Внутреннее устройство dpkg

dpkg — движок; apt — front-end. dpkg управляет локальной базой пакетов и устанавливает/удаляет файлы. Он ничего не знает о репозиториях, зеркалах или разрешении зависимостей через ещё не скачанные пакеты. apt добавляет эти слои сверху: получает индексы, разрешает полный граф зависимостей, скачивает .deb-файлы и затем передаёт их dpkg в правильном порядке.

# Установка без apt — только dpkg
# (все зависимости уже должны быть установлены; dpkg откажет, если нет)
sudo dpkg -i ./mypackage_1.2.3_amd64.deb

# Ошибка dpkg -i при отсутствии зависимости:
# dpkg: dependency problems prevent configuration of mypackage:
#  mypackage depends on libfoo3 (>= 3.1); libfoo3 is not installed.
# Используй apt для разрешения: sudo apt -f install

apt -f install («fix broken») говорит apt просмотреть текущее состояние dpkg, найти недостающие зависимости, скачать их из репозитория и снова передать всё dpkg для завершения конфигурации. Это правильный путь восстановления после частичной установки.

База dpkg находится в /var/lib/dpkg/ и хранится в виде обычного текста. Самые важные файлы:

# Файл статуса — одна запись на каждый установленный/известный пакет
cat /var/lib/dpkg/status | head -40

# Директория info/ — метаданные и скрипты мейнтейнера для каждого пакета
ls /var/lib/dpkg/info/nginx.list       # список всех файлов, установленных nginx
cat /var/lib/dpkg/info/nginx.postinst  # post-install скрипт (запускается после распаковки)

# Запросить базу: список установленных пакетов
dpkg -l                    # все установленные пакеты
dpkg -l 'nginx*'           # фильтрация по шаблону
dpkg -l | grep '^ii'       # только полностью установленные (ii = installed)

Префикс статуса в выводе dpkg -l — две буквы: первая — желаемое состояние (i=install, r=remove, p=purge), вторая — текущее состояние (i=installed, c=config-files only, H=half-installed). Строка, начинающаяся с iH, означает: dpkg пытался установить, но был прерван до завершения конфигурации.

Архив .deb — это ar-архив, содержащий три элемента. Можно изучить без установки:

# Изучить .deb без установки
ar t nginx_1.18.0-6ubuntu14_amd64.deb
# Вывод:
#   debian-binary    ← "2.0\n" — маркер версии формата
#   control.tar.xz  ← метаданные, зависимости, скрипты мейнтейнера
#   data.tar.xz     ← реальное дерево файловой системы для распаковки

# Извлечь и изучить control.tar
ar x nginx_1.18.0-6ubuntu14_amd64.deb control.tar.xz
tar --list -f control.tar.xz
# ./control        ← имя пакета, версия, архитектура, зависимости
# ./conffiles      ← список конфиг-файлов, переживающих purge
# ./preinst        ← запускается ДО распаковки
# ./postinst       ← запускается ПОСЛЕ распаковки (обычно запускает сервис)
# ./prerm          ← запускается ДО удаления
# ./postrm         ← запускается ПОСЛЕ удаления

Скрипты мейнтейнера (pre/post install/remove) — shell-скрипты, выполняемые от root. Именно поэтому важна подлинность пакетов (подпись GPG) — вредоносный postinst в подделанном пакете выполняет произвольный код с правами root во время установки.

dpkg -L и dpkg -S позволяют ориентироваться в графе владельцев. Это два наиболее полезных запроса dpkg при расследовании инцидентов:

# Список всех файлов, установленных пакетом
dpkg -L nginx
# /usr/sbin/nginx
# /etc/nginx/nginx.conf
# /lib/systemd/system/nginx.service
# ...

# Найти пакет-владелец файла
dpkg -S /usr/sbin/nginx
# nginx: /usr/sbin/nginx

# Проверить, принадлежит ли файл какому-либо пакету
dpkg -S /etc/nginx/nginx.conf.bak
# dpkg-query: no path found matching pattern /etc/nginx/nginx.conf.bak
# (создан оператором, не пакетом — безопасно редактировать или удалять)

# Проверить целостность пакета: сравнить файлы с ожидаемыми контрольными суммами
dpkg -V nginx
# (нет вывода = все файлы совпадают; отличия выводятся по каждому файлу)

dpkg -V вычисляет md5-суммы каждого файла из манифеста пакета и сравнивает с тем, что на диске. Изменённый конфиг-файл будет обнаружен — полезно для выявления несанкционированных изменений системных файлов.

Состояние half-configured — самая распространённая аварийная ситуация с dpkg. Возникает, когда установка прервана после распаковки, но до завершения скрипта postinst. Пакет на диске есть, но dpkg не зарегистрировал его как полностью настроенный.

# Симптомы — любая команда apt завершается ошибкой:
# E: dpkg was interrupted, you must manually run:
#      sudo dpkg --configure -a

# Исправление: сказать dpkg завершить конфигурацию всего прерванного
sudo dpkg --configure -a

# Если сам postinst завершается с ошибкой (например, сервис не запускается):
sudo dpkg --configure -a --force-confdef --force-confnew

# Крайняя мера: удалить наполовину установленный пакет и начать заново
sudo dpkg --remove --force-remove-reinstreq badpackage
sudo apt install badpackage   # заново скачать и установить

Флаг --force-remove-reinstreq удаляет пакет, даже если dpkg считает его в состоянии reinstreq (требуется переустановка). Используй его только когда --configure -a не помогает — он может оставить файлы на диске, которые нужно убирать вручную.