmatrix","ref":""},{"kind":"text","text":", die tats\u00e4chlich installierten Versionen und die intern freigegebene Update-Reihenfolge.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Im Cache-Modus kann ein Cache-Miss bei eingeschr\u00e4nktem externem Zugang den Patchbezug verz\u00f6gern, weil die ben\u00f6tigte Bin\u00e4rdatei noch nicht lokal liegt. Das ist kein Beleg f\u00fcr einen vollst\u00e4ndig isolierten Betrieb. Lege f\u00fcr restriktive Zonen fest, welche Verbindungen zul\u00e4ssig sind, wie fehlende Archive transferiert werden und wer Freigabe, Integrit\u00e4t und Zeitpunkt dieses Transfers verantwortet.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein weiteres Fehlerbild ist ein unerwartet breiter Rollout nach dem ersten Download von Patcharchiven auf einer neuen Instanz. Da die erstmals geladenen Archive f\u00fcr die Verz\u00f6gerungslogik gleichzeitig neu erscheinen, sch\u00fctzt eine zuvor gesetzte Verz\u00f6gerung nicht zuverl\u00e4ssig vor einer gemeinsamen Bereitstellung. Halte automatische Feed-Aktualisierungen und produktive Schl\u00fcsselzuordnungen w\u00e4hrend der initialen Synchronisation zur\u00fcck, pr\u00fcfe den Erstbestand und aktiviere die produktiven Ringe erst danach kontrolliert.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Replikationsl\u00fccken nach l\u00e4ngerer Knotenunterbrechung und fehlerhafte Reverse-Proxies verlangen unterschiedliche Ma\u00dfnahmen: Erstere erfordern einen Abgleich des Knotenzustands, letztere eine Pr\u00fcfung von TLS, erlaubten Hostnamen sowie weitergereichten Headern. Beide F\u00e4lle geh\u00f6ren in Runbooks mit klarer Eskalation. Ein pauschaler Neustart behebt weder fehlende Daten noch eine unzutreffende Vertrauensgrenze.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"ePortal ist vor allem sinnvoll, wenn Patch-Ringe, lokale Verteilung, kontrollierte Netzausg\u00e4nge oder pr\u00fcfbare Freigaben tats\u00e4chlich gefordert sind. F\u00fcr einen kleinen, homogenen und internetf\u00e4higen Serverbestand bleibt der direkte Bezug \u00fcber die TuxCare-Infrastruktur oft einfacher. Die Entscheidung sollte daher den zus\u00e4tzlichen Betriebsaufwand gegen konkrete Steuerungs- und Nachweispflichten abw\u00e4gen, nicht allein gegen die Zahl der Server.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]}]},"_wh_make_word_report":{"words":2744,"min":2000,"max":3000,"target":2500,"ok":true,"missing":0,"excess":0,"lead_words":58,"section_words":{"grundlagen":198,"begriffe":192,"einsatz":239,"modelle":434,"rollout":378,"zugang":309,"hochverfuegbarkeit":317,"kontrollen":299,"stoerungen":320}},"_wh_make_review":{"verdict":"pass","issues":[],"checked_source_ids":["S1","S2","S3","S4"],"summary":"Der Artikel ist fachlich plausibel und durch die gepr\u00fcften Herstellerquellen gest\u00fctzt. Produktrollen und Entwicklungszweige werden sauber getrennt: KernelCare, LibCare und ePortal werden nicht vermischt; Stable, Testing und Unstable sind angemessen eingeordnet. Die Angaben zu Speicher, IOPS, Cache-Dauer, Feed-Verz\u00f6gerung, initialer Synchronisation, Registrierungsschl\u00fcsseln, API-Keys, Replikation, TLS, Backups und Versionshinweis stimmen mit der aktuellen Dokumentation \u00fcberein. Skalierungswerte werden korrekt als Herstellerorientierung statt als Garantie behandelt. Codebeispiel, Tabellen und Bildkonzepte enthalten keine erkennbar irref\u00fchrenden Aussagen oder Topologien. Es werden keine eigenen Messungen oder praktischen Tests vorget\u00e4uscht."},"_wh_make_review_doc_hash":"3c5fb7e274074ddb403626b18150c23cdfc046e64dfe8429a7f44a0b8ed0a039","_yoast_wpseo_primary_category":null,"rank_math_schema_blogposting":null,"rank_math_schema_videoobject":null,"_oembed_049c719bc4a9f89deaead66a7da9fddc":null,"_oembed_time_049c719bc4a9f89deaead66a7da9fddc":null,"_yoast_wpseo_focuskw":null,"inline_featured_image":null,"_yoast_wpseo_linkdex":null,"_eael_widget_elements":null,"_oembed_c3b0f6959478faf92a1f343d8f96b19e":null,"_oembed_27e3473bf8bec795fbeb3a9d38489348":null,"_trp_translated_slug_en_us":null,"_yoast_wpseo_title":null,"tldname":null,"tldpreis":null,"tldrubrik":null,"tldpolicylink":null,"tldsize":null,"tldregistrierungsdauer":null,"tldtransfer":null,"tldwhoisprivacy":null,"tldregistrarchange":null,"tldregistrantchange":null,"tldwhoisupdate":null,"tldnameserverupdate":null,"tlddeletesofort":null,"tlddeleteexpire":null,"tldumlaute":null,"tldrestore":null,"tldsubcategory":null,"tldbildname":null,"tldbildurl":null,"tldclean":null,"tldcategory":null,"tldpolicy":null,"tldbesonderheiten":null,"tld_bedeutung":null,"_oembed_d167040d816d8f94c072940c8009f5f8":null,"_oembed_b0a0fa59ef14f8870da2c63f2027d064":null,"_oembed_4792fa4dfb2a8f09ab950a73b7f313ba":null,"_oembed_33ceb1fe54a8ab775d9410abf699878d":null,"_oembed_fd7014d14d919b45ec004937c0db9335":null,"_oembed_21a029d076783ec3e8042698c351bd7e":null,"_oembed_be5ea8a0c7b18e658f08cc571a909452":null,"_oembed_a9ca7a298b19f9b48ec5914e010294d2":null,"_oembed_f8db6b27d08a2bb1f920e7647808899a":null,"_oembed_168ebde5096e77d8a89326519af9e022":null,"_oembed_cdb76f1b345b42743edfe25481b6f98f":null,"_oembed_87b0613611ae54e86e8864265404b0a1":null,"_oembed_27aa0e5cf3f1bb4bc416a4641a5ac273":null,"_oembed_time_27aa0e5cf3f1bb4bc416a4641a5ac273":null,"_tldname":null,"_tldclean":null,"_tldpreis":null,"_tldcategory":null,"_tldsubcategory":null,"_tldpolicy":null,"_tldpolicylink":null,"_tldsize":null,"_tldregistrierungsdauer":null,"_tldtransfer":null,"_tldwhoisprivacy":null,"_tldregistrarchange":null,"_tldregistrantchange":null,"_tldwhoisupdate":null,"_tldnameserverupdate":null,"_tlddeletesofort":null,"_tlddeleteexpire":null,"_tldumlaute":null,"_tldrestore":null,"_tldbildname":null,"_tldbildurl":null,"_tld_bedeutung":null,"_tldbesonderheiten":null,"_oembed_8357e2b8a2575c74ed5978f262a10126":null,"_oembed_ad96e4112edb9f8ffa35731d4098bc6b":null,"_oembed_3d5fea5103dd0d22ec5d6a33eff7f863":null,"_oembed_819a879e7da16dd629cfd15a97334c8a":null,"_oembed_time_819a879e7da16dd629cfd15a97334c8a":null,"_wh_make_writer_raw":null,"_wh_make_design_backup_204":null,"_wp_desired_post_slug":null,"_oembed_0d8a206f09633e3d62b95a15a4dd0487":null,"_oembed_time_0d8a206f09633e3d62b95a15a4dd0487":null,"_aioseo_description":null,"_eb_attr":null,"_eb_data_table":null,"_acf_changed":null,"_wpcode_auto_insert":null,"_edit_last":"1","_edit_lock":"1790251829:1","_oembed_e7b913c6c84084ed9702cb4feb012ddd":null,"_oembed_bfde9e10f59a17b85fc8917fa7edf782":null,"_oembed_time_bfde9e10f59a17b85fc8917fa7edf782":null,"_oembed_03514b67990db061d7c4672de26dc514":null,"_oembed_time_03514b67990db061d7c4672de26dc514":null,"rank_math_news_sitemap_robots":null,"rank_math_robots":null,"_eael_post_view_count":"90","_trp_automatically_translated_slug_ru_ru":null,"_trp_automatically_translated_slug_et":null,"_trp_automatically_translated_slug_lv":null,"_trp_automatically_translated_slug_fr_fr":null,"_trp_automatically_translated_slug_en_us":null,"_wp_old_slug":null,"_trp_automatically_translated_slug_da_dk":null,"_trp_automatically_translated_slug_pl_pl":null,"_trp_automatically_translated_slug_es_es":null,"_trp_automatically_translated_slug_hu_hu":null,"_trp_automatically_translated_slug_fi":null,"_trp_automatically_translated_slug_ja":null,"_trp_automatically_translated_slug_lt_lt":null,"_elementor_edit_mode":null,"_elementor_template_type":null,"_elementor_version":null,"_elementor_pro_version":null,"_wp_page_template":null,"_elementor_page_settings":null,"_elementor_data":null,"_elementor_css":null,"_elementor_conditions":null,"_happyaddons_elements_cache":null,"_oembed_75446120c39305f0da0ccd147f6de9cb":null,"_oembed_time_75446120c39305f0da0ccd147f6de9cb":null,"_oembed_3efb2c3e76a18143e7207993a2a6939a":null,"_oembed_time_3efb2c3e76a18143e7207993a2a6939a":null,"_oembed_59808117857ddf57e478a31d79f76e4d":null,"_oembed_time_59808117857ddf57e478a31d79f76e4d":null,"_oembed_965c5b49aa8d22ce37dfb3bde0268600":null,"_oembed_time_965c5b49aa8d22ce37dfb3bde0268600":null,"_oembed_81002f7ee3604f645db4ebcfd1912acf":null,"_oembed_time_81002f7ee3604f645db4ebcfd1912acf":null,"_elementor_screenshot":null,"_oembed_7ea3429961cf98fa85da9747683af827":null,"_oembed_time_7ea3429961cf98fa85da9747683af827":null,"_elementor_controls_usage":null,"_elementor_page_assets":[],"_elementor_screenshot_failed":null,"theplus_transient_widgets":null,"_eael_custom_js":null,"_wp_old_date":null,"_trp_automatically_translated_slug_it_it":null,"_trp_automatically_translated_slug_pt_pt":null,"_trp_automatically_translated_slug_zh_cn":null,"_trp_automatically_translated_slug_nl_nl":null,"_trp_automatically_translated_slug_pt_br":null,"_trp_automatically_translated_slug_sv_se":null,"rank_math_analytic_object_id":null,"_trp_automatically_translated_slug_ro_ro":null,"_trp_automatically_translated_slug_sk_sk":null,"_trp_automatically_translated_slug_bg_bg":null,"_trp_automatically_translated_slug_sl_si":null,"litespeed_vpi_list":null,"litespeed_vpi_list_mobile":null,"rank_math_seo_score":"78","rank_math_contentai_score":null,"ilj_limitincominglinks":"","ilj_maxincominglinks":"1","ilj_limitoutgoinglinks":"","ilj_maxoutgoinglinks":"1","ilj_limitlinksperparagraph":"","ilj_linksperparagraph":"1","ilj_blacklistdefinition":[],"ilj_linkdefinition":[],"_eb_reusable_block_ids":null,"rank_math_focus_keyword":"KernelCare ePortal","rank_math_og_content_image":null,"surfer_last_post_update":null,"surfer_last_post_update_direction":null,"surfer_keywords":null,"surfer_location":null,"surfer_draft_id":null,"surfer_permalink_hash":null,"surfer_scrape_ready":null,"_thumbnail_id":"21693","_yoast_wpseo_metadesc":null,"_yoast_wpseo_content_score":null,"_yoast_wpseo_focuskeywords":null,"_yoast_wpseo_keywordsynonyms":null,"_yoast_wpseo_estimated-reading-time-minutes":null,"rank_math_description":"KernelCare ePortal f\u00fcr gro\u00dfe Hosting-Flotten: Patch-Ringe, Mirror- und Cache-Modus, Hochverf\u00fcgbarkeit, TLS, Monitoring und Betriebsgrenzen.","footnotes":null,"_links":{"self":[{"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/posts\/21684","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/comments?post=21684"}],"version-history":[{"count":7,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/posts\/21684\/revisions"}],"predecessor-version":[{"id":21698,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/posts\/21684\/revisions\/21698"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/media\/21693"}],"wp:attachment":[{"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/media?parent=21684"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/categories?post=21684"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/tags?post=21684"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}