Главная on Lead DevOps

исправление утечек памяти в python-сервисах: диагностика и сбор дампов

Sun, 04 Oct 2026 00:00:00 +0000

Python-сервисы под нагрузкой могут silently расходовывать память до hitting cgroup limit и OOM-kill. Без систематического сбора дампов и интроспекции root-cause hunt превращается в перебор гипотез. Ниже — проверенный набор команд и скриптов для диагностики, сбора хит-дампов и устранения типичных утечек.

1. Команды диагностики потребления памяти

Базовый уровень — psutil. Устанавливается одной строкой и работает без перезапуска процесса.

pip install psutil

Текущее потребление текущего процесса:

Лучшие практики SSH-ключей

Thu, 01 Oct 2026 00:00:00 +0000

SSH-ключи являются де-факто стандартом аутентификации в инфраструктуре, но их неправильное управление превращает каждый деплой в потенциальную уязвимость. В этой заметке собраны проверенные практики: от генерации ключей до их отзыва и ротации без простоя сервисов.

Введение

SSH-ключи работают как долгосрочные учетные данные, и их lifecycle напрямую влияет на безопасность всей цепочки поставок. В отличие от паролей, ключи часто создаются один раз и забываются, что приводит накоплению «зомби-ключей» с правами, выходящими за рамки текущих нужд. Правильная генерация, привязка к агенту и регулярная ротация минимизируют атакучную поверхность и обеспечивают аудит изменений. В следующих разделах описаны конкретные команды и конфигурации, используемые в эксплуатации.

kubectl cheatsheet: основные команды для работы с Kubernetes

Thu, 24 Sep 2026 00:00:00 +0000

kubectl — основной инструмент взаимодействия с Kubernetes-кластером. Ниже собрана шпаргалка по рутинным операциям: от настройки контекста до отладки подов и переключения между namespace. Все команды проверены на актуальных версиях kubectl (1.28+).

Установка и настройка контекста

Установка зависит от ОС. На Linux через пакетный менеджер или бинарник:

curl -LO "https://dl.k8s.io/release/$(curl -L -s https://dl.k8s.io/release/stable.txt)/bin/linux/amd64/kubectl"
chmod +x kubectl && sudo mv kubectl /usr/local/bin/
kubectl version --client

Конфигурация хранится в ~/.kube/config. Контекст определяет кластер, пользователя и namespace по умолчанию.

Git Tag: разметка релизов и закладки в истории

Wed, 23 Sep 2026 00:00:00 +0000

Git Tag: разметка релизов и закладки в истории

Теги — это механизм Git для присвоения осмысленных меток конкретным коммитам. В отличие от веток, теги не двигаются: они зафиксированы в точке коммита и служат якорями для релизов, версий и важных контрольных точек. Без тегов релизная история превращается в поиск по хешам — и это прямой путь к ошибкам деплоя.

Типы тегов: lightweight vs annotated

Существует два типа тегов. Lightweight — это просто имя, привязанное к коммиту, без дополнительных метаданных. Annotated — полноценный объект Git с автором, датой, сообщением и возможностью подписи.

Создание пользователя, роли в Kubernetes и их связка через RBAC

Wed, 23 Sep 2026 00:00:00 +0000

В Kubernetes нет отдельных «пользователей» в классическом смысле — есть ServiceAccount’ы и сертификаты, привязанные к ролям через RBAC. Без правильной настройки любой, у кого есть kubeconfig, получает доступ ко всему кластеру. Ниже — полный цикл: создаём ServiceAccount, определяем права, привязываем и проверяем.

Создание ServiceAccount и генерация kubeconfig

Сначала создаём ServiceAccount в нужном namespace:

kubectl create serviceaccount devops-sa -n staging

Для генерации kubeconfig берём токен из secrets и формируем файл:

Git hook post-receive для деплоя на сервере

Sat, 19 Sep 2026 00:00:00 +0000

Деплой через CI — это хорошо, но иногда нужно просто закинуть код на сервер одним git push. post-receive hook в bare-репозитории решает эту задачу без лишних зависимостей: пушитшь на сервер — хук автоматически вытягивает файлы в рабочую директорию.

Схема: bare repo как деплой-триггер

Логика простая:

На сервере создаётся bare-репозиторий (например, /srv/deploy/app.git).
Разработчик добавляет его как remote и делает git push origin main.
Git принимает данные и запускает hooks/post-receive.
Скрипт хука делает git --work-tree=/var/www/app --git-dir=/srv/deploy/app.git checkout -f main.

Примечание

Bare-репозиторий не содержит рабочей директории. Именно поэтому в post-receive нужно явно указывать --work-tree, чтобы checkout знал, куда записать файлы.

ulimit и systemd LimitNOFILE — почему ulimit -n в unit не живёт

Sat, 19 Sep 2026 00:00:00 +0000

Что такое nofile и где он живёт

nofile — максимальное количество открытых файловых дескрипторов на один процесс. Это не только обычные файлы, а сокеты, pipe, stdin/stdout/stderr, логи через journald — всё считается. Когда nginx или Go-приложение падает с too many open files, дело в этом лимите.

Лимиты живут на трёх уровнях:

Уровень	Где смотреть	Что контролирует
Ядро (системный)	`/proc/sys/fs/file-max`, `/proc/sys/fs/nr_open`	Абсолютный потолок по всей системе
PAM / login	`/etc/security/limits.conf`, `/etc/security/limits.d/`	Для сессий через `pam_limits.so`
systemd	`LimitNOFILE=` в unit, `DefaultLimitNOFILE=` в `system.conf`	Для сервисов, управляемых systemd

Примечание

/proc/sys/fs/nr_open — верхняя граница, до которой можно поднять nofile для одного процесса. По умолчанию обычно 1073741816 (≈1B), но на практике редко нужно больше 1048576.

coredumpctl: найти падение бинаря

Fri, 18 Sep 2026 00:00:00 +0000

Что такое coredumpctl и как он работает

Когда бинарь падает с SEGV, ядро может сохранить core dump — снимок памяти процесса в момент креша. В systemd-based дистрибутивах за сбор, хранение и поиск этих дампов отвечёт coredumpctl, обёртка над systemd-coredump. Он хранит дампы в /var/lib/systemd/coredump/ и индексирует метаданные через journald.

Примечание

Для работы нужен systemd-coredump и включённый journald. В минимальных контейнерах без systemd этот инструмент недоступен.

curl --resolve и SNI: проверка виртуального хоста без /etc/hosts

Fri, 18 Sep 2026 00:00:00 +0000

Когда нужно проверить виртуальный хост на конкретном IP, но править /etc/hosts нет желания — ни из-за прав, ни из-за конфликтов с другими сервисами — curl --resolve решает обе задачи: подменяет DNS-запись и корректно отправляет SNI в TLS-хендшейке.

Проблема: виртуальный хост без правки /etc/hosts

На одном IP может висеть десяток виртуальных хостов, и сервер выбирает нужный по Host-заголовке (HTTP/1.1) и по SNI (TLS). Если в /etc/hosts нет записи, curl сначала попробует резолвить имя через DNS — и получит не тот IP, или вовсе не получит ответ.

Docker logs и journald: выбор драйвера логирования

Fri, 18 Sep 2026 00:00:00 +0000

Когда контейнер падает, логи — первое, что нужно увидеть. docker logs выглядит просто, но под капотом работает разные драйверы логирования, и выбор влияет на то, как хранятся, вращаются и доступны логи. Вот что стоит знать перед тем, как доверять дефолту.

Как работает docker logs

Команда docker logs <container> читает поток stdout/stderr контейнера и выдаёт его в терминал. За этим стоит драйвер логирования — компонент, который определяет, куда именно пишутся данные. По умолчанию это json-file: каждый контейнер получает JSON-файл на хосте, в который записываются все строки вывода.

scp — передача файлов по SSH

Fri, 18 Sep 2026 00:00:00 +0000

scp — утилита для копирования файлов по SSH поверх протокола SSH. Работает из терминала, не требует настройки сервера сверху — достаточно работающего sshd и авторизации. В эпоху rsync и bat SCP живёт как простой инструмент для разовых передач, когда не хочется возиться с daemon-ами или конфигурацией.

Синтаксис и базовые сценарии

Общий вид:

scp [флаги] источник назначение

Источник и назначение могут быть локальными путями или remote-адресами в формате user@host:path.

Sudoers: NOPASSWD без дыр

Fri, 18 Sep 2026 00:00:00 +0000

Почему NOPASSWD + ALL — это не решение, а дыра

%admin ALL=(ALL) NOPASSWD: ALL — самая частая ошибка в sudoers. Пользователь получает неограниченный root-доступ без пароля. Любой скрипт, любая утилита, любая уязвимость в окружении пользователя становится прямым путём к полному контролю машины. NOPASSWD без ограничений по командам — это не удобство, это бэкдор в явном виде.

Правильный подход: разрешить конкретные команды через Cmnd_Alias и повесить NOPASSWD только на них. Тогда пользователь может перезапустить сервис, но не сможет читать /etc/shadow или запустить su.

ThinLinc: удалённый доступ к Linux-рабочим столам

Fri, 18 Sep 2026 00:00:00 +0000

ThinLinc: удалённый доступ к Linux-рабочим столам

В корпоративной среде удалённый доступ к Linux-рабочим столам часто сводится к VNC с нестабильным шифрованием или RDP-прокси, требующим костылей. ThinLinc от Cendio — это полноценное решение для удалённого доступа к Linux-десктопам, которое работает поверх VNC, поддерживает RDP-клиентов и предоставляет веб-интерфейс администрирования без лишней возни с сертификатами и файрволами.

Что такое ThinLinc

ThinLinc — сервер удалённого доступа к рабочим столам с архитектурой «сервер + клиенты». Сервер запускает сессии VNC на бэкенде, а клиенты подключаются через веб-браузер или нативные ThinLinc-клиенты. Протокол между клиентом и сервером туннелируется через SSH, что решает проблему шифрования «из коробки».

Chrony вместо ntpd

Thu, 17 Sep 2026 00:00:00 +0000

В Debian/Ubuntu и RHEL/CentOS ntpd давно пора менять на chrony. Он быстрее сходится к точному времени, лучше работает при нестабильных сетях и меньше нагружает систему. В современных дистрибутивах chrony уже стоит по умолчанию — но если он ещё не развёрнут, переход занимает минуту.

Установка

На RHEL-подобных:

sudo dnf install chrony -y
sudo systemctl enable --now chronyd

На Debian/Ubuntu:

sudo apt install chrony -y
sudo systemctl enable --now chronyd

Если на машине раньше работал ntpd, остановите и отключите его, чтобы не было конфликта портов:

fail2ban: jail для sshd

Thu, 17 Sep 2026 00:00:00 +0000

Защита SSH от брутфорса — один из первых шагов при укреплении сервера. fail2ban сканирует логи, находит повторные неудачные попытки входа и блокирует источник через iptables или nftables. В заметке разберём jail для sshd: от установки до тонкой настройки времени бана.

Установка и базовая конфигурация

Устанавливаем из стандартного репозитория:

# Debian/Ubuntu
apt install fail2ban

# RHEL/CentOS
yum install fail2ban

Включаем и запускаем сервис:

journalctl: фильтры и follow

Thu, 17 Sep 2026 00:00:00 +0000

Системный журнал systemd — это первое место, куда нужно смотреть, когда сервис упал или узел начал жрать CPU. journalctl умеет гораздо больше, чем вывести весь лог подряд: фильтровать по юнитам, приоритетам, временным окнам и читать в реальном времени. Ниже — рабочий набор, который я использую ежедневно.

Follow in real time

Поведение, аналогичное tail -f, но с учётом структурированного формата journald:

journalctl -f

Флаг -f (short for --follow) выводит новые записи по мере их появления. По умолчанию показывает все юниты — удобно, когда не знаешь, где именно горит.

nftables: базовый набор правил

Thu, 17 Sep 2026 00:00:00 +0000

Примечание

Все команды проверены на Debian/Ubuntu с пакетом nftables и на RHEL/CentOS 8+. На старых системах может потребоваться apt install nftables или yum install nftables.

nftables пришёл на смену iptables, но документация по базовому набору правил часто разрознена. Вот конспект, который использую сам, когда поднимаю файрволл на новой машине.

Создание таблицы inet filter

Таблица семейства inet объединяет IPv4 и IPv6 в одном пространстве имён. Это предпочтительный подход, если на хосте оба стека активны.

Debian — Швейцарский нож в мире Linux

Tue, 15 Sep 2026 00:00:00 +0000

Debian — это не самый яркий дистрибутив, но самый надёжный фундамент в мире Linux. За ним стоит крупнейшее сообщество волонтёров-разработчиков, а за его плечами — десятилетия безотказной работы серверов, встраиваемых систем и облачной инфраструктуры. Если ты управляешь Linux-машинами в продакшене, Debian (или его производные) уже присутствует в твоём стеке — осознанно или нет.

Управление пакетами: apt и dpkg

Два инструмента формируют ядро пакетной системы Debian. apt — высокоуровневый интерфейс для работы с репозиториями, разрешения зависимостей и обновления системы. dpkg — низкоуровневый движок, который устанавливает, удаляет и анализирует отдельные .deb-файлы без обращения к репозиториям.

pipx: изолированные Python-утилиты без боли

Thu, 10 Sep 2026 00:00:00 +0000

pipx решает простую, но хроническую проблему: когда нужно запустить Python-утилиту однажды или разово, а pip install засоряет глобальное окружение или требует виртуальное окружение, которое потом забываешь удалить. pipx создаёт изолированное venv для каждой утилиты, устанавливает туда зависимости и делает бинарник доступным в $PATH. Одна команда — и утилита работает, не конфликтуя ни с чем.

Что такое pipx и зачем он нужен

pipx — это инструмент для установки и запуска Python-приложений в изолированных виртуальных окружениях. Каждая утилита живёт в своём venv под ~/.local/pipx/venvs/, а её console-scripts симлинкуются в ~/.local/bin/.

uv — быстрый менеджер пакетов Python

Wed, 09 Sep 2026 00:00:00 +0000

Что такое uv

uv — менеджер пакетов Python, написанный на Rust. Решает одну проблему: стандартный pip медленно разрешает зависимости, а poetry добавляет свою модель проектов поверх PEP 621. uv работает поверх pyproject.toml, совместим с PEP 621 и PEP 508, и делает это в разы быстрее.

Под капотом — кэширующий резолвер на Rust, который переиспользует данные из pip-совместимых индексов (PyPI по умолчанию). uv может заменить pip, pip-tools, virtualenv и poetry в одном инструменте.

logrotate для своих демонов

Tue, 08 Sep 2026 00:00:00 +0000

Логи демона разрастаются, а ротации нет — файл достигает десятков гигабайт, диск забивается, мониторинг ругается. systemd-journald и syslog-ng умеют вращать сами, но если у тебя свой демон пишет напрямую в файл, ротацию несёт logrotate. Вот как его настроить под конкретный сервис.

Зачем писать свой конфиг logrotate

Пакеты из репозитория обычно ставят конфиг в /etc/logrotate.d/, но для自建 демонов или собранных из исходников его нет. Без конфига файл растёт бесконтрольно. logrotate запускается через systemd-таймер (logrotate.timer) или cron и читает все файлы из /etc/logrotate.d/. Достаточно создать один файл — и цикл ротации заработает.

Rsync: бэкап каталога по SSH

Tue, 08 Sep 2026 00:00:00 +0000

Rsync: бэкап каталога по SSH

Классический способ переложить каталог на удалённую машину — rsync поверх SSH. Не нужно открывать дополнительных портов, трафик шифруется, а сам инструмент умеет докачивать изменения и сохранять метаданные. Одна команда — и бэкап готов.

Базовая команда rsync через SSH

Минимальный вызов для копирования локального каталога на удалённый хост:

rsync -avz /path/to/source/ user@host:/path/to/dest/

Слеш в конце у source имеет значение: без него rsync создаст на удалённой стороне подпапку source/, с ним — скопирует содержимое напрямую в dest/.

tmux на проде после Screen

Tue, 08 Sep 2026 00:00:00 +0000

Почему перешли с Screen на tmux

Screen был нашим инструментом номер один ещё лет пять назад. Но после миграции кластера на новые серверы стало очевидно: screen теряет сессию при обрыве SSH, если не настроен hardstatus, а восстановление через screen -r иногда ловит race condition при одновременном подключении нескольких админов. tmux решает оба вопроса из коробки — сессия живёт в памяти сервера, привязана к сокету, и подключение к ней не зависит от состояния TCP-соединения.

Создание своего SSH-бастион-сервера

Tue, 08 Sep 2026 00:00:00 +0000

Зачем нужен бастион и где он живёт

Бастион — единственная точка входа в приватный сегмент сети. Вместо того чтобы открывать SSH на каждом сервере из интернета, вы пускаете трафик через один хост, на котором настроена жёсткая политика доступа. Типичная схема: интернет → bastion (публичный IP) → внутренние серверы (только private subnet, SSH слушает на 127.0.0.1 или private interface).

Бастион живёт в демилитаризованной зоне (DMZ) или публичном подсети провайдера. Внутренние машины не имеют маршрута в интернет через бастион — обратный трафик идёт по инициированным соединениям. Это базовая модель, которую можно развернуть на любом VPS за 15 минут.

bpftrace: один процесс против тысячи syscalls

Mon, 07 Sep 2026 00:00:00 +0000

strace подвешивает процесс при каждом syscall. На live-сервере с 2000 RPS это означает таймауты и alerts. bpftrace работает через eBPF в ядре — трассировка идёт параллельно, без остановки процессов. Разница в накладных расходах — на порядки.

Установка

# Debian / Ubuntu
sudo apt install bpftrace

# RHEL / CentOS / Fedora
sudo dnf install bpftrace

# Arch
sudo pacman -S bpftrace

# Проверка
sudo bpftrace -V

Для полного набора probe-ов нужны debug symbols:

ip: сетевая настройка и диагностика в CLI

Mon, 07 Sep 2026 00:00:00 +0000

Когда привычный ifconfig выдаёт пустую строку, а настройка маршрута через route требует отдельной команды — это не баг системы. Это iproute2, который в современных дистрибутивах вытеснил net-tools. Утилита ip из пакета iproute2 — стандартный интерфейс управления сетевым стеком Linux. Она покрывает интерфейсы, адреса, маршруты, ARP-кеш, правила маршрутизации и изоляцию через namespace.

Зачем iproute2 заменил net-tools

net-tools (ifconfig, route, arp, netstat, nameif) появились в BSD и перешли в Linux в 90-х. К 2000-м стало очевидно: они не поддерживают VLAN, IPsec, QoS, multicast-маршрутизацию и Policy Routing. Каждая задача требовала отдельной команды с несвязанным синтаксисом.

nslookup и drill: DNS-разрешение в терминале

Mon, 07 Sep 2026 00:00:00 +0000

Сервер не резолвит домен, а пинги летят. Привычный dig под рукой нет — в BIOS уже грузится минимальный busybox. Или на хосте без bind-tools. nslookup и drill закрывают эту щель: первый встроен почти везде, второй даёт больше контекста при отладке.

nslookup: интерактивный и однострочный режим

nslookup входит в состав bind-utils и isc-dhcp-client. Работает в двух режимах.

Однострочный запрос:

nslookup example.com
nslookup example.com 8.8.8.8

Интерактивный режим запускается без аргументов. Типичная сессия:

journalctl: фильтрация и форматирование логов systemd

Sun, 06 Sep 2026 00:00:00 +0000

Логи пропали. Сервер перезагрузили — и привычный less /var/log/syslog молчит. В современных дистрибутивах с systemd логи собирает journald, а читает их journalctl. Если не знать его фильтры, работа с системой превращается в гадание.

Почему логи исчезают после перезагрузки

По умолчанию journal хранит данные в /run/log/journal/ — это tmpfs, сбрасывается при ребуте. Чтобы логи переживали перезагрузку, создайте директорию:

sudo mkdir -p /var/log/journal
sudo systemd-tmpfiles --create --prefix /var/log/journal

После этого перезапустите systemd-journald:

OpenSSL: проверка и разбор TLS-сертификатов в CLI

Sun, 06 Sep 2026 00:00:00 +0000

Уже забыли, когда последний раз сертификат на проде протухал неожиданно? Знакомо. OpenSSL умеет отвечать на вопросы о TLS-сертификатах быстрее, чем любой чекер из маркетплейса. Разбираем ключевые сценарии без воды.

Базовый разбор сертификата

Первая команда, с которой начинается любая диагностика — текстовый дамп сертификата.

openssl x509 -text -noout -in cert.pem

Вывод показывает Subject, Issuer, сроки валидности, алгоритм подписи и публичный ключ. Для быстрой справки без простыни:

ProxyJump и bastion-хосты через ~/.ssh/config

Sun, 06 Sep 2026 00:00:00 +0000

Иногда сервер живет в приватной сети, без публичного IP. Единственная точка входа — bastion host с белым адресом. Руками набирать ssh -J user@bastion user@private каждый раз — лишняя боль. Разберу, как настроить всё через ~/.ssh/config, чтобы ходить в приватные сети в одно касание.

Зачем нужен bastion host

Bastion (jump host, jump box) — промежуточный сервер с публичным доступом, через который проксируются соединения к инфраструктуре без внешних адресов. Типичная схема:

auditd: логирование доступа к файлам и вызовам

Sat, 05 Sep 2026 00:00:00 +0000

Linux не пишет в syslog факт каждого обращения к /etc/shadow или вызова unlink. Для расследования инцидентов и compliance это критично. auditd решает эту задачу: подсистема ядра Linux Audit, которая фиксирует системные вызовы, доступ к файлам и не только.

Установка и запуск

auditd входит в пакет audit и есть в любом дистрибутиве.

# Debian/Ubuntu
apt install auditd

# RHEL/CentOS/Alma
yum install audit

# Arch
pacman -S audit

После установки сервис запускается через systemd.

logrotate: автоматическая ротация и архивация логов

Sat, 05 Sep 2026 00:00:00 +0000

Логи приложений забивают диск за неделю, а rm *.log вручную — путь к проблемам. logrotate решает это сам: ротирует, сжимает и удаляет старые файлы по расписанию. Разберёмся, как это работает и как настроить за пять минут.

Как это устроено

logrotate вызывается через cron ежедневно. Конфиг по умолчанию живёт в /etc/logrotate.conf, а дополнительные конфиги подключаются из /etc/logrotate.d/. При ротации текущий файл переименовывается, создаётся новый пустой, старые копии сжимаются и нумеруются.

sshd_config: минимум для стенда

Sat, 05 Sep 2026 00:00:00 +0000

SSH-доступ к стенду обычно открывают по-быстрому, а потом удивляются брутфорсу в логах. Базовый sshd_config, который отсекает типовые проблемы, укладывается в пять параметров и двадцать минут.

Зачем менять умолчания

Дистрибутивные sshd идут с permissive-настройками: root-вход по паролю, без ограничений пользователей, три попытки авторизации. На стенде это терпимо, пока не появится в логах:

Failed password for root from 1.2.3.4 port 42341 ssh2
Failed password for root from 1.2.3.4 port 42342 ssh2
Failed password for root from 1.2.3.4 port 42343 ssh2

Локальная сеть не означает доверенную. Конфигурация по умолчанию — это риск и шум в мониторинге.

systemd-run: запуск сервиса без unit-файла

Sat, 05 Sep 2026 00:00:00 +0000

Иногда нужно быстро поднять процесс под systemd, но писать unit-файл и класть его в /etc/systemd/system лень или нельзя — контейнер без systemd, чужая машина, временный запуск. На этот случай есть systemd-run.

Зачем systemd-run

Инструмент создает transient unit — юнит, который существует только в памяти systemd, без файла на диске. Это удобно, когда:

нужен контроль ресурсов (cgroup) над разовым процессом;
важно, чтобы процесс пережил закрытие терминала;
хочется изолировать команду в отдельном слайсе.

По сути, это обертка над systemctl start для юнитов, которые никто не сохраняет.

curl: отладка HTTP в терминале

Fri, 04 Sep 2026 00:00:00 +0000

cURL — стандартный инструмент отладки HTTP в терминале. Работает из коробки в Linux и macOS, есть в большинстве Docker-образов. Если нужно быстро проверить API, посмотреть заголовки ответа или отловить проблему с редиректом — одной строки достаточно.

Базовые флаги отладки

Самый частый сценарий — получить ответ и увидеть, что сервер отдал. Ключ -i выводит заголовки перед телом, -v включает подробный режим с деталями соединения.

curl -i https://api.example.com/health
curl -v https://api.example.com/health

Разница: -i показывает заголовки + тело, -v добавляет DNS-резолв, TLS-handshake и отладочную информацию до запроса.

ethtool: диагностика и тюнинг сетевого интерфейса

Fri, 04 Sep 2026 00:00:00 +0000

Проблемы с сетевой картой редко видны снаружи — интерфейс поднят, IP назначен, iptables молчит, а потери пакетов или микрофризы проявляются только под нагрузкой. ethtool даёт прямой доступ к состоянию железа, драйвера и offload-механизмов, которые не показывает ни ip, ни netstat.

Базовый вывод: состояние линка

Установка элементарна:

# RHEL/Alma/Rocky
sudo dnf install ethtool -y

# Debian/Ubuntu
sudo apt install ethtool

Без флагов ethtool выводит сводку по интерфейсу:

lsof: какие процессы слушают порт и держат файл

Fri, 04 Sep 2026 00:00:00 +0000

Сервис не стартует — порт 8080 занят. Разбираешься, кто именно его держит, и попутно выясняется, что тот же процесс держит конфиг, который ты хотел отредактировать. lsof отвечает на оба вопроса: какие процессы открыли файлы и сокеты.

Слушающие порты

Классическая задача — найти, кто слушает конкретный порт.

lsof -i -n -P

Флаг	Действие
`-i`	Показать интернет-сокеты
`-n`	Без DNS-резолва (IP вместо hostname)
`-P`	Без преобразования портов (80 вместо http)

Без -n -P lsof тратит время на DNS и резолвит порты в имена сервисов из /etc/services. На продакшене это лишние секунды.

mc — консольный клиент S3

Fri, 04 Sep 2026 00:00:00 +0000

S3-хранилища — стандарт де-факто для объектных бакетов, бэкапов и статики. Когда AWS CLI кажется избыточным, а веб-консоль неудобной, выручает MinIO Client (mc). Это консольный инструмент для любого S3-совместимого хранилища: MinIO, Yandex Cloud, AWS S3, Backblaze B2. Работает из коробки, не требует Python и настраивается за минуту.

Установка

Скачиваю бинарник и делаю исполняемым:

curl -fsSL https://dl.min.io/client/mc/release/linux-amd64/mc \
 -o /usr/local/bin/mc && chmod +x /usr/local/bin/mc

Проверяю версию:

nftables: современный firewall для Linux-сервера

Fri, 04 Sep 2026 00:00:00 +0000

Предупреждение

Перед работой с nftables убедитесь, что есть физический или console-доступ к серверу. Ошибочная цепочка input может заблокировать SSH и отсечь от машины.

nftables пришёл на смену iptables в ядре Linux начиная с версии 3.13. Если вы всё ещё пишете правила в стиле iptables — пора пересмотреть подход. nftables быстрее, имеет встроенную поддержку IPv4/IPv6 в одном интерфейсе и позволяет работать с ruleset как с целым, а не набирать команды по одной.

ss: socket statistics вместо устаревшего netstat

Thu, 03 Sep 2026 00:00:00 +0000

Если netstat зависает на сервере с десятками тысяч соединений — пора переходить на ss. Утилита из пакета iproute2 работает напрямую с ядром через netlink, а не парсит /proc/net/*. Результат — мгновенный вывод и меньше накладных расходов.

Зачем переходить с netstat

netstat из net-tools использует устаревшую схему: читает файлы из /proc/net/tcp, /proc/net/unix и преобразует числовые ID в символические имена. На сервере с активными соединениями это занимает секунды и нагружает CPU.

SSH Config: wildcards и подстановка переменных

Thu, 03 Sep 2026 00:00:00 +0000

SSH-клиент читает ~/.ssh/config строчку за строчкой, но без переменных файл быстро превращается в копипасту. Разбираю, как Host *, Match exec и подстановки %h, %r, %l сокращают конфиг в разы и закрывают реальные сценарии — от динамической маршрутизации до проброса агента через bastion.

Шаблоны и wildcards в SSH config

SSH поддерживает glob-подобные шаблоны в директиве Host. Самая популярная — Host *, но работают и составные паттерны.

strace: трассировка системных вызовов для диагностики зависаний и утечек

Thu, 03 Sep 2026 00:00:00 +0000

При зависании сервиса стандартные инструменты — top, htop, ps — показывают состояние, но не причину. Если процесс в state D (uninterruptible sleep), значит он ждёт syscall. strace подключается к живому процессу и выводит каждый системный вызов в реальном времени. Это превращает загадочное зависание в конкретный syscall, его аргументы и код возврата.

Примечание

strace работает через ptrace — механизм ядра для отладки. На продакшене трассировка замедляет процесс в 2–10 раз. Используйте точечно, на отдельном PID.

tcpdump и tshark: захват и анализ пакетов в CLI

Thu, 03 Sep 2026 00:00:00 +0000

При отладке сетевых проблем в Linux-инфраструктуре недостаточно ping и curl. Иногда нужно посмотреть, что реально ходит по проводу. tcpdump — стандартный инструмент для захвата пакетов из CLI. tshark — его побратим из набора Wireshark, удобный для скриптов.

Быстрый старт с tcpdump

Проверим, что пакеты идут до хоста:

tcpdump -i eth0 host 10.0.0.5

Утилита поднимает интерфейс в promiscuous mode и печатает каждую строку при прохождении пакета. По умолчанию работает с первым интерфейсом, который найдёт, но лучше указывать явно.

CasaOS: веб-панель для домашней лаборатории

Wed, 02 Sep 2026 00:00:00 +0000

Если у тебя несколько Docker-контейнеров на домашнем сервере и ты заходишь в веб-морду через порт каждого, пора что-то менять. CasaOS — это минималистичная веб-панель, которая объединяет контейнеры в единый интерфейс, позволяет ставить приложения в пару кликов и не требует настройки Nginx или Portainer.

Установка

CasaOS ставится на чистую систему одной командой. Поддерживает Debian 10+, Ubuntu 18.04+, Raspbian. Если Docker уже есть — сначала снеси его или ставь в отдельный контейнер.

cockpit-ufw-module: Uncomplicated Firewall в Cockpit

Wed, 02 Sep 2026 00:00:00 +0000

UFW на домашнем или небольшом сервере обычно настраивают по SSH: ufw status numbered, затем ufw allow 443/tcp. cockpit-ufw-module закрывает тот же цикл в браузере: пакет, статус, политики, правила. Это одна из панелей группы cockpit-modules — пункт UFW в разделе Tools.

Интерфейс на русском, в стиле PatternFly v5. Нужны Cockpit 264+ и права администратора для записи. Лицензия MIT, актуальный релиз — тег v.1.0.1.

Зачем панель, если есть `ufw`

Клиент уже есть: системный ufw. Не хватает обзора без терминала и безопасного ввода: порт, CIDR, номер правила.

kubectl whoami и проверка прав сервис-аккаунта

Wed, 02 Sep 2026 00:00:00 +0000

При деплое приложения в Kubernetes самая частая ошибка — сервис-аккаунт не может сделать то, что должен. Permission denied при создании секрета, запрет на list pods, отказ на update. kubectl whoami и kubectl auth can-i позволяют быстро понять, кто именно и что именно не может.

Утилита kubectl whoami

Примечание

kubectl whoami — это не встроенная команда kubectl. Это плагин из krew или отдельный бинарь. Установка: kubectl krew install whoami или скачать с GitHub.

ngrep: grep по сетевым пакетам в реальном времени

Wed, 02 Sep 2026 00:00:00 +0000

Ngrep — утилита, которая ищет паттерны в сетевых пакетах так же, как grep ищет строки в файлах. Когда нужно понять, что конкретно передаётся по сети между двумя сервисами, а tcpdump выдаёт слишком много шума, ngrep позволяет отфильтровать только нужное содержимое.

Установка

Ngrep есть в стандартных репозиториях большинства дистрибутивов.

# Debian/Ubuntu
apt install ngrep

# RHEL/CentOS/Alma
yum install ngrep

# macOS
brew install ngrep

Для работы требует root-привилегий илиcapabilities CAP_NET_RAW и CAP_NET_ADMIN.

socat: проброс Unix-сокетов через TCP

Wed, 02 Sep 2026 00:00:00 +0000

Иногда нужно обратиться к Unix-сокету с хоста, где этот сокет физически не существует. SSH-туннель не поможет — он работает с TCP-портами. socat решает эту задачу: поднимает TCP- listener и пробрасывает соединения в Unix-сокет, а клиенту достаточно подключиться по сети.

Установка

Пакет есть в любом крупном дистрибутиве. На Debian/Ubuntu:

apt install socat

На RHEL/CentOS:

yum install socat
# или
dnf install socat

Alpine:

SSH escape-последовательности: оживление зависшего терминала

Wed, 02 Sep 2026 00:00:00 +0000

SSH-сессия зависла, Ctrl+C не помогает, Ctrl+D вываливает мусор — знакомая картина. Прежде чем закрывать терминал и терять сессию, попробуй встроенные escape-последовательности. Они работают на уровне SSH-клиента до того, как данные попадут на удалённый хост.

Как вызвать escape-последовательность

Escape-символ по умолчанию — тильда (~). Комбинация срабатывает только в начале строки. Нажал Enter, затем ~, затем нужный символ. Например, ~. рвёт соединение.

Примечание

Если тильда не срабатывает — проверь, что нажал Enter перед ней. В середине вывода терминала последовательность игнорируется.

Создание собственной службы Systemd

Wed, 02 Sep 2026 00:00:00 +0000

Приложение нужно запускать при старте сервера, перезапускать при падении и вести логи. Shell-скрипты в /etc/rc.local не дают ни перезапуска, ни зависимостей. Systemd решает всё это одной декларацией.

Зачем писать свой unit-файл

Вместо скриптов и супервизоров вроде supervisord systemd даёт единый интерфейс управления службами. Он знает о сокетах, зависимостях, ресурсных лимитах и имеет встроенный journald для логов.

Структура unit-файла

Unit-файл — ini-подобный файл в /etc/systemd/system/ или /run/systemd/system/ для runtime. Имя формата имя.service.

Что такое Self-Hosted и почему она так популярна

Wed, 02 Sep 2026 00:00:00 +0000

Вы платите за подписку на Notion, Dropbox и Google Drive. Затем Notion повышает цену, Dropbox ограничивает хранилище, а Google «улучшает» интерфейс Docs. Самостоятельный хостинг — это когда вы берёте инфраструктуру в свои руки и перестаёте зависеть от решений вендора.

Определение: не ваше облако

Self-hosted — это модель, при которой вы разворачиваете и эксплуатируете приложения на собственных серверах или VPS вместо использования SaaS-аналогов. Сервер может стоять дома, в дата-центре или быть виртуалкой у хостера — главное, что железо под вашим контролем, а не у третьей стороны.

cockpit-modules: веб-панели для повседневной эксплуатации

Tue, 01 Sep 2026 00:00:00 +0000

Cockpit закрывает базовое администрирование Linux из браузера: сервисы, логи, сеть, аккаунты. Для файервола, fail2ban, cron и Let’s Encrypt штатного набора уже не хватает — либо нет панели, либо она слишком общая.

Группа cockpit-modules — набор отдельных модулей под эти задачи и магазин, через который их ставят на хост. Каждый модуль живёт в своём репозитории; ниже — карта группы, без разбора UI и команд. Про отдельные панели будут отдельные статьи.

Зачем отдельные модули

Cockpit расширяется пакетами в /usr/share/cockpit/ (или в ~/.local/share/cockpit/ для текущего пользователя). Модуль — это manifest.json, HTML и JS, которые вызывают хостовые утилиты через cockpit.spawn.

dig: отладка DNS-запросов в CLI

Tue, 01 Sep 2026 00:00:00 +0000

DNS- resolver отдал не тот адрес, клиенты не видят обновление, или просто непонятно, какой сервер сейчас отвечает на запросы. dig (Domain Information Groper) — стандартный инструмент для диагностики DNS из терминала. Работает на Linux, macOS, есть в Windows через WSL.

Установка

# Debian/Ubuntu
apt install dnsutils

# RHEL/CentOS/Alma
dnf install bind-utils

# macOS — уже в системе
# Windows — через WSL или официальный бинарник ISC

Базовые флаги

dig имеет два класса опций: короткие флаги (начинаются с -) и ключевые слова с +. Первые управляют поведением запроса, вторые — форматом вывода.

MkDocs: генератор документации из Markdown

Tue, 01 Sep 2026 00:00:00 +0000

Документация в репозитории устаревает быстрее, чем её читают: ссылки в README ведут в никуда, разделы разбросаны по docs/, wiki/ и confluence, а поиск по сайту не работает. MkDocs решает это предсказуемо — берёт папку с .md файлами и собирает статический сайт. Один конфиг, одна команда для прода, привычный Markdown.

Что такое MkDocs

MkDocs — статический генератор сайта документации на Python. На входе: каталог с Markdown-файлами и YAML-конфиг. На выходе: готовый site/ с HTML, который отдаётся любым веб-сервером или хостится на GitHub Pages, GitLab Pages, S3. Сам MkDocs ядро рендеринга, а внешний вид и фичи задаёт тема. Стандарт де-факто — Material for MkDocs.

Squid: проброс интернета на удалённую ВМ

Tue, 01 Sep 2026 00:00:00 +0000

Бывает так: твоя ВМ в облаке не имеет публичного IP или доступ в интернет через NAT закрыт, а деплой требует wget/curl изнутри. Squid на промежуточном хосте с нормальным каналом решает проблему за десять минут.

Зачем это нужно

Пробрасываю интернет через Squid, когда ВМ в изолированном сегменте сети. Промежуточный хост с белым IP и доступом в сеть становится прокси-сервером. Приложение на удалённой машине ходит в интернет через туннель.

SSH-сертификаты вместо authorized_keys

Tue, 01 Sep 2026 00:00:00 +0000

authorized_keys — это классика, но когда серверов больше десятка, начинается хаос. Добавление нового разработчика превращается в ручное скачивание ключей и раскладку по десяткам машин. SSH-сертификаты решают проблему: один CA-ключ подписывает все публичные ключи, и ни один authorized_keys не нужен.

Зачем authorized_keys — это боль

Схема с authorized_keys требует, чтобы публичный ключ пользователя физически присутствовал на каждом сервере. При масштабировании это означает:

отдельный шаг деплоя ключей при онбординге;
единая точка отзыва отсутствует — удаление из authorized_keys делается вручную на каждом хосте;
ротация ключей затрагивает все машины;
нет ограничения по времени действия ключа.

SSH-сертификат подписывает публичный ключ пользователя или хоста центральным CA-ключом. Серверу достаточно доверять этому CA — сам ключ подкладывать не нужно.

systemd-timer: планирование вместо cron

Tue, 01 Sep 2026 00:00:00 +0000

cron работает, но его логи — текстовый файл без структуры, а зависимости от сервисов приходится городить через костыли вроде Requires= в shell-скрипте. systemd-timer решает это: единый интерфейс управления, логи в journald, зависимости через familiar After=, WantedBy= — и всё в одном стеке.

Структура .service и .timer

Таймер — это отдельный юнит, который запускает .service. Разделение故意的: сервис можно вызывать и вручную, и по расписанию.

/etc/systemd/system/
├── backup.service
└── backup.timer

backup.service — обычный юнит, можно запустить через systemctl start backup.service.

GNU Screen: сессии, которые переживают обрыв SSH

Mon, 31 Aug 2026 00:00:00 +0000

Долгий apt upgrade, миграция, сборка — и ноутбук ушёл в сон. SSH рвётся, процесс получает SIGHUP и умирает. GNU Screen держит терминал на сервере: отключился, подключился снова, работа на месте.

Это не замена nohup и не «ещё один SSH». Это мультиплексор: именованные сессии, несколько окон внутри одной, общая сессия на двоих. На старых RHEL/Debian screen часто уже стоит, когда tmux ещё нет.

Минимальный цикл

На сервере:

Kafka: проверка работоспособности кластера

Mon, 31 Aug 2026 00:00:00 +0000

Kafka-кластер в KRaft-режиме не прощает, когда о нём забывают до первого инцидента. Проверять здоровье нужно регулярно и короткими командами — без графиков и дашбордов, прямо из консоли. Ниже — набор команд, которые закрывают типовой чек-лист: процессы, кворум, лидеры партиций, ISR и быстрый «светофор» одним вызовом.

Проверка процессов KRaft

В режиме KRaft отдельного ZooKeeper нет, и роль controller совмещена с ролью broker или вынесена на отдельные ноды. Сначала убедимся, что JVM-процессы вообще живы, и посмотрим, в каком режиме стартовал каждый узел.

kind: локальный Kubernetes в Docker

Mon, 31 Aug 2026 00:00:00 +0000

Kubernetes-кластер на ноутбуке — задача нередкая: CI/CD, эксперименты с операторами, проверка манифестов без нагрузки на prod. minikube тянет виртуалку, k3s просит отдельный host, а kind поднимает управляющую плоскость в Docker-контейнерах. Развернули, поработали, удалили — без побочных эффектов.

Зачем kind

kind создает кластер из Docker-контейнеров: control-plane и worker-ноды — это образы kindest/node. Основной use-case — локальная разработка и CI. В GitHub Actions есть официальный action create-kind, что делает пайплайны с тестами поверх K8s тривиальными.

Too many authentication failures: SSH исчерпал попытки

Mon, 31 Aug 2026 00:00:00 +0000

Received disconnect from 10.0.0.5 port 22:2: Too many authentication failures и следом Permission denied (publickey) — это не «сервер сломан» и не обязательно неверный пароль. Клиент потратил лимит попыток, пока перебирал ключи из агента, и до нужного метода так и не дошёл.

Лимит задаёт MaxAuthTries на сервере (по умолчанию 6). Каждый предложенный публичный ключ — отдельная попытка. Пять ключей в ssh-agent плюс ещё один «не тот» — и соединение рвётся до пароля и до правильного ключа.

Настройка Cron: практический разбор

Mon, 31 Aug 2026 00:00:00 +0000

Cron — стандартный планировщик в Linux, который встречается в каждой инфраструктуре. Задачи сыплются, логи копятся, окружение подводит. Разберём, как настраивать cron надёжно и где он не подходит.

Когда cron нужен, а когда нет

Cron подходит для простых периодических задач: бэкапы, ротация логов, чистка временных файлов, периодические уведомления. Это демон, который спит между запусками — никаких ресурсов не ест.

Не используйте cron для:

задач, требующих миллисекундной точности (cron запускает с точностью до минуты)
задач с жёсткими зависимостями от других сервисов (systemd-юниты с After=)
долгих процессов, которые могут наложиться друг на друга (нужен lock)

Anatomy of a crontab entry

Формат строки:

Свой корневой сертификат: куда его класть, чтобы ему доверяли

Mon, 31 Aug 2026 00:00:00 +0000

TLS-ошибка «сертификат не доверен» почти никогда не значит, что сертификат «сломан». Обычно сломана точка доверия: клиент смотрит не в то хранилище, куда вы положили CA.

curl, openssl, Git, Python и браузер — разные клиенты. У части из них своя база корней. Один update-ca-certificates на Linux не закроет Chrome и Firefox.

Что именно добавлять

В доверенные кладут корневой сертификат CA, которым подписан серверный сертификат, а не сам localhost.crt / app.example.internal.

ssh-connection-manager: TUI для хостов из ~/.ssh/config

Sun, 30 Aug 2026 00:00:00 +0000

Когда в ~/.ssh/config десятки стендов, bastion и jump-хостов, вспоминать алиасы уже не хочется. ssh-connection-manager — это TUI поверх обычного OpenSSH: список хостов, фильтр, подключение штатным ssh, добавление новой записи в конфиг.

Команда в терминале — ssh-connect. Репозиторий: gitlab.com/unsorted-projects/ssh-connection-manager.

Зачем не ещё один SSH-клиент

Клиент уже есть: системный ssh. Нужен не новый протокол, а навигация по конфигу.

Утилита:

читает ~/.ssh/config или другой файл (-c);
показывает только конкретные Host, без wildcard-шаблонов вроде Host *;
учитывает Include (до 16 уровней вложенности);
на Enter приостанавливает TUI и запускает ssh -F <config> <alias>;
после выхода из сессии снова открывает список.

Под капотом Python 3.11+ и Textual. Свой SSH-стек не пишется: ключи, ProxyJump, агент — всё остаётся на OpenSSH.

Обо мне

Sun, 30 Aug 2026 00:00:00 +0000

Я Lead DevOps. Здесь пишу про IT: инфраструктуру, эксплуатацию и утилиты, которые реально использую в работе.

Манифест

Этот проект создан для повышения квалификации специалистов DevOps.

Заметки — рабочие конспекты, а не витрина инструментов. В них разбирается эксплуатация так, как она выглядит на стенде: команды, настройки, типичные ошибки. Читать их стоит с намерением повторить приём у себя и увереннее держать инфраструктуру.