Linux: понять хост за одну сессию

Linux: первый осмотр

Один хост объединяет ядро, пользователей, файлы, процессы и службы. Начните с чтения состояния: так проще отделить устройство системы от поведения приложения.

Начните с вопроса, на который хотите ответить. Команда pwd сообщает положение оболочки, whoami — эффективного пользователя, uname -r — версию ядра. Ни один из этих ответов отдельно не описывает всю машину. Сопоставьте их с /etc/os-release и назначением выбранной службы: получится небольшой паспорт среды, к которому можно вернуться при следующей проверке.

Не путайте раздел, файловую систему и каталог. Каталог /var может находиться на том же разделе, что и /, или на отдельном. Поэтому свободное место проверяют для пути, куда пишет приложение, а не по первой строке вывода df.

• Оболочка и рабочий каталог
• Версия системы и диски
• Назначение служб

Процессы

Программа на диске и выполняющийся процесс — разные объекты. PID, владелец и состояние помогают найти именно тот экземпляр, который относится к задаче.

Запускаемый файл — инструкция, а процесс — конкретное выполнение этой инструкции. Два запуска создают два PID и могут иметь разных владельцев, параметры и рабочие каталоги. Когда приложение отвечает медленно, полезно сначала установить, какой экземпляр обслуживает запрос, затем смотреть его состояние и потребление ресурсов.

Сигнал — запрос процессу, а не универсальная кнопка очистки. В учебном примере сначала убедитесь, что PID относится к созданному вами sleep. Обычный TERM даёт процессу возможность завершиться; принудительное завершение не должно быть первым диагностическим действием.

• PID и PPID
• Пользователь процесса
• Сигналы и состояние

Файлы и права

Доступ зависит от владельца, группы, режима файла и прав каталогов на пути к нему. Исправляйте конкретную причину, сохраняя минимальные разрешения.

Для обычного файла чтение, запись и исполнение относятся к содержимому. Для каталога чтение позволяет получить список имён, а исполнение — проходить по пути. Поэтому доступ к файлу может отсутствовать даже при подходящем режиме самого файла: проверьте каждый каталог на пути.

Режим 600 оставляет чтение и запись владельцу. Он не выбирает владельца и не исправляет неверную группу. Разбирайте эти свойства отдельно и не расширяйте доступ всему миру только потому, что так исчезает ошибка.

• r/w/x для файла и каталога
• Владелец и группа
• Минимальные права

Ресурсы хоста

Высокая задержка сама по себе не указывает на CPU. Сопоставляйте память, процессор, разделы и временной интервал, прежде чем выбирать действие.

Высокий процент CPU сам по себе не доказывает неисправность: полезная пакетная работа тоже загружает процессор. Сопоставляйте загрузку с длительностью запроса, очередью задач и ограничениями среды. Аналогично, занятая файловым кэшем память не равна потерянной памяти процесса.

• CPU и load average
• Память и swap
• Место и inode

Журналы

Лог — наблюдение о событии, а не готовое доказательство причины. Сначала сузьте время, службу и запрос, затем сопоставьте сообщения с симптомом.

Журнал — последовательность событий, а не полное описание причин. Установите временной интервал, службу и идентификатор запроса. Сообщение об ошибке после перезапуска может быть следствием первоначального сбоя. Сохраните порядок событий в своей записи и отдельно пометьте гипотезу, которую пока не проверяли.

• Временная шкала
• Фильтрация по службе
• Корреляция запросов

Базовая безопасность

Начните с того, кто входит в систему, какие службы слушают сеть и какие права нужны для работы. Отключение защиты обычно скрывает проблему вместо объяснения.

Минимальная база начинается с понятных владельцев доступа и обновлений. Для каждого входа определите пользователя, способ аутентификации и нужную задачу. Проверьте, что приложение получает только необходимые права. Учебная практика не требует открывать порты, менять рабочие ключи или отключать защиту на личном компьютере.

• Минимальные привилегии
• Слушающие порты
• Секреты вне кода