Migrare a nftables prima che iptables-legacy sparisca da Debian
A novembre 2025 il kernel team di Debian ha messo nero su bianco il piano: le interfacce legacy di iptables sono deprecate e disabilitate di default nel kernel, i binari spariranno con Debian 14 forky, e dopo forky se ne andrà anche il supporto kernel. Se il tuo firewall vive in uno script iptables scritto dieci anni fa il conto alla rovescia è già partito, e capire se sei a rischio richiede meno di un minuto. Continua a leggere
Ultima modifica:
Il monitoraggio commerciale di un singolo VPS costa spesso più del VPS, esegue un agent con privilegi elevati sulla tua macchina e spedisce i tuoi dati operativi a un servizio terzo. Per un parco piccolo esiste un'alternativa che i tutorial ignorano, ed è fatta con gli strumenti che il sistema ha già: systemd OnFailure, i timer, sysstat, vnstat e una mail che parte solo quando serve. Sette controlli coprono quello che conta, senza canone e senza dati fuori. 
La connessione che cade, l'OOM killer, un riavvio maldestro: l'upgrade si interrompe a metà e da quel momento ogni comando apt risponde che dpkg è stato interrotto e va riconfigurato a mano. Il sistema funziona ma non si aggiorna più, e ogni tentativo produce un errore diverso dal precedente. La buona notizia è che un Debian interrotto a metà upgrade si ripara quasi sempre senza reinstallare niente, dal caso banale fino al database di dpkg corrotto. 
Con systemd 259 il default dello storage del journal è passato da auto a persistent, e la directory /var/log/journal si crea da sola: i log finiscono su disco sempre, anche dove prima vivevano in RAM e sparivano al riavvio. Con i limiti di fabbrica, su un VPS piccolo, significa fino a 4 GB mangiati in silenzio. Capire in che regime sei richiede un comando, mettere un tetto tre righe di configurazione, e poi resta da decidere dove i log meritano davvero di vivere. 
Una partizione /boot da 256 MB, tre kernel accumulati, un initrd cresciuto negli anni fino a 80 MB, e l'aggiornamento del kernel muore a metà con No space left on device: dpkg resta in stato incoerente e ogni comando apt da lì in poi fallisce. Lo stallo ha una via d'uscita ordinata che non passa dalla reinstallazione, a patto di liberare spazio senza toccare dpkg, completare la configurazione e rimuovere i kernel vecchi nell'ordine giusto. 
Un major upgrade eseguito via SSH ha una proprietà che nessun altro intervento sistemistico condivide: lo strumento con cui lavori è anche la prima cosa che rischi di rompere. La connessione che cade a metà di un dpkg, il prompt su sshd_config accettato di fretta, il firewall che riparte male, ognuno di questi errori ha già chiuso qualcuno fuori dalla propria macchina. La sequenza che uso per portare un VPS da bookworm a trixie li mette in conto tutti e tre. 
Un Raspberry Pi 5 da 16 GB costava 120 dollari a novembre 2025; ad aprile 2026 ne costa 305, dopo tre rincari in cinque mesi. Le GPU consumer sono salite fino al 39% in un'estate e i listini dei VPS si sono mossi nella stessa direzione. Non sono tre storie separate ma una sola, e comincia nelle fab di memoria che hanno spostato capacità produttiva verso l'HBM per gli acceleratori AI. Quanto durerà lo dicono i produttori, e intanto qualche regola di acquisto aiuta a non farsi male. 
Due CVE del kernel Linux sono entrate nel catalogo delle vulnerabilità attivamente sfruttate della CISA nel 2026, e altre tre hanno exploit pubblici funzionanti. Su un VPS la parola locale non significa che serve accesso fisico: significa che il processo web compromesso ieri diventa root oggi. Sono cinque, contano tutte per un server Debian o Ubuntu, e quattro su cinque si chiudono con quel riavvio che stai rimandando da settimane. 
L'upgrade a Debian 13 è andato liscio, i servizi sono ripartiti, e giorni dopo il backup notturno muore con No space left on device mentre il disco è mezzo vuoto. Non è un guasto, è un cambio di default: da trixie /tmp vive in RAM come tmpfs, con un tetto pari a metà della memoria, e il primo processo che se ne accorge è quello che ci scrive dentro gigabyte. La catena spiega anche perché esplode sempre di notte, e porta a tre correzioni sensate più quella che tutti provano per prima. 
Il passaggio di Debian 12 in LTS è avvenuto senza banner né avvisi: apt continua a funzionare, gli aggiornamenti arrivano, e proprio per questo quasi nessuno si è accorto che a mantenerli non è più il security team ufficiale. Vale la pena sapere cosa copre davvero il supporto fino a giugno 2028, quali pacchetti ne restano fuori, cosa significa per le immagini debian:12 nelle pipeline, e quali cinque comandi raccontano in che situazione è il tuo VPS.