搜索结果: "ha"

title: Linux 用户管理避坑指南 — /etc/passwd/shadow 到用户安全运维

- 密码占位符是 `x`，真正的密码在 `/etc/shadow` 里 — 分离设计是安全考虑的基线

### 2. `/etc/shadow` — 密码的"保险箱"

| `$6$` | SHA-512 | 当前推荐算法 |

| `$5$` | SHA-256 | 兼容性场景 |

- **Provenance markers:** On pages that synthesize 3+ sources, append `^[raw/articles/source-file.md]` at the end of paragraphs whose claims come from a specific source.

├── hardware/ # 无线网络与硬件

sha256:

- ha: 高可用架构

- Overview / what it is

-- ❌ 不走索引（user_id 是 VARCHAR，传了数字）

| 共享锁（S） | `SELECT ... LOCK IN SHARE MODE`，与S兼容与X互斥 | 低 |

ALTER TABLE orders ADD COLUMN remark VARCHAR(255); -- 对 orders 加 MDL 排他锁

4. **根本解决：** DDL 操作前确保没有长事务，或使用 `pt-online-schema-change` 做无锁 DDL

character-set-server = utf8mb4

- raw/articles/redis-ha-replication-sentinel.md

- raw/articles/redis-pitfalls-ha-series-3.md

CROSSSLOT Keys in request don't hash to the same slot

**解决 CROSSSLOT：** 使用 **Hash Tag**，强制关联 key 落入同一 slot：

# 不使用 Hash Tag → key1 和 key2 可能在不同 slot

| value 本身 | 存储的数据 | JSON 字符串、Hash field、List element |

例如 `{"id":10001,"name":"Tom","age":18,"city":"Shanghai"}` — 字段名 `id`/`name`/`age`/`city` 都是重复开销。

### 4.3 小对象可以考虑 Hash

# Hash 方式

HSET user:10001 name Tom age 18 city Shanghai

ln source hard_link # 硬链接

cat /etc/redhat-release # CentOS/RHEL

负载算法：轮询、权重、ip_hash、least_conn。参见 [[nginx-config-pitfalls]] 和 [[nginx-pre-launch-checklist]]。

参见 [[server-security-hardening-checklist]]（安全配置联动监控）。

参见 [[keepalived-nginx-ha]]（Keepalived + Nginx 高可用）。

| Harbor / DockerHub | 镜像仓库 | 内网优先 |

REGISTRY = "harbor.mycorp.local"

git clone https://gitlab.mycorp.local/helm-charts.git

cd helm-charts && sed -i "s/tag:.*/tag: ${VERSION}/" values.yaml

Argo CD 监听 Git 仓库中的 Helm Chart 变更，自动同步到 K8s 集群：

**Events 关键词：** `node(s) had taint`

| `node.kubernetes.io/unreachable` | 节点不可达 | 默认 NoExecute |

**Events 关键词：** `node(s) didn't have free ports for the requested pod ports`

│ │ ├─ node(s) had taint → 方向二

│ │ └─ didn't have free ports → 方向七

MemoryPressure False KubeletHasSufficientMemory

DiskPressure True KubeletHasDiskPressure ← 磁盘压力

PIDPressure False KubeletHasSufficientPID

sudo kubeadm alpha certs renew kubelet.conf --kubeconfig=/etc/kubernetes/kubelet.conf

**常见错误：** cgroupDriver 不一致、evictionHard 格式错误、serializeImagePulls 值类型错误。

| /usr/share | 架构无关共享数据 | doc, man, zoneinfo |

├── passwd / shadow / group # 用户账户信息

| 查看用户账户 | /etc/passwd / /etc/shadow |

- [[linux-perf-troubleshooting-handbook]] — Linux 性能排查手册

- [[server-security-hardening-checklist]] — 服务器安全加固（/etc 配置项）

安全加固（预防）与入侵检测（发现/响应）的体系关系参见 [[server-security-hardening-checklist]]。

| `BINLIB` | 全属性 + sha256 + sha512 | 关键二进制（/bin, /sbin, /usr/bin） |

| `DATAONLY` | 权限 + 属主 + sha256 | 数据目录 |

-w /etc/shadow -p wa -k identity_mod

sudo chattr +a /var/log/auth.log

* hard nofile 65535

* hard nproc 65535

root hard nofile 65535

- `soft` — 软限制（可动态超限），`hard` — 硬限制（上限）

- [[linux-perf-troubleshooting-handbook]] — Linux 服务器性能排查实战手册 — 60 秒快速摸底/4 大瓶颈排查/3 个实战案例/监控阈值/

- raw/articles/wechat-吃透NFS挂载机制：挂载参数全解析与测试-调优指南.md

### 2. 故障处理参数（决定 HA 行为）

| **hard** | Linux 客户端默认 | 网络断连时客户端**无限重试**，应用进程 hang 死无法 kill | ⚠️ 进程可能长时间不可中断，kill -9 无效 |

# hard + intr（NFSv3 传统方案）

mount -t nfs3 -o hard,intr server:/data /mnt

| 3. 客户端挂载状态异常 | 挂载点卡死、Stale file handle、df/ls 阻塞 | 服务端重启致 inode 变化、hard 挂载未设 intr |

mount -t nfs -v -o vers=4.2,tcp,hard,intr,rsize=1048576,wsize=1048576 \

### 案例 1：Stale file handle（句柄过期）

- **现象**：ls /mnt 报 Stale file handle，部分文件可读写，部分失败

- **根因**：服务端重启/导出路径 inode 变更，客户端缓存的 filehandle 失效

sources: [raw/articles/server-security-hardening-checklist.md]

# ChallengeResponseAuthentication no

sudo chage -M 90 -m 7 -W 7 admin

* hard nofile 65535

* hard nproc 65535

debug1: kex: algorithm: curve25519-sha256

debug1: Authentications that can continue: publickey,password

debug1: Offering public key: /home/user/.ssh/id_ed25519 ED25519 SHA256:xxxx

debug1: Authentications that can continue: publickey,password

Unable to negotiate with 192.168.1.100 port 22: no matching key exchange method found.

tags: [nginx, networking, production, deployment, ha, keepalived]

sources: [raw/articles/keepalived-nginx-ha-guide.md]

Keepalived + Nginx 的 HA 方案中，Nginx 自身配置的可靠性同样重要。

5. **后端单点瓶颈：** 本方案只解决 Nginx 层的 HA，后端服务若为单点则仍有单点故障风险。

- [[keepalived-ha-hidden-pitfalls]] — Keepalived+Nginx 高可用架构 3 个隐藏坑位与生产级防护方案（脑裂/健康检查僵尸进程

root /usr/share/nginx/html;

root /usr/share/nginx/html;

ssl_certificate /etc/nginx/ssl/example.com.fullchain.pem;

ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:...';

**验证：** `openssl s_client -connect example.com:443` 检查 Certificate chain。

### IP 哈希（IP Hash）

ip_hash;

ip_hash;

1. **有状态 vs 无状态** → 有状态选 IP Hash / sticky，无状态选轮询

3. **缓存亲和性** → 本地缓存依赖强的应用优先 IP Hash

ip_hash; # 或 sticky 模块

func SSEHandler(w http.ResponseWriter, r *http.Request) {

ch := make(chan Event)

采用 **Redis Pub/Sub** 或 **消息队列** 实现跨节点消息分发：消息生产者发到 Redis Channel，各节点的 Hub 订阅后转发给本地客户端。

- **背压控制** — 发送队列限长（channel cap），防止慢消费者拖垮进程

brew tap hashicorp/tap

brew install hashicorp/tap/terraform

wget -O- https://apt.releases.hashicorp.com/gpg | gpg --dearmor | sudo tee /usr/share/keyrings/hashicorp-archive-keyring.gpg

echo "deb [signed-by=/usr/share/keyrings/hashicorp-archive-keyring.gpg] https://apt.releases.hashicorp.com $(lsb_release -cs) main" | sudo tee /etc/apt/sources.list.d/hashicorp.list

region = "cn-hangzhou"

- [[keepalived-ha-hidden-pitfalls]] — Keepalived+Nginx 高可用架构 3 个隐藏坑位与生产级防护方案（脑裂/健康检查僵尸进程/配置同步时序陷阱）

- [[keepalived-nginx-ha]] — Keepalived + Nginx 高可用：VRRP/VIP 漂移/主备切换

- [[linux-hardware-info-and-ops-guide]] — Linux 硬件信息查询与软件管理命令速查 — CPU/内存/磁盘/网络/主板全覆盖

- [[linux-perf-troubleshooting-handbook]] — Linux 服务器性能排查实战手册 — 60 秒快速摸底/4 大瓶颈排查/3 个实战案例/监控阈值/参数速查

- [[linux-user-management-guide]] — Linux 用户管理避坑指南：/etc/passwd/shadow/用户CRUD/密码策略/登录审计/防暴力破解

- Created raw: raw/articles/keepalived-nginx-ha-guide.md

- Created concepts: keepalived-nginx-ha

## [2026-05-11] update | 一次网站访问变慢的排查过程（SHA256一致）

## [2026-05-11] update | 线上频发故障：Nginx（SHA256一致）

- Created raw: raw/articles/redis-connection-exhaustion-postmortem.md

| 自动触发 | `save hanges>` | 配置文件中定义触发条件 |

| 误操作 FLUSHALL | 取决于备份 | 取决于备份 | 取决于备份 |

rdb_changes_since_last_save # 距上次 RDB 的变更数

- [[redis-ha-replication-sentinel]] — Redis 高可用

docker run -e TZ=Asia/Shanghai nginx

**修复方案：** 始终使用具体版本标签，不要用 `latest`。推荐 GitOps 流程：git commit SHA 作为镜像标签。

参见 [[server-security-hardening-checklist]] 的服务器安全加固总纲，以及 [[ssh-brute-force-protection-guide]] 的访问控制实践。

| [[server-security-hardening-checklist]] | 服务器安全加固总纲（含 Docker daemon 安全） |

| 26 | 什么是 Helm？ | K8s 包管理工具，管理 Chart 的安装、升级、回滚 | — |

| 37 | 安全最佳实践？ | RBAC + Pod Security Standards + 镜像扫描 + 网络策略 + TLS + 非 root 运行 | [[server-security-hardening-checklist]] |

| 94 | 存储架构设计？ | 需求分析 + 类型选择（PV/PVC/StorageClass）+ 分层 + HA + 监控 |

| [[server-security-hardening-checklist]] | 服务器安全加固（含 K8s 相关） |

sources: [raw/articles/ssh-brute-force-protection-guide.md, raw/articles/server-security-hardening-checklist.md, raw/articles/7招锁死SSH-从端口伪装到Fail2ban-教你把暴力破解挡在门外.md]

ChallengeResponseAuthentication no

ChallengeResponseAuthentication yes

| [[server-security-hardening-checklist]] | 新机器上线安全加固清单（20 项全面基线）——SSH 加固是其中核心环节 |

tags: [nginx, keepalived, networking, production, ha, troubleshooting, monitoring, architecture]

handlers:

| CI/CD 集成 | serial:1 逐台执行 + manual 手动触发 + Ansible handler |

- [[keepalived-nginx-ha]] — Keepalived+Nginx 高可用架构原理与基本配置

| 带 hash（`app.8f3a1c.js`） | `expires 30d; add_header Cache-Control "public, immutable";` |

| 不带 hash | `expires 7d; add_header Cache-Control "public";` |

- [[nginx-load-balancing-strategy-guide]] — Nginx 负载均衡策略选择实战指南 — 加权轮询与 IP Hash 深度对比、混合策略最佳实践

- [[keepalived-ha-hidden-pitfalls]] — Keepalived+Nginx 高可用架构 3 个隐藏坑位与生产级防护方案（脑裂/健康检查僵尸进程

CHANGE MASTER TO

| 双主 | 双向写入 / 快速切换 | HA，注意主键冲突 |

- [[redis-ha-replication-sentinel]] — Redis 主从/哨兵（对比学习数据库 HA）

- **主从不是备份** — 主从切换依然可能丢数据，复制不能替代备份。Redis 高可用方案参见 [[redis-ha-replication-sentinel]]

- **安全配置** — `rename-command FLUSHALL ""`、`requirepass`、`protected-mode`

- [[redis-ha-replication-sentinel]] — Redis 高可用：主从复制/哨兵/脑裂/集群踩坑

| 21 | 如何实现容器安全？ | 官方基础镜像 + 最小化 + 漏洞扫描 + 非 root + 只读文件系统 + 限制权限 + 网络策略 | [[server-security-hardening-checklist]] |

| 59 | K8s 安全实践？ | 零信任 + RBAC + NetworkPolicy + 镜像安全 + 机密管理(Vault) + TLS + 运行时安全 + 审计合规 | [[server-security-hardening-checklist]] |

| [[server-security-hardening-checklist]] | 服务器安全加固 |

- raw/articles/wechat-Kubernetes CoreDNS 实现自定义域名解析：从原理到生产实操.md

**需求：** 集群外固定服务（如 Harbor）用统一域名访问。

172.16.29.203 harbor.idcsec.com

kubectl get pods -n --field-selector=status.phase!=Running

echo "[ALERT] Service $SVC in namespace $NS has NO endpoints"

echo "[WARNING] Ingress $INGRESS → Service $SVC has NO endpoints!"

sources: [raw/articles/linux-kernel-tuning-production.md, raw/articles/server-security-hardening-checklist.md]

完整安全加固清单参见 [[server-security-hardening-checklist]]。

- [[linux-perf-troubleshooting-handbook]] — Linux 服务器性能排查实战手册 — 60 秒快速摸底/4 大瓶颈排查/3 个实战案例/监控阈值/

- raw/articles/wechat-一次性把亚马逊 A9、COSMO、Rufus算法讲清楚.md

- COSMO：自动关联 `toddler pushchair / travel system / 3 in 1`

> ⚠️ **注意：** 250 字节是**字节**数，不是字符数。一个英文字母 = 1 字节，一个空格 = 1 字节。使用在线字符计数器（如 charactercounter.com）统计字节数。

cat litter trapping mat large 35x24 extra large litter mat for floor under litter box washable cat litter mat non slip carpet for high peeing cats dirt trapper rug

sources: [raw/articles/redis-connection-exhaustion-postmortem.md]

| [[redis-ha-replication-sentinel]] | Redis 高可用（主从复制/哨兵/脑裂） |

curl -fsSL https://pkg.jenkins.io/debian-stable/jenkins.io-2023.key | sudo tee /usr/share/keyrings/jenkins-keyring.asc > /dev/null

echo "deb [signed-by=/usr/share/keyrings/jenkins-keyring.asc] https://pkg.jenkins.io/debian-stable binary/" | sudo tee /etc/apt/sources.list.d/jenkins.list > /dev/null

helm repo add vm https://victoriametrics.github.io/helm-charts

| [[server-security-hardening-checklist]] | 基础设施安全基线，Gateway TLS 证书使用 |

| 监控 | Prometheus + Thanos / Mimir | 指标存储与统一判定 |

Prometheus / Thanos / OTel / Tempo / Loki — 错误率、P95/P99 延迟、跨集群流量占比、东西向网关异常、Trace 断点分析。

name: shared-pv

path: /shared/data

**故障链：** 某天上班发现 `kubectl` 全部报 `x509: certificate has expired` → 整个集群不可管理。

**修复：** `imagePullPolicy: IfNotPresent`（避免重复拉取）、私有仓库限流 + 镜像预缓存（Harbor P2P）、CI 中验证镜像存在后再部署。

hard:

- `node.kubernetes.io/unreachable:NoExecute`

ACTION=="add|change", SUBSYSTEM=="block", KERNEL=="sd[a-z]", ATTR{queue/rotational}=="0", ATTR{queue/scheduler}="noop"

ACTION=="add|change", SUBSYSTEM=="block", KERNEL=="sd[a-z]", ATTR{queue/rotational}=="1", ATTR{queue/scheduler}="deadline"

total used free shared buff/cache available

cat /proc//smaps | grep -E "^(Rss|Pss|Shared|Private)"

* hard nofile 65535

* hard nproc 65535

| [[linux-hardware-info-and-ops-guide]] | Linux 硬件信息查询与软件管理命令速查 — CPU/内存/磁盘/网络/主板全覆盖 |

| [[linux-perf-troubleshooting-handbook]] | Linux 服务器性能排查实战手册 — 60 秒快速摸底/4 大瓶颈排查/3 个实战案例/监控阈值/ |

| [[server-security-hardening-checklist]] | 服务器安全加固总纲（Nginx 加固上下文） |

| [[nginx-load-balancing-strategy-guide]] | Nginx 负载均衡策略选择实战指南 — 加权轮询与 IP Hash 深度对比、混合策略最佳实践 |

- raw/articles/wechat-亚马逊广告优化的第一原则：先确定你的优先级.md

- raw/articles/wechat-超详细的亚马逊新手广告架构完整方案（吃透多赚100w）.md

- [[server-security-hardening-checklist]] — 运营安全：服务器安全加固清单（运维与电商共同的底线思维）

- raw/articles/wechat-亚马逊5大广告类型全拆解——新手老手直接照搬.md

- raw/articles/wechat-亚马逊新品，预算充足的情况下如何搭建广告架构？.md

- raw/articles/wechat-聊聊广告竞价那点事儿：三种策略怎么选，出价到底怎么定？.md

以前搜 `office chair` → 现在搜 "办公室久坐腰疼用什么椅子"

cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime && \

| [[nginx-load-balancing-strategy-guide]] | Nginx 负载均衡策略选择实战指南 — 加权轮询与 IP Hash 深度对比、混合策略最佳实践 |

| Keepalived VIP 不漂移 | VRRP 网络排查（tcpdump vrrp） | [[keepalived-nginx-ha]] |

# 用 Wireshark 打开分析 RST 方向和时间线

| 维度 | Nginx Ingress | Traefik | HAProxy Ingress | ALB Ingress（AWS） |

hard:

- `node.kubernetes.io/unreachable:NoExecute`

- **PVC 未绑定 → Pod Pending：** `kubectl describe pod` 可看到 `pod has unbound immediate PersistentVolumeClaims`

# Message: "0/3 nodes are available: 1 Insufficient memory, 2 node(s) had taints..."

| [[server-security-hardening-checklist]] | 服务器安全加固清单—20 项新机器上线基线 |

- [[java-cpu-100-case-study]] — Java 应用 CPU 100% 排查案例（jstack + HashMap 死链 + Full GC）

| [[linux-perf-troubleshooting-handbook]] | Linux 服务器性能排查实战手册 — 60 秒快速摸底/4 大瓶颈排查/3 个实战案例/监控阈值/ |

**HashMap 死链（Java 7 及之前）：** 多线程并发扩容 HashMap 时，链表可能形成环形结构，get 操作无限遍历。jstack 中线程状态为 RUNNABLE，连续多次 dump 都卡在同一行代码。

> 来源：Shad0w-top | 发布日期：2025-08-29

"nofile": { "Name": "nofile", "Hard": 65535, "Soft": 65535 }

- [[linux-hardware-info-and-ops-guide]] — 硬件信息查询命令速查

- [[linux-hardware-info-and-ops-guide]] — Linux 硬件信息查询与软件管理命令速查 — CPU/内存/磁盘/网络/主板全覆盖

- [[linux-hardware-info-and-ops-guide]] — Linux 硬件信息查询与软件管理命令速查 — CPU/内存/磁盘/网络/主板全覆盖

> 来源：Shad0w-top | 发布日期：2025-07-07

| [[linux-hardware-info-and-ops-guide]] | Linux 硬件信息查询与软件管理命令速查 — CPU/内存/磁盘/网络/主板全覆盖 |

- [[linux-perf-troubleshooting-handbook]] — Linux 服务器性能排查实战手册 — 60 秒快速摸底/4 大瓶颈排查/3 个实战案例/监控阈值/

| [[linux-perf-troubleshooting-handbook]] | Linux 服务器性能排查实战手册 — 60 秒快速摸底/4 大瓶颈排查/3 个实战案例/监控阈值/ |

- [[keepalived-ha-hidden-pitfalls]] — Keepalived+Nginx 高可用架构 3 个隐藏坑位与生产级防护方案（脑裂/健康检查僵尸进程

* hard nofile 655350