搜索结果: "ha"

title: K8s Hairpin 发夹回流故障—Pod 无法访问自身 Service 深度解析

# K8s Hairpin 发夹回流故障—Pod 无法访问自身 Service 深度解析

## 底层真相：Hairpin 发夹回流

数据包从当前 Pod 发出，绕了一圈网络最终回流到自身 Pod。这个机制称为 **Hairpin（发夹回流）**。

Hairpin 问题不是 K8s Bug，而是 Linux 内核二层网络机制。Linux Bridge 有一个**默认安全策略**：防止二层网络环路。内核默认规则——**从某个网口进来的数据包，禁止再从同一个网口发出去**。

title: Linux 用户管理避坑指南 — /etc/passwd/shadow 到用户安全运维

- 密码占位符是 `x`，真正的密码在 `/etc/shadow` 里 — 分离设计是安全考虑的基线

### 2. `/etc/shadow` — 密码的"保险箱"

| `$6$` | SHA-512 | 当前推荐算法 |

| `$5$` | SHA-256 | 兼容性场景 |

2026-06-24 拓宽：kubernetes 36页；linux 46页；nginx 11页；database 11页；docker 3页；amazon 21页；hardware 1页；terraform 2页；general 17页

2026-06-25 拓宽：kubernetes 36页；linux 47页；nginx 11页；database 11页；docker 3页；amazon 21页；hardware 1页；terraform 2页；general 17页

2026-07-01 拓宽：kubernetes 36页；linux 48页；nginx 11页；database 11页；docker 3页；amazon 21页；hardware 1页；terraform 2页；general 17页

2026-07-09 拓宽：kubernetes 36页；linux 49页；nginx 12页；database 12页；docker 3页；amazon 22页；hardware 1页；terraform 2页；general 17页

- Every page must have a `## 相关页面` section with ≥2 related page links (unless genuinely no related content exists). Each link uses format `- [[slug]] — one-line description`.

**修复**：kill 持有 MDL 的长事务（先确认 `innodb_trx.trx_rows_modified`，大事务回滚耗时）；DDL 使用 `pt-online-schema-change` 或 `gh-ost`；大表 DDL 安排在低峰期。

pt-online-schema-change --execute \

ALTER TABLE table_b MODIFY COLUMN name VARCHAR(100) CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci;

**修复**：拆分大 Hash/List/Set（按 hash tag 分片）；用 `UNLINK` 替代 `DEL`（异步删除，Redis 4.0+）；业务侧避免往单个 key 无限追加。

常见慢命令：`KEYS *`（应替换为 `SCAN`）、`HGETALL` 大 Hash（应改为 `HSCAN`）、`DEL` 大 key（改为 `UNLINK`）、`SORT` 大集合。

-- ❌ 不走索引（user_id 是 VARCHAR，传了数字）

| 共享锁（S） | `SELECT ... LOCK IN SHARE MODE`，与S兼容与X互斥 | 低 |

ALTER TABLE orders ADD COLUMN remark VARCHAR(255); -- 对 orders 加 MDL 排他锁

4. **根本解决：** DDL 操作前确保没有长事务，或使用 `pt-online-schema-change` 做无锁 DDL

character-set-server = utf8mb4

- raw/articles/redis-ha-replication-sentinel.md

- raw/articles/redis-pitfalls-ha-series-3.md

CROSSSLOT Keys in request don't hash to the same slot

**解决 CROSSSLOT：** 使用 **Hash Tag**，强制关联 key 落入同一 slot：

# 不使用 Hash Tag → key1 和 key2 可能在不同 slot

| value 本身 | 存储的数据 | JSON 字符串、Hash field、List element |

例如 `{"id":10001,"name":"Tom","age":18,"city":"Shanghai"}` — 字段名 `id`/`name`/`age`/`city` 都是重复开销。

### 4.3 小对象可以考虑 Hash

# Hash 方式

HSET user:10001 name Tom age 18 city Shanghai

ln source hard_link # 硬链接

cat /etc/redhat-release # CentOS/RHEL

负载算法：轮询、权重、ip_hash、least_conn。参见 [[nginx-config-pitfalls]] 和 [[nginx-pre-launch-checklist]]。

参见 [[server-security-hardening-checklist]]（安全配置联动监控）。

参见 [[keepalived-nginx-ha]]（Keepalived + Nginx 高可用）。

| Harbor / DockerHub | 镜像仓库 | 内网优先 |

REGISTRY = "harbor.mycorp.local"

git clone https://gitlab.mycorp.local/helm-charts.git

cd helm-charts && sed -i "s/tag:.*/tag: ${VERSION}/" values.yaml

Argo CD 监听 Git 仓库中的 Helm Chart 变更，自动同步到 K8s 集群：

**Events 关键词：** `node(s) had taint`

| `node.kubernetes.io/unreachable` | 节点不可达 | 默认 NoExecute |

**Events 关键词：** `node(s) didn't have free ports for the requested pod ports`

│ │ ├─ node(s) had taint → 方向二

│ │ └─ didn't have free ports → 方向七

MemoryPressure False KubeletHasSufficientMemory

DiskPressure True KubeletHasDiskPressure ← 磁盘压力

PIDPressure False KubeletHasSufficientPID

sudo kubeadm alpha certs renew kubelet.conf --kubeconfig=/etc/kubernetes/kubelet.conf

**常见错误：** cgroupDriver 不一致、evictionHard 格式错误、serializeImagePulls 值类型错误。

| /usr/share | 架构无关共享数据 | doc, man, zoneinfo |

├── passwd / shadow / group # 用户账户信息

| 查看用户账户 | /etc/passwd / /etc/shadow |

- [[linux-perf-troubleshooting-handbook]] — Linux 性能排查手册

- [[server-security-hardening-checklist]] — 服务器安全加固（/etc 配置项）

安全加固（预防）与入侵检测（发现/响应）的体系关系参见 [[server-security-hardening-checklist]]。

| `BINLIB` | 全属性 + sha256 + sha512 | 关键二进制（/bin, /sbin, /usr/bin） |

| `DATAONLY` | 权限 + 属主 + sha256 | 数据目录 |

-w /etc/shadow -p wa -k identity_mod

sudo chattr +a /var/log/auth.log

* hard nofile 65535

* hard nproc 65535

root hard nofile 65535

- `soft` — 软限制（可动态超限），`hard` — 硬限制（上限）

| [[linux-perf-troubleshooting-handbook]] | Linux 服务器性能排查实战手册 — 60 秒快速摸底/4 大瓶颈排查/3 个实战案例/监控阈值/ |

- raw/articles/wechat-吃透NFS挂载机制：挂载参数全解析与测试-调优指南.md

### 2. 故障处理参数（决定 HA 行为）

| **hard** | Linux 客户端默认 | 网络断连时客户端**无限重试**，应用进程 hang 死无法 kill | ⚠️ 进程可能长时间不可中断，kill -9 无效 |

# hard + intr（NFSv3 传统方案）

mount -t nfs3 -o hard,intr server:/data /mnt

| 用户 | `useradd`, `usermod`, `userdel`, `passwd`, `chage`, `groupadd`, `id`, `su`, `sudo` |

ss -s # 连接统计（estab/timewait/orphaned）

chage -M 90 username # 密码 90 天过期

chage -l username # 看密码策略

/usr/share/bcc/tools/biolatency 1 10 # IO 延迟分布

cat /proc//wchan # 阻塞的内核函数（如 wait_on_buffer）

# 如果 D 状态无法杀死且 dmesg 有 "task blocked for more than 120 seconds"

| ④ I/O 瓶颈 | `iostat -x 2` → `iotop` → `/proc//wchan` | 磁盘慢/NFS |

| 进程状态 | `ps -eo pid,stat,wchan,comm --sort=-%cpu` | STAT: R/S/D/T |

| 阻塞位置 | `cat /proc//wchan` | 内核函数名 |

| 3. 客户端挂载状态异常 | 挂载点卡死、Stale file handle、df/ls 阻塞 | 服务端重启致 inode 变化、hard 挂载未设 intr |

mount -t nfs -v -o vers=4.2,tcp,hard,intr,rsize=1048576,wsize=1048576 \

### 案例 1：Stale file handle（句柄过期）

- **现象**：ls /mnt 报 Stale file handle，部分文件可读写，部分失败

- **根因**：服务端重启/导出路径 inode 变更，客户端缓存的 filehandle 失效

sources: [raw/articles/server-security-hardening-checklist.md]

# ChallengeResponseAuthentication no

sudo chage -M 90 -m 7 -W 7 admin

* hard nofile 65535

* hard nproc 65535

sources: [raw/articles/ssh-brute-force-protection-guide.md, raw/articles/server-security-hardening-checklist.md, raw/articles/7招锁死SSH-从端口伪装到Fail2ban-教你把暴力破解挡在门外.md]

ChallengeResponseAuthentication no

ChallengeResponseAuthentication yes

| [[server-security-hardening-checklist]] | 新机器上线安全加固清单（20 项全面基线）——SSH 加固是其中核心环节 |

| [[linux-hacked-server-emergency-response]] | Linux 服务器入侵应急响应完整清单与实战指南。覆盖从发现被黑到恢复全流程：断网隔离、取证快照、后 |

debug1: kex: algorithm: curve25519-sha256

debug1: Authentications that can continue: publickey,password

debug1: Offering public key: /home/user/.ssh/id_ed25519 ED25519 SHA256:xxxx

debug1: Authentications that can continue: publickey,password

Unable to negotiate with 192.168.1.100 port 22: no matching key exchange method found.

tags: [nginx, networking, production, deployment, ha, keepalived]

sources: [raw/articles/keepalived-nginx-ha-guide.md]

Keepalived + Nginx 的 HA 方案中，Nginx 自身配置的可靠性同样重要。

5. **后端单点瓶颈：** 本方案只解决 Nginx 层的 HA，后端服务若为单点则仍有单点故障风险。

- [[keepalived-ha-hidden-pitfalls]] — Keepalived+Nginx 高可用架构 3 个隐藏坑位与生产级防护方案（脑裂/健康检查僵尸进程

root /usr/share/nginx/html;

root /usr/share/nginx/html;

ssl_certificate /etc/nginx/ssl/example.com.fullchain.pem;

ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:...';

**验证：** `openssl s_client -connect example.com:443` 检查 Certificate chain。

### IP 哈希（IP Hash）

ip_hash;

ip_hash;

1. **有状态 vs 无状态** → 有状态选 IP Hash / sticky，无状态选轮询

3. **缓存亲和性** → 本地缓存依赖强的应用优先 IP Hash

| `SSL_do_handshake()` | SSL 握手失败 | 证书/协议兼容性 |

**现象**：上游连接数爆表，Tomcat 报 "connection pool exhausted"。

sharedscripts

ssl_ciphers ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;

ssl_session_cache shared:SSL:10m;

ip_hash; # 或 sticky 模块

func SSEHandler(w http.ResponseWriter, r *http.Request) {

ch := make(chan Event)

采用 **Redis Pub/Sub** 或 **消息队列** 实现跨节点消息分发：消息生产者发到 Redis Channel，各节点的 Hub 订阅后转发给本地客户端。

- **背压控制** — 发送队列限长（channel cap），防止慢消费者拖垮进程

| 握手间歇失败 | `SSL_do_handshake() failed` | 协议版本不匹配 | `ssl_protocols TLSv1.2 TLSv1.3;` |

| OCSP stapling 无效 | `ssl_stapling` 相关报错 | DNS 不通 / 证书无 AIA / issuer chain 不全 | 见下方 OCSP 排查 |

5. `ssl_trusted_certificate` 必须是完整的 issuer chain

ssl_ciphers ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;

ssl_session_cache shared:SSL:10m;

brew tap hashicorp/tap

brew install hashicorp/tap/terraform

wget -O- https://apt.releases.hashicorp.com/gpg | gpg --dearmor | sudo tee /usr/share/keyrings/hashicorp-archive-keyring.gpg

echo "deb [signed-by=/usr/share/keyrings/hashicorp-archive-keyring.gpg] https://apt.releases.hashicorp.com $(lsb_release -cs) main" | sudo tee /etc/apt/sources.list.d/hashicorp.list

region = "cn-hangzhou"

Terraform 使用 HCL（HashiCorp Configuration Language）声明式定义基础设施。和 JSON、YAML 不同，HCL 写起来既顺手又有结构——你只需要声明"要什么"，Terraform 自己决定怎么做。

- **未来方向：** HashiCorp 已宣布 DynamoDB 锁方案将被废弃，推荐 S3 原生锁（基于条件写入），无需额外维护 DynamoDB 表

source = "hashicorp/aws"

source = "hashicorp/random"

- uses: hashicorp/setup-terraform@v2

- [[cpu-100-full-chain-diagnosis]] — CPU 100% 故障排查从告警到根因的全链路分析：排查七步法、真实级联故障案例（MySQL 备份锁→从库延迟→GC→CPU）、10 大 CPU 场景速查、多语言排障、JVM 配置、故障复盘清单

- [[k8s-hairpin-troubleshooting]] — K8s Hairpin 发夹回流故障—Pod 可通全网但无法访问自身 Service 的原因、排查与修复

- [[k8s-scheduler-global-optimal-limitations]] — Kubernetes 调度器为什么做不到全局最优？解读调度数据过期、并发冲突、NP-Hard 取舍、打分算法局限及大厂解决方案

- [[keepalived-ha-hidden-pitfalls]] — Keepalived+Nginx 高可用架构 3 个隐藏坑位与生产级防护方案（脑裂/健康检查僵尸进程/配置同步时序陷阱）

- [[keepalived-nginx-ha]] — Keepalived + Nginx 高可用：VRRP/VIP 漂移/主备切换

- Created raw: raw/articles/keepalived-nginx-ha-guide.md

- Created concepts: keepalived-nginx-ha

## [2026-05-11] update | 一次网站访问变慢的排查过程（SHA256一致）

## [2026-05-11] update | 线上频发故障：Nginx（SHA256一致）

- Created raw: raw/articles/redis-connection-exhaustion-postmortem.md

| 自动触发 | `save hanges>` | 配置文件中定义触发条件 |

| 误操作 FLUSHALL | 取决于备份 | 取决于备份 | 取决于备份 |

rdb_changes_since_last_save # 距上次 RDB 的变更数

- [[redis-ha-replication-sentinel]] — Redis 高可用

docker run -e TZ=Asia/Shanghai nginx

**修复方案：** 始终使用具体版本标签，不要用 `latest`。推荐 GitOps 流程：git commit SHA 作为镜像标签。

参见 [[server-security-hardening-checklist]] 的服务器安全加固总纲，以及 [[ssh-brute-force-protection-guide]] 的访问控制实践。

| [[server-security-hardening-checklist]] | 服务器安全加固总纲（含 Docker daemon 安全） |

生产推荐挂载 **Arthas**，用 `dashboard` 实时看 GC 和内存。

场景：`HGETALL` 读取 100 万字段的 Hash 导致 Redis 阻塞

- 大 key 拆分，Hash 单 key 字段数 ≤ 1000

- `CONFIG SET slowlog-log-slower-than 10000` + `SLOWLOG GET 10`

| 26 | 什么是 Helm？ | K8s 包管理工具，管理 Chart 的安装、升级、回滚 | — |

| 37 | 安全最佳实践？ | RBAC + Pod Security Standards + 镜像扫描 + 网络策略 + TLS + 非 root 运行 | [[server-security-hardening-checklist]] |

| 94 | 存储架构设计？ | 需求分析 + 类型选择（PV/PVC/StorageClass）+ 分层 + HA + 监控 |

| [[server-security-hardening-checklist]] | 服务器安全加固（含 K8s 相关） |

kubectl get pods -n --field-selector=status.phase!=Running

echo "[ALERT] Service $SVC in namespace $NS has NO endpoints"

echo "[WARNING] Ingress $INGRESS → Service $SVC has NO endpoints!"

| [[k8s-hairpin-troubleshooting]] | K8s Hairpin 发夹回流故障—Pod 可通全网但无法访问自身 Service 的原因、排查与 |

| [[linux-hardware-info-and-ops-guide]] | Linux 硬件信息查询与软件管理命令速查 — CPU/内存/磁盘/网络/主板全覆盖 |

| [[linux-perf-troubleshooting-handbook]] | Linux 服务器性能排查实战手册 — 60 秒快速摸底/4 大瓶颈排查/3 个实战案例/监控阈值/ |

| [[cpu-100-full-chain-diagnosis]] | CPU 100% 故障排查从告警到根因的全链路分析：排查七步法、真实级联故障案例（MySQL 备份锁 |

| [[linux-hacked-server-emergency-response]] | Linux 服务器入侵应急响应完整清单与实战指南。覆盖从发现被黑到恢复全流程：断网隔离、取证快照、后 |

tags: [nginx, keepalived, networking, production, ha, troubleshooting, monitoring, architecture]

handlers:

| CI/CD 集成 | serial:1 逐台执行 + manual 手动触发 + Ansible handler |

| [[keepalived-nginx-ha]] | Keepalived+Nginx 高可用架构原理与基本配置 |

| 带 hash（`app.8f3a1c.js`） | `expires 30d; add_header Cache-Control "public, immutable";` |

| 不带 hash | `expires 7d; add_header Cache-Control "public";` |

| [[nginx-load-balancing-strategy-guide]] | Nginx 负载均衡策略选择实战指南 — 加权轮询与 IP Hash 深度对比、混合策略最佳实践 |

| [[keepalived-ha-hidden-pitfalls]] | Keepalived+Nginx 高可用架构 3 个隐藏坑位与生产级防护方案（脑裂/健康检查僵尸进程 |

- raw/articles/wechat-一次性把亚马逊 A9、COSMO、Rufus算法讲清楚.md

- raw/articles/wechat-亚马逊75字符标题新规吃透COSMO算法.md

- COSMO：自动关联 `toddler pushchair / travel system / 3 in 1`

cat litter trapping mat large 35x24 extra large litter mat for floor under litter box washable cat litter mat non slip carpet for high peeing cats dirt trapper rug

kitchen timer digital magnetic rechargeable waterproof cartoon

digital kitchen timer digital timer magnetic timer rechargeable timer waterproof timer cartoon kitchen timer

CHANGE MASTER TO

| 双主 | 双向写入 / 快速切换 | HA，注意主键冲突 |

| [[redis-ha-replication-sentinel]] | Redis 主从/哨兵（对比学习数据库 HA） |

- **主从不是备份** — 主从切换依然可能丢数据，复制不能替代备份。Redis 高可用方案参见 [[redis-ha-replication-sentinel]]

- **安全配置** — `rename-command FLUSHALL ""`、`requirepass`、`protected-mode`

- [[redis-ha-replication-sentinel]] — Redis 高可用：主从复制/哨兵/脑裂/集群踩坑

│ │ ├── handlers/main.yml

changed_when: false

| 批量改 root 密码 | `change_root_password.yml` | `-e "new_root_password=..." --ask-vault-pass` |

| 21 | 如何实现容器安全？ | 官方基础镜像 + 最小化 + 漏洞扫描 + 非 root + 只读文件系统 + 限制权限 + 网络策略 | [[server-security-hardening-checklist]] |

| 59 | K8s 安全实践？ | 零信任 + RBAC + NetworkPolicy + 镜像安全 + 机密管理(Vault) + TLS + 运行时安全 + 审计合规 | [[server-security-hardening-checklist]] |

| [[server-security-hardening-checklist]] | 服务器安全加固 |

- raw/articles/wechat-Kubernetes CoreDNS 实现自定义域名解析：从原理到生产实操.md

**需求：** 集群外固定服务（如 Harbor）用统一域名访问。

172.16.29.203 harbor.idcsec.com

hard:

- `node.kubernetes.io/unreachable:NoExecute`

- [[k8s-scheduler-global-optimal-limitations]] — Kubernetes 调度器为什么做不到全局最优？解读调度数据过期、并发冲突、NP-Hard 取舍、

sha256sum file.tar.gz > file.tar.gz.sha256 # 推荐 SHA256

scp file.tar.gz.sha256 user@remote:/remote/

sha256sum -c file.tar.gz.sha256 # 输出 "file.tar.gz: OK" 通过

sources: [raw/articles/linux-kernel-tuning-production.md, raw/articles/server-security-hardening-checklist.md]

完整安全加固清单参见 [[server-security-hardening-checklist]]。

- [[linux-perf-troubleshooting-handbook]] — Linux 服务器性能排查实战手册 — 60 秒快速摸底/4 大瓶颈排查/3 个实战案例/监控阈值/

- [[server-security-hardening-checklist]] — 服务器安全加固清单

- [[linux-hacked-server-emergency-response]] — Linux 服务器入侵应急响应完整清单与实战指南。覆盖从发现被黑到恢复全流程：断网隔离、取证快照、后

- [[cpu-100-full-chain-diagnosis]] — CPU 100% 全链路故障排查

CHANGES=$(rsync -avzn --delete $SOURCE $TARGET | wc -l)

if [ $CHANGES -gt 3 ]; then # 减去输出的统计行

echo "⚠️ 发现 $CHANGES 个文件需要同步，执行增量同步..."

- raw/articles/wechat-亚马逊标题新规2026-短标题商品亮点新时代.md

- raw/articles/wechat-亚马逊75字符标题新规深度解析与运营策略.md

--default-character-set=utf8mb4 \

--default-character-set=utf8mb4 \

sources: [raw/articles/redis-connection-exhaustion-postmortem.md]

| [[redis-ha-replication-sentinel]] | Redis 高可用（主从复制/哨兵/脑裂） |

| [[nginx-load-balancing-strategy-guide]] | Nginx 负载均衡策略选择实战指南 — 加权轮询与 IP Hash 深度对比、混合策略最佳实践 |

| [[cpu-100-full-chain-diagnosis]] | CPU 100% 故障排查从告警到根因的全链路分析：排查七步法、真实级联故障案例（MySQL 备份锁 |

curl -fsSL https://pkg.jenkins.io/debian-stable/jenkins.io-2023.key | sudo tee /usr/share/keyrings/jenkins-keyring.asc > /dev/null

echo "deb [signed-by=/usr/share/keyrings/jenkins-keyring.asc] https://pkg.jenkins.io/debian-stable binary/" | sudo tee /etc/apt/sources.list.d/jenkins.list > /dev/null

helm repo add vm https://victoriametrics.github.io/helm-charts

| [[server-security-hardening-checklist]] | 基础设施安全基线，Gateway TLS 证书使用 |

| 维度 | Nginx Ingress | Traefik | HAProxy Ingress | ALB Ingress（AWS） |

| [[k8s-hairpin-troubleshooting]] | K8s Hairpin 发夹回流故障—Pod 可通全网但无法访问自身 Service 的原因、排查与 |

| 监控 | Prometheus + Thanos / Mimir | 指标存储与统一判定 |

Prometheus / Thanos / OTel / Tempo / Loki — 错误率、P95/P99 延迟、跨集群流量占比、东西向网关异常、Trace 断点分析。

name: shared-pv

path: /shared/data

**故障链：** 某天上班发现 `kubectl` 全部报 `x509: certificate has expired` → 整个集群不可管理。

**修复：** `imagePullPolicy: IfNotPresent`（避免重复拉取）、私有仓库限流 + 镜像预缓存（Harbor P2P）、CI 中验证镜像存在后再部署。

- `node.kubernetes.io/unreachable:NoExecute`

- [[k8s-scheduler-global-optimal-limitations]] — Kubernetes 调度器为什么做不到全局最优？解读调度数据过期、并发冲突、NP-Hard 取舍、

# Message: "0/3 nodes are available: 1 Insufficient memory, 2 node(s) had taints..."

| [[k8s-scheduler-global-optimal-limitations]] | Kubernetes 调度器为什么做不到全局最优？解读调度数据过期、并发冲突、NP-Hard 取舍、 |

# 或直接用 arthas

3. arthas 看线程 → 180 个线程处于 TIMED_WAITING（等数据库返回）

| [[cpu-100-full-chain-diagnosis]] | CPU 100% 故障排查从告警到根因的全链路分析：排查七步法、真实级联故障案例（MySQL 备份锁 |

| [[java-cpu-100-case-study]] | Java 应用 CPU 100% 排查案例（jstack + HashMap 死链 + Full GC） |

| [[linux-perf-troubleshooting-handbook]] | Linux 服务器性能排查实战手册 — 60 秒快速摸底/4 大瓶颈排查/3 个实战案例/监控阈值/ |

| [[cpu-100-full-chain-diagnosis]] | CPU 100% 故障排查从告警到根因的全链路分析：排查七步法、真实级联故障案例（MySQL 备份锁 |

**HashMap 死链（Java 7 及之前）：** 多线程并发扩容 HashMap 时，链表可能形成环形结构，get 操作无限遍历。jstack 中线程状态为 RUNNABLE，连续多次 dump 都卡在同一行代码。

- [[cpu-100-full-chain-diagnosis]] — CPU 100% 故障排查从告警到根因的全链路分析：排查七步法、真实级联故障案例（MySQL 备份锁

- [[linux-perf-troubleshooting-handbook]] — Linux 性能排查实战手册

- [[server-security-hardening-checklist]] — 服务器安全加固清单，含日志审计配置

ACTION=="add|change", SUBSYSTEM=="block", KERNEL=="sd[a-z]", ATTR{queue/rotational}=="0", ATTR{queue/scheduler}="noop"

ACTION=="add|change", SUBSYSTEM=="block", KERNEL=="sd[a-z]", ATTR{queue/rotational}=="1", ATTR{queue/scheduler}="deadline"

total used free shared buff/cache available

cat /proc//smaps | grep -E "^(Rss|Pss|Shared|Private)"

* hard nofile 65535

* hard nproc 65535

| [[server-security-hardening-checklist]] | 服务器安全加固总纲（Nginx 加固上下文） |

| [[nginx-load-balancing-strategy-guide]] | Nginx 负载均衡策略选择实战指南 — 加权轮询与 IP Hash 深度对比、混合策略最佳实践 |

- raw/articles/wechat-亚马逊广告优化的第一原则：先确定你的优先级.md

- **WhatsApp 营销**：许多品牌 20%+ 销售额来自 WhatsApp 复购

- raw/articles/wechat-超详细的亚马逊新手广告架构完整方案（吃透多赚100w）.md

- [[server-security-hardening-checklist]] — 运营安全：服务器安全加固清单（运维与电商共同的底线思维）

- raw/articles/wechat-亚马逊5大广告类型全拆解——新手老手直接照搬.md

- raw/articles/wechat-亚马逊新品，预算充足的情况下如何搭建广告架构？.md

- raw/articles/wechat-聊聊广告竞价那点事儿：三种策略怎么选，出价到底怎么定？.md

以前搜 `office chair` → 现在搜 "办公室久坐腰疼用什么椅子"

- **优势**：延迟极低（微秒级）、路由规则灵活（Exchange + Binding）、管理界面友好、社区成熟

cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime && \

| Keepalived VIP 不漂移 | VRRP 网络排查（tcpdump vrrp） | [[keepalived-nginx-ha]] |

# 用 Wireshark 打开分析 RST 方向和时间线

| [[k8s-hairpin-troubleshooting]] | K8s Hairpin 发夹回流故障—Pod 可通全网但无法访问自身 Service 的原因、排查与 |

- [[cpu-100-full-chain-diagnosis]] — CPU 100% 故障排查从告警到根因的全链路分析：排查七步法、真实级联故障案例（MySQL 备份锁

| [[k8s-scheduler-global-optimal-limitations]] | Kubernetes 调度器为什么做不到全局最优？解读调度数据过期、并发冲突、NP-Hard 取舍、 |

- [[k8s-scheduler-global-optimal-limitations]] — Kubernetes 调度器为什么做不到全局最优？解读调度数据过期、并发冲突、NP-Hard 取舍、

auditctl -w /sbin/iptables -p x -k iptables_change

| [[k8s-hairpin-troubleshooting]] | K8s Hairpin 发夹回流故障—Pod 可通全网但无法访问自身 Service 的原因、排查与 |

hard:

全局资源调度本质是 **NP-Hard** 难题（等价于装箱问题、多维资源规划、图着色）。随着集群规模增长，全局最优的计算复杂度指数级爆炸。

- **PVC 未绑定 → Pod Pending：** `kubectl describe pod` 可看到 `pod has unbound immediate PersistentVolumeClaims`

path: /data/nfs-share

| [[k8s-hairpin-troubleshooting]] |

| [[server-security-hardening-checklist]] | 服务器安全加固清单—20 项新机器上线基线 |

> 来源：Shad0w-top | 发布日期：2025-08-29

"nofile": { "Name": "nofile", "Hard": 65535, "Soft": 65535 }

- [[linux-hardware-info-and-ops-guide]] — 硬件信息查询命令速查

| [[linux-hardware-info-and-ops-guide]] | Linux 硬件信息查询与软件管理命令速查 — CPU/内存/磁盘/网络/主板全覆盖 |

- [[linux-hardware-info-and-ops-guide]] — Linux 硬件信息查询与软件管理命令速查 — CPU/内存/磁盘/网络/主板全覆盖

- [[server-security-hardening-checklist]] — 服务器安全加固清单（含 firewalld/ufw 基础配置）

- [[server-security-hardening-checklist]] — 新机器上线前必做 20 项安全加固（防患于未然的基线）

> 来源：Shad0w-top | 发布日期：2025-07-07

| [[linux-hardware-info-and-ops-guide]] | Linux 硬件信息查询与软件管理命令速查 — CPU/内存/磁盘/网络/主板全覆盖 |

| [[linux-perf-troubleshooting-handbook]] | Linux 服务器性能排查实战手册 — 60 秒快速摸底/4 大瓶颈排查/3 个实战案例/监控阈值/ |

- LVM 官方文档（Red Hat）：理解 snapshot 实现

| [[linux-perf-troubleshooting-handbook]] | Linux 服务器性能排查实战手册 — 60 秒快速摸底/4 大瓶颈排查/3 个实战案例/监控阈值/ |

| [[keepalived-ha-hidden-pitfalls]] | Keepalived+Nginx 高可用架构 3 个隐藏坑位与生产级防护方案（脑裂/健康检查僵尸进程 |

* hard nofile 655350