CentOS migreren naar AlmaLinux of Rocky Linux: stappenplan en valkuilen

CentOS 7 end of life: waarom je nu moet migreren

Het CentOS 7 end of life-moment is al verstreken: op 30 juni 2024 stopten de updates. Sindsdien verschijnen er geen beveiligingspatches meer voor de kernel, OpenSSL, OpenSSH, Apache, nginx of welk pakket dan ook uit de officiële repositories. Elke nieuwe kwetsbaarheid blijft dus open staan.

Voor CentOS 8 gold hetzelfde al veel eerder. Die versie werd al eind 2021 stopgezet, toen het CentOS-project besloot zich te richten op CentOS Stream. Veel bedrijven hebben daardoor nog oude machines draaien waar niemand meer naar omkijkt.

De concrete risico's van onondersteunde software

• Beveiliging: bekende kwetsbaarheden worden niet meer gepatcht. Aanvallers scannen actief op verouderde systemen.
• Compliance: voor ISO 27001, NEN 7510, NIS2 of klanteisen is software zonder ondersteuning vaak een bevinding bij een audit.
• Verzekering: sommige cyberverzekeraars stellen eisen aan patchbeleid. Een incident op een EOL-systeem kan de dekking onder druk zetten.
• Praktische problemen: de standaard repositories (mirrorlist) van CentOS 7 werken niet meer zoals vroeger. Wie yum update draait, krijgt vaak foutmeldingen, en pakketten zijn alleen nog via vault.centos.org te vinden.
• Software-ondersteuning: leveranciers van applicaties, databases en control panels laten oudere besturingssystemen steeds vaker vallen.

Wil je weten wat je moet doen als het toch misgaat? Lees dan ons stappenplan Linux server gehackt: wat nu?. Beter nog: zorg dat het niet zover komt.

CentOS 7 vervangen: welke opties heb je?

Als je CentOS 7 wilt vervangen, zijn er grofweg vier routes. De juiste keuze hangt af van budget, de eisen van je software en hoeveel je wilt veranderen.

1. AlmaLinux: gratis, binair compatibel met RHEL, beheerd door de AlmaLinux OS Foundation.
2. Rocky Linux: gratis, ook RHEL-compatibel, opgezet door Gregory Kurtzer (een van de oprichters van CentOS) en beheerd via de RESF.
3. Red Hat Enterprise Linux (RHEL): betaalde abonnementen met ondersteuning van de leverancier zelf.
4. Een andere familie (Debian, Ubuntu LTS): kan prima, maar je verlaat dan yum/dnf en SELinux-gewoontes. Dat is een grotere verhuizing.

Een korte opmerking over CentOS Stream: dat is geen directe opvolger voor stabiele productieservers. Stream loopt vooruit op RHEL en kent geen vaste puntreleases. Voor een webshop of bedrijfsapplicatie wil je doorgaans iets voorspelbaarders.

AlmaLinux vs Rocky Linux vs RHEL: de vergelijking

De vraag AlmaLinux vs Rocky Linux komt in vrijwel elk migratietraject terug. Het eerlijke antwoord: voor 95% van de gebruikssituaties zijn ze inwisselbaar. Beide bouwen op dezelfde broncode als RHEL en leveren dezelfde pakketten, dezelfde dnf-workflow en dezelfde SELinux-configuratie.

Welke kies je?

• Kies AlmaLinux als je wilt aansluiten bij het project dat de meeste aandacht aan ELevate besteedt, of als je een non-profit-governance belangrijk vindt.
• Kies Rocky Linux als je al ervaring hebt met het ecosysteem eromheen of als je klanten of leveranciers er expliciet om vragen.
• Kies RHEL als je contractuele support van de fabrikant nodig hebt, bijvoorbeeld voor gecertificeerde software of strenge audits.

Controleer vóór de definitieve keuze altijd welke versie je applicatieleverancier officieel ondersteunt. Dat is een stuk belangrijker dan de naam op de installatie-iso. Check ook de hardware-eisen van de nieuwste release (versie 10 vraagt een recentere processorgeneratie dan versie 9), want op oudere servers of VM-configuraties is versie 9 dan de realistische keuze.

In-place migratie met ELevate of een schone herinstallatie?

Dit is de belangrijkste afweging. Bij CentOS naar Rocky Linux of AlmaLinux heb je twee fundamenteel verschillende routes.

Een goede vuistregel: heb je een relatief standaard server (webserver, mailrelay, kleine database) zonder gekke dingen, dan is ELevate een prima kandidaat. Draait er een legacy-applicatie met eigen kernelmodules, handmatig gecompileerde software of een hoop zelfgemaakte scripts, dan loont een herinstallatie meestal beter.

Stappenplan: CentOS 7 upgraden met de ELevate-tool

De ELevate-tool is een project van AlmaLinux (in samenwerking met onder meer CloudLinux) dat op Leapp van Red Hat voortbouwt. Je kunt ermee van CentOS 7 naar AlmaLinux, Rocky Linux, RHEL of Oracle Linux 8 gaan, en daarna verder naar 9. Zie het als een sprong in twee of meer stappen, niet in één keer.

Stap 1: Voorbereiding

1. Maak een volledige back-up en test of je die kunt terugzetten. Bij een VM: maak een snapshot.
2. Inventariseer wat er draait: services, cronjobs, handmatig geïnstalleerde pakketten en repositories van derden.
3. Zorg voor out-of-band toegang (console, IPMI of hypervisor). Mocht de server na de reboot niet terugkomen, dan heb je dat nodig.
4. Herstel de repositories van CentOS 7 zodat yum weer werkt (verwijs naar de vault) en werk het systeem volledig bij.

Stap 2: ELevate installeren en preupgrade draaien

De stappen zien er in grote lijnen zo uit (controleer altijd de actuele documentatie op wiki.almalinux.org/elevate, want URL's en pakketnamen wijzigen):

# ELevate-repository en Leapp installeren
sudo yum install -y http://repo.almalinux.org/elevate/elevate-release-latest-el7.noarch.rpm
sudo yum install -y leapp-upgrade leapp-data-almalinux

# Alleen analyseren, nog niets wijzigen
sudo leapp preupgrade

# Rapport doorlezen
less /var/log/leapp/leapp-report.txt

Het rapport toont inhibitors: problemen die de upgrade blokkeren. Veelvoorkomende zijn de pam_pkcs11-module, een SSH-configuratie die root-login met wachtwoord afwijst, of ontbrekende bevestigingen via leapp answer. Los ze één voor één op en draai preupgrade opnieuw tot het rapport schoon is.

Stap 3: De upgrade uitvoeren

sudo leapp upgrade
sudo reboot

De server start op in een tijdelijke upgrade-omgeving, werkt de pakketten bij en herstart daarna zelf in AlmaLinux 8. Reken op enkele tientallen minuten tot ruim een uur, afhankelijk van het aantal pakketten en de schijfsnelheid.

Stap 4: Valideren en doorpakken naar versie 9

1. Controleer met cat /etc/os-release en systemctl --failed of alles draait.
2. Test je applicaties inhoudelijk: een lopende service is niet hetzelfde als een werkende service.
3. Herhaal de procedure met de ELevate-pakketten voor versie 8 naar 9. Versie 8 krijgt nog maar beperkte levensduur, dus blijf er niet te lang op hangen.

Draai je al CentOS 8 of Stream 8? Dan is er een eenvoudigere route: met almalinux-deploy of migrate2rocky converteer je het systeem naar dezelfde major-versie, zonder dat je eerst een upgrade nodig hebt.

Schone herinstallatie: de aanpak in vogelvlucht

Kies je voor de schone route, dan bouw je een nieuwe server (of VM) naast de oude. Dat geeft je de vrijheid om de configuratie meteen netjes vast te leggen.

1. Installeer AlmaLinux of Rocky Linux in de gewenste versie op een nieuwe machine.
2. Leg de configuratie vast in Ansible of een vergelijkbare tool, zodat de volgende migratie veel minder werk kost.
3. Verhuis applicaties en data: databases via dump of replicatie, bestanden met rsync.
4. Test grondig met een kopie van productiedata en een tijdelijke hosts-entry.
5. Schakel over via DNS of een IP-wissel en houd de oude server enkele weken als terugvaloptie.

Het grote voordeel: je kunt zonder risico oefenen en de oude machine blijft intact tot je zeker bent. Het nadeel: het kost doorgaans meer uren, zeker als de documentatie van de oude server ontbreekt.

De meest voorkomende valkuilen bij een CentOS-migratie

Dit zijn de problemen die we in de praktijk het vaakst tegenkomen:

• Geen back-up die getest is. Een back-up die je nooit hebt teruggezet, is een aanname.
• Python 2 en oude scripts. CentOS 7 had Python 2 als standaard. Nieuwere versies niet, dus oude beheerscripts kunnen stuk gaan.
• Pakketten van derden. Repositories voor bijvoorbeeld PHP (Remi), MariaDB of control panels hebben vaak een aparte route naar de nieuwe versie.
• Databaseversies. MySQL 5.x/MariaDB 5.5 uit CentOS 7 springt bij upgrade naar een veel nieuwere versie. Plan een aparte database-upgrade en test de queries.
• Firewall-wijzigingen. CentOS 7 gebruikte meestal iptables; nieuwere versies werken met nftables achter firewalld. Regels verdwijnen of gedragen zich anders.
• SELinux en custom paden. Applicaties op afwijkende locaties krijgen na de upgrade ineens AVC-denials.
• Boot-, bootloader- en RAID-problemen. Een server die niet meer opstart na de reboot is de nachtmerrie bij in-place upgrades. Daarom is toegang tot de console zo belangrijk. Zie ook Linux server start niet meer op.
• Geen terugvalplan. Bepaal vooraf bij welk punt je afbreekt en terugdraait.

Migratiechecklist CentOS naar AlmaLinux of Rocky

Loop deze lijst af voordat je begint, en tijdens de uitvoering:

Wat als je nog niet kunt migreren?

Soms kan een migratie niet meteen: de applicatie is niet compatibel, er is geen budget of er is geen onderhoudsvenster. Dan gaat het om risicobeperking, niet om uitstel zonder maatregelen.

• Isoleer de server met firewallregels en toegang alleen via een VPN of bastion host.
• Schakel onnodige diensten uit en verklein het aanvalsoppervlak.
• Monitor extra scherp op ongewone logins, processen en uitgaand verkeer.
• Overweeg betaalde extended support van een derde partij als je tijd nodig hebt. Dat is een tussenoplossing, geen eindoplossing.
• Plan een einddatum en leg die vast. Tijdelijke maatregelen worden anders vaak permanent.

Wil je dit niet alleen oplossen? Bekijk dan onze SLA as a Service, waarin we je Linux-omgeving periodiek controleren en actief beheren. En twijfel je of je beter hulp inhuurt of het zelf doet, lees dan Linux hulp inhuren: wanneer betaalde support loont.

Wanneer is externe migratiehulp verstandig?

Zelf migreren is prima bij een enkele, overzichtelijke server. Externe hulp wordt interessant als:

• je meerdere servers hebt en een consistente aanpak wilt;
• de server kritiek is en downtime geld kost;
• je intern niemand hebt met diepgaande Linux-ervaring;
• er verouderde of ongedocumenteerde software op draait;
• je een deadline hebt vanuit een audit of klant.

Bij LinuxHulp.nl bundelen we meer dan 30 jaar gecombineerde ervaring met vrijwel alle Linux-distributies. We beginnen met een gratis intake, bepalen samen of in-place of herinstallatie past, en leveren een duidelijk plan met risico's en tijdsinschatting. Zit je midden in een acuut probleem? Dan helpt onze spoedhulp bij incidenten direct. Voor een indicatie van kosten kijk je op onze prijzenpagina.