Linux Labs

А

абсолютный путь absolute path Путь, который начинается с / и указывает на файл от корня файловой системы; результат не зависит от текущего каталога. Пример: /etc/ssh/sshd_config. Базовые команды
авторизация authorization Решение о разрешённых действиях для установленной личности и её полномочий. Пользователи и права
адрес привязки bind address Локальный адрес, с которым приложение связывает сокет и тем самым ограничивает область прослушивания. Сеть
аргумент команды command argument Слово командной строки после имени команды, которое оболочка передаёт программе. Оболочка делит строку на аргументы по пробелам; кавычки объединяют слова с пробелами в один аргумент. Базовые команды
архитектура пакета package architecture Целевая архитектура пакета; all обозначает независимое от архитектуры содержимое, не любую ОС. Пакеты
аутентификация authentication Проверка заявленной личности, например с помощью пароля или ключа. Сеть

Б

блок location location block Блок внутри server с правилами для части путей: location /api/ ловит запросы, чей путь начинается с /api/. Из подходящих префиксов выигрывает самый длинный. Службы и systemd
блок файловой системы filesystem block Единица распределения пространства файловой системой; размер определяется её форматом и параметрами. Хранилище и ФС
блокировка файла file lock Отметка ядра на открытом файле: пока процесс её держит, другой процесс такую же не получит. Снимается, когда файл закрыт или процесс завершился. Процессы
блочное устройство block device Устройство, предоставляющее доступ к адресуемым блокам хранилища; может содержать файловую систему. Хранилище и ФС
бэкенд (upstream) upstream (backend) Приложение за обратным прокси, которому nginx пересылает запрос, — адрес и порт или unix-сокет из proxy_pass. В error.log nginx его называет поле upstream. Службы и systemd

В

вердикт фильтра firewall verdict Решение при обработке правила, например разрешить, отбросить или явно отклонить пакет. Сеть
виртуальный HTTP-сайт HTTP virtual host Сайт, выбираемый по имени при совместном использовании адреса и порта. Службы и systemd
владелец файла file owner Пользователь (UID) и группа (GID), записанные в inode файла; по ним ядро выбирает, какой набор прав применить. Меняются командами chown и chgrp. Пользователи и права

Г

главный процесс контейнера container main process Процесс, который запускает команда образа (CMD, ENTRYPOINT) или docker run; внутри контейнера у него PID 1. Он завершился — контейнер переходит в Exited с его кодом завершения. Контейнеры
группа томов (VG) volume group (VG) Объединение пространства физических томов, из которого LVM выделяет логические тома. Хранилище и ФС

Д

демон (daemon) Фоновый процесс-служба без терминала, обычно запускается systemd и работает постоянно. Процессы
дистрибутив distribution Поддерживаемый набор ядра, системных программ, пакетов и настроек, например Ubuntu. Базовые команды
домашний каталог home directory Личный каталог пользователя, указанный в /etc/passwd, обычно /home/<имя>; у root — /root. Оболочка подставляет его вместо ~, путь хранится в переменной HOME. Базовые команды
дополнительная группа supplementary group Дополнительное членство, учитываемое при доступе; уже запущенный процесс хранит свой список групп. Пользователи и права

Ж

жёсткая ссылка hard link Ещё одно имя в каталоге для того же inode. Данные файла освобождаются, когда удалены все имена и файл не открыт ни одним процессом. Работает только в пределах одной файловой системы. Базовые команды

З

зависимость пакета package dependency Требование пакета к другому пакету, иногда с ограничением версии. Пакеты
заголовок Host Host header Заголовок запроса с именем сайта из адреса. По нему сервер выбирает сайт среди нескольких на одном адресе и порту; в HTTP/1.1 он обязателен. Сеть
заголовок HTTP HTTP header Строка «Имя: значение» после первой строки запроса или ответа — Host, Content-Type, Location и другие; заголовки кончаются пустой строкой. Сеть
задание оболочки shell job Запущенная оболочкой команда или конвейер, учитываемые в её локальной таблице заданий. Процессы
закрытый ключ private key Секретная половина пары ключей; лежит на сервере и доказывает, что сертификат принадлежит ему. Сертификат и ключ должны быть парой, иначе nginx не примет конфиг (key values mismatch). Безопасность
запись A A record DNS-запись с IPv4-адресом для имени. Сеть
запрос на сертификат (CSR) certificate signing request (CSR) Файл с открытым ключом и нужными именами, подписанный закрытым ключом. CA выпускает по нему сертификат; новый CSR на прежний ключ — новый сертификат без смены ключа. Безопасность
зеркало каталога directory mirror Копия текущего состояния дерева; без отдельной истории не сохраняет предыдущие версии. Хранилище и ФС
зомби-процесс zombie process Завершившийся процесс, статус которого ещё не собран родителем; полезный код он уже не выполняет. Процессы

И

идемпотентность idempotency Свойство действия: повторное применение к уже достигнутому состоянию не меняет целевой результат по сравнению с одним применением. Базовые команды
инвентарь (inventory) Список машин и групп, с которыми работает Ansible: имя машины, адрес ansible_host, пользователь ansible_user, способ подключения. Обычно файл inventory.ini, передаётся ключом -i. Автоматизация
индекс пакетов package index Метаданные об известных пакетах и версиях; локальная копия может устареть. Пакеты
интерпретатор interpreter Программа, которая читает скрипт и выполняет его команды по очереди: bash, sh, python3. На Ubuntu sh — это dash, у него меньше возможностей, чем у bash. Базовые команды
исходный том снимка (origin) snapshot origin Том, состояние которого сохранено снимком; классический снимок использует его неизменившиеся блоки. Хранилище и ФС

К

кандидат на установку installation candidate Версия, которую APT выбирает по текущим сведениям и политике; не обязательно уже установленная. Пакеты
ключ SSH-сервера SSH host key Ключевая пара идентичности SSH-сервера, отличная от пользовательских ключей входа. Сеть
код завершения exit status Результат выполнения команды: ноль обычно означает успех, ненулевой код требует интерпретации. Базовые команды
кольцевой буфер ядра kernel ring buffer Память фиксированного размера, куда ядро пишет свои сообщения; когда она полна, новые строки вытесняют старые. Читает dmesg (в Ubuntu — только root), копию с точным временем хранит journalctl -k. Загрузка
коммит commit Снимок файлов репозитория с автором, датой и сообщением. У каждого коммита свой хэш (c9ab4a3), по нему коммит находят git show, git revert и git blame. Автоматизация
конвейер (pipeline) Цепочка команд через |: стандартный вывод каждой команды подаётся на стандартный ввод следующей, команды работают одновременно. Код завершения конвейера — код последней команды, если не включён pipefail. Базовые команды
контейнер container Процесс, запущенный из образа в своих пространствах имён: со своим именем, файловой системой и статусом в docker ps -a. Живёт, пока жив его главный процесс. Контейнеры
контекст сборки build context Каталог, который docker build отправляет демону: точка в команде «docker build -t app .». COPY берёт файлы только из него, лишнее отсекает файл .dockerignore. Контейнеры
контрольная сумма содержимого content checksum Вычисленное из содержимого значение для обнаружения различий; назначение зависит от этапа проверки. Хранилище и ФС
конфликт слияния merge conflict Обе стороны поменяли одни и те же строки, и git не может слить их сам: он пишет в файл обе версии между метками <<<<<<<, ======= и >>>>>>> и ждёт правки и git add. Автоматизация
копирование при записи (COW) copy-on-write (COW) Механизм сохранения прежних данных при изменении общих блоков; используется классическими снимками LVM. Хранилище и ФС
корень сайта (root) document root Каталог, от которого nginx строит путь файла: к root дописывается путь из запроса — root /var/www/docs и /a.html дают /var/www/docs/a.html. Службы и systemd
кэш сборки build cache Слои прошлых сборок, которые docker build берёт повторно, если инструкция и её файлы не изменились (Using cache). Изменённый шаг пересобирается вместе со всеми шагами ниже. Контейнеры
кэш страниц (page cache) Копии прочитанных и записанных файлов в памяти: повторное чтение идёт без диска. В free — buff/cache; когда программам нужна память, ядро освобождает кэш, поэтому запас — available. Процессы

Л

линтер linter Программа, которая проверяет текст кода без запуска и указывает на вероятные ошибки и опасные приёмы; для скриптов оболочки — shellcheck. Базовые команды
логический дамп logical dump Копия базы в виде команд и данных (CREATE, COPY), которую снимает pg_dump; восстанавливается в базу той же или более новой версии. Роли в него не входят. Службы и systemd
логический размер apparent size Размер файла в байтах, включая пропуски разреженного файла; может отличаться от выделенного места. Хранилище и ФС
логический том (LV) logical volume (LV) Блочное устройство LVM, получающее пространство из группы томов. Хранилище и ФС

М

манифест резервной копии backup manifest Описание ожидаемых объектов копии и их существенных свойств для проверки полноты и восстановления. Хранилище и ФС
маршрут route Правило выбора пути к сети или узлу назначения, например через интерфейс и следующий шлюз. Сеть
маршрут blackhole blackhole route Маршрут, намеренно отбрасывающий пакеты к заданному назначению. Сеть
маршрут по умолчанию default route Маршрут с нулевой длиной префикса, подходящий при отсутствии более специфичного совпадения. Сеть
межсетевой экран firewall Механизм фильтрации сетевого трафика по заданным условиям и действиям. Сеть
метка файловой системы filesystem label Короткое имя файловой системы, заданное при создании (mkfs.ext4 -L) или позже (e2label). По нему находят раздел: LABEL=data в fstab, blkid -L data. Хранилище и ФС
метод HTTP HTTP method Первое слово запроса HTTP — что клиент просит сделать с ресурсом: GET — отдать, HEAD — только заголовки, POST — принять данные. Сеть
метрика маршрута route metric Числовое предпочтение между сравнимыми маршрутами; обычно меньшее значение предпочтительнее. Сеть
минимальные привилегии least privilege Правило: программа и пользователь получают только те права, без которых не сделают свою работу. Службе — свой пользователь, запись только в свой каталог, без capabilities, которые ей не нужны. Безопасность
модуль Ansible Ansible module Программа, которую Ansible запускает на машине для одного вида работы — ping, copy, template, service. Модуль сначала смотрит, что на машине, и отвечает ok или changed. Автоматизация

О

оболочка (shell) Интерпретатор команд: читает командную строку, раскрывает переменные и шаблоны, запускает процессы. Интерактивная оболочка по умолчанию во многих дистрибутивах — Bash. Базовые команды
оболочка входа (login shell) Программа из последнего поля /etc/passwd, которую система запускает при входе пользователя: обычно /bin/bash, у служб — /usr/sbin/nologin. Меняет её usermod -s. Пользователи и права
обработчик (handler) Задача плейбука, которая выполняется, только если её позвала через notify другая задача и та что-то изменила (changed). Идёт один раз в конце плея — например, перечитать конфиг nginx. Автоматизация
образ контейнера container image Неизменяемый шаблон контейнера: слои с файлами и настройки запуска — команда, переменные, порт. Из одного образа создаётся сколько угодно контейнеров. Контейнеры
обратный прокси reverse proxy Сервер, который принимает запросы клиентов, пересылает их приложению за собой и отдаёт клиенту ответ приложения. Так работает nginx с proxy_pass. Службы и systemd
обратный путь return path Маршрут ответа от получателя к исходному отправителю. Сеть
общая библиотека (shared library) Файл .so с кодом, который подключают многие программы сразу (libc.so.6, libssl.so.3): ядро отображает его в память каждого процесса-пользователя. Новая версия библиотеки действует на процесс только после его перезапуска. Процессы
ограничения службы (systemd hardening) service hardening (systemd) Ключи юнита, которые отбирают у службы лишние права: User= вместо root, ProtectSystem= (система только для чтения), NoNewPrivileges=, CapabilityBoundingSet=. Насколько служба открыта, оценивает systemd-analyze security. Безопасность
опция команды command option Аргумент, который меняет поведение программы; обычно начинается с - (короткая форма, -l) или -- (длинная, --all). Аргумент -- обычно означает конец опций. Список опций — в man и --help. Базовые команды
основная группа primary group Группа, назначенная учётной записи основной; процесс имеет свой действующий идентификатор группы. Пользователи и права
относительный путь relative path Путь без начального /, который отсчитывается от текущего каталога процесса. Компоненты . и .. обозначают сам каталог и родительский. Базовые команды
отпечаток ключа key fingerprint Компактное представление ключа для сравнения с доверенным значением. Сеть
отслеживание соединений connection tracking Сопоставление пакетов с известными соединениями и состояниями сетевого обмена. Сеть
оценка OOM (oom_score) OOM score (oom_score) Число, по которому OOM killer выбирает жертву: растёт с памятью процесса, поправка oom_score_adj от -1000 до 1000 сдвигает его. Видно в /proc/<pid>/oom_score и choom -p. Процессы
оценка открытости службы (exposure) exposure level Число от 0 до 10 в выводе systemd-analyze security: сколько защит юниту не включено. 9.6 UNSAFE — служба с правами root без ограничений, ниже 5 — MEDIUM и меньше. Ключ --threshold делает проверку с кодом возврата. Безопасность

П

пакет package Единица поставки файлов и метаданных, учитываемая пакетным менеджером. Пакеты
пара veth veth pair Два виртуальных интерфейса, соединённых как кабель: что ушло в один конец, выходит из другого. Ими связывают сетевые пространства имён. Сеть
перебор паролей (brute force) brute force (password guessing) Атака, при которой входят подряд с разными паролями, пока какой-то не подойдёт. Следы — сотни строк «Failed password» в журнале sshd. Защита — вход по ключу, faillock и бан адреса fail2ban. Безопасность
передний план foreground Режим, в котором оболочка ждёт окончания команды: терминал занят ею, Ctrl+C и Ctrl+Z действуют на неё. Задание из фона возвращает fg. Процессы
переменная окружения environment variable Пара ИМЯ=значение в окружении процесса; дочерние процессы получают копию. В Bash переменную добавляют в окружение через export, окружение выводит env. Базовые команды
перенаправление redirection Указание оболочке связать поток команды с файлом или другим дескриптором: > перезаписывает файл, >> дописывает, < читает из файла, 2>&1 направляет stderr туда же, куда stdout. Базовые команды
перенаправление (301) redirect (301) Ответ 3xx с заголовком Location — сервер отправляет клиента по другому адресу; 301 — насовсем, 302 — временно. curl -L идёт по ним сам. Сеть
плейбук (playbook) YAML-файл с плеями (play) Ansible: на каких машинах (hosts) и какие задачи выполнить по порядку. Запускается командой ansible-playbook. Автоматизация
поверхность атаки attack surface Всё, до чего можно достучаться снаружи: сокеты, слушающие внешние адреса, и порты, которые пропускает файрвол, — а за ними службы и учётные записи. Аудит начинают с sudo ss -tlnp: какие сокеты слушают и чьи они. Безопасность
подсеть subnet Адреса с одним номером сети, например 192.0.2.0/24: соседи в ней обмениваются пакетами напрямую, в чужую подсеть нужен маршрут. Сеть
позиционный параметр positional parameter Аргумент скрипта по номеру: $1, $2 и дальше; $# — число аргументов, "$@" — все аргументы, каждый отдельным словом. Базовые команды
политика перезапуска restart policy Правило, по которому Docker сам запускает остановившийся контейнер: no, on-failure, always или unless-stopped. Задаётся ключом --restart при создании или командой docker update. Контейнеры
политика цепочки chain policy Решение по умолчанию при достижении конца базовой цепочки без завершающего вердикта. Сеть
полное доменное имя fully qualified domain name Имя, полностью определяющее положение в иерархии DNS; завершающая точка обозначает корень. Сеть
пользовательская SSH-ключевая пара SSH user key pair Закрытый ключ клиента и соответствующий публичный ключ для аутентификации учётной записи. Сеть
пользовательская сеть Docker user-defined network Сеть, созданная docker network create или compose. Контейнеры в ней находят друг друга по имени через DNS Docker (127.0.0.11); в сети по умолчанию bridge имён нет. Контейнеры
порядок запуска юнитов unit ordering Строки After= и Before= юнита: кто кого ждёт, если оба запускаются. Сами они юнит не запускают — для этого Wants= или Requires=, поэтому их пишут парой. Службы и systemd
последовательность (sequence) Счётчик PostgreSQL, из которого берутся новые id столбца serial; дамп хранит его значение через setval. Отставший счётчик после восстановления даёт duplicate key на следующей вставке. Службы и systemd
права доступа file permissions Биты r, w, x для владельца, группы и остальных, хранятся в inode файла. Для каталога r разрешает читать список имён, w вместе с x — создавать и удалять записи, x — обращаться к файлам внутри. Меняются командой chmod. Пользователи и права
правило аудита audit rule Строка для auditd: за каким файлом или системным вызовом следить и с каким ключом записывать событие — auditctl -w /etc/hosts -p wa -k hosts. Постоянные правила — в /etc/audit/rules.d, поиск — ausearch -k. Безопасность
приоритет nice nice value Число от -20 до 19, по которому планировщик делит процессор: чем оно больше, тем меньше доля процесса. Запуск — nice -n 10 команда, работающий процесс — renice; понизить приоритет может владелец, повысить — только root. Процессы
пробный запуск dry run Режим просмотра предполагаемых изменений без их применения; не блокирует данные от последующих изменений. Хранилище и ФС
проверка восстановления restore test Практическая проверка получения требуемого состояния из резервной копии. Хранилище и ФС
проверка здоровья (healthcheck) Команда, которую Docker регулярно выполняет внутри контейнера: код 0 — healthy, после нескольких неудач подряд — unhealthy. Статус виден в docker ps. Контейнеры
промежуточный CA intermediate CA Центр сертификации между корнем и сайтом — его подписал корневой CA, а он подписывает сертификаты сайтов. Клиент его не знает, поэтому сервер отдаёт его вместе с сертификатом сайта. Безопасность
промежуточный каталог восстановления restoration staging directory Отдельное место для распаковки и проверки восстановленных данных до замены рабочей версии. Хранилище и ФС
профиль AppArmor AppArmor profile Файл в /etc/apparmor.d со списком того, что программе можно: пути с правами r, w, x и capabilities. В режиме enforce ядро запрещает остальное и пишет apparmor="DENIED", в complain — только пишет. Безопасность
процесс process Выполняющийся экземпляр программы со своим PID, адресным пространством, открытыми файлами и учётными данными. Новые процессы порождаются существующими через fork() или clone(). Процессы
публикация порта port publishing Проброс порта хоста в контейнер: -p 8080:80 — запросы на порт 8080 хоста попадают на порт 80 контейнера. Без неё служба в контейнере доступна только из сети Docker. Контейнеры

Р

разбиение на слова word splitting Шаг разбора команды: значение $имя без кавычек оболочка делит по пробелам на отдельные аргументы. В двойных кавычках "$имя" остаётся одним аргументом. Базовые команды
раздел диска partition Непрерывный участок диска, записанный в таблице разделов. Ядро показывает его отдельным устройством (/dev/vdb1, /dev/loop0p1), на нём создают файловую систему. Хранилище и ФС
разреженный файл sparse file Файл с логическими областями без выделенных блоков данных; чтение таких пропусков возвращает нули. Хранилище и ФС
регулярное выражение regular expression Шаблон, под который подходит множество строк: символы, классы [0-9], повторы * и +, якоря ^ и $. По нему grep ищет строки, sed заменяет текст, awk выбирает строки. Базовые команды
реестр образов image registry Сервер, где хранятся образы и откуда их скачивает docker pull: Docker Hub, GitLab Registry, свой реестр компании. Имя реестра — первая часть полного имени образа. Контейнеры
резервная копия backup copy Копия данных для восстановления после заданного события; её полноту, доступность и восстановимость нужно проверять. Хранилище и ФС
резолвер resolver Механизм получения данных по имени из настроенных источников. Сеть
репозиторий git git repository Каталог .git рядом с рабочими файлами: в нём вся история — коммиты, ветки, настройки. git status и git log работают внутри каталога с таким .git. Автоматизация
репозиторий пакетов package repository Источник пакетов и описывающих их индексов, доступный по сети или локально. Пакеты
роль PostgreSQL PostgreSQL role Учётная запись внутри PostgreSQL; роль с правом LOGIN — пользователь базы. С пользователями Linux не связана, кроме проверки peer. Службы и systemd

С

самоподписанный сертификат self-signed certificate Сертификат, подписанный своим же ключом: subject и issuer совпадают. Так устроен любой корневой CA — ему верят, потому что он в хранилище доверия; чужой такой сертификат curl отвергает (self-signed certificate). Безопасность
сервер по умолчанию default server Блок server, который nginx выбирает, когда Host запроса не совпал ни с одним server_name на этом адресе и порту: помеченный default_server, а без пометки — первый. Службы и systemd
сервис compose compose service Запись в разделе services файла compose.yaml: образ, команда, порты и тома контейнера. Имя сервиса — его имя в DNS сети проекта. Контейнеры
сертификат (X.509) certificate (X.509) Файл, где удостоверяющий центр своей подписью связывает открытый ключ с именами сайта на срок от notBefore до notAfter. Сервер показывает его клиенту в начале TLS. Безопасность
сетевое пространство имён network namespace Изолированное сетевое окружение Linux с собственными интерфейсами, маршрутами и рядом сетевых настроек. Процессы
сетевой renderer network renderer Исполнитель сетевой конфигурации, для которого Netplan генерирует настройки. Сеть
сетевой интерфейс network interface Объект ядра для передачи и приёма пакетов; может быть физическим или виртуальным. Сеть
сетевой порт network port Числовой идентификатор транспортного получателя внутри узла; TCP и UDP имеют отдельные пространства портов. Сеть
сетевой префикс network prefix Начальная часть адреса, задающая сеть; /N обозначает её длину в битах. Сеть
сигнал signal Уведомление процесса о событии или запросе; действие зависит от сигнала и программы. Процессы
символическая ссылка symbolic link Отдельный файл, который хранит путь к другому файлу. Если цель удалить или переместить, ссылка становится битой. Создаётся командой ln -s. Базовые команды
системный вызов (system call) Просьба программы к ядру: открыть файл (openat), прочитать (read), записать (write), подключиться (connect), завершиться (exit_group). strace печатает каждый вызов с результатом; отказ — -1 и имя ошибки. Процессы
сквозная проверка end-to-end check Проверка требуемой операции от клиента до ожидаемого ответа сервиса. Сеть
слияние снимка snapshot merge Возврат origin к состоянию снимка с отменой последующих изменений в области отката. Хранилище и ФС
слой контейнера container layer Слой для записи поверх слоёв образа: всё, что контейнер меняет в своих файлах, попадает сюда. Удаляется вместе с контейнером командой docker rm. Контейнеры
слой образа image layer Часть образа — архив изменений файлов, который дала одна инструкция Dockerfile. Слои только читаются и общие у образов с одной основой; список — docker history. Контейнеры
служба (service) Программа, которая работает в фоне и выполняет функцию для системы или сети. В systemd служба описывается юнитом типа .service и управляется через systemctl. Службы и systemd
служба oneshot oneshot service Служба systemd с Type=oneshot: выполняет команду и завершается; systemctl start ждёт её конца и сообщает успех или сбой. Службы и systemd
слушающий сокет listening socket Сокет сервера, ожидающий новых подключений; отличается от сокетов принятых соединений. Сеть
снимок LVM LVM snapshot Представление состояния тома на определённый момент; классический снимок зависит от origin и запаса COW. Хранилище и ФС
согласованность приложения application consistency Свойство сохранённых данных образовывать допустимое целостное состояние для приложения. Хранилище и ФС
сокет socket Объект взаимодействия программы с сетевым стеком или другим механизмом обмена. Сеть
состояние D (непрерывный сон) state D (uninterruptible sleep) Процесс ждёт, пока ядро закончит операцию за него: ввод-вывод диска, запись в файловую систему, ответ сервера NFS. Сигналы, даже SIGKILL, подействуют только после конца ожидания. Входит в load average. Процессы
стандартный ввод standard input Входной поток с файловым дескриптором 0; источником может быть терминал, файл или канал. Базовые команды
стандартный вывод standard output Основной выходной поток с файловым дескриптором 1; может быть перенаправлен. Базовые команды
стандартный поток ошибок standard error Поток диагностики с файловым дескриптором 2, отдельный от стандартного вывода. Базовые команды
счётчик пакетов packet counter Число пакетов, прошедших через действие counter; обычно сопровождается счётчиком байтов. Сеть

Т

таблица nftables nftables table Именованная группа цепочек и других объектов в определённом семействе nftables. Сеть
таблица разделов partition table Запись в начале диска о том, где начинается и кончается каждый раздел. Форматы — GPT (новые системы) и MBR (msdos); создают её fdisk или parted, тип показывает blkid -p (PTTYPE). Хранилище и ФС
тайм-аут timeout Завершение ожидания по установленному пределу времени; само по себе не определяет причину задержки. Сеть
таймер systemd systemd timer Юнит .timer, который по расписанию или через заданное время запускает службу, обычно одноимённую. Службы и systemd
тег образа image tag Подвижное имя образа после двоеточия: nginx:alpine, app:1.1. Без тега подставляется latest. После новой сборки тот же тег указывает на новый образ. Контейнеры
текущий каталог working directory Каталог, от которого процесс отсчитывает относительные пути. В оболочке его показывает pwd и меняет cd; дочерний процесс наследует его от родителя. Базовые команды
терминал terminal Интерфейс ввода и вывода для текстовых программ. Командный язык разбирает оболочка. Базовые команды
том (volume) Каталог под управлением Docker (/var/lib/docker/volumes/<имя>/_data), подключённый в контейнер. Удаление контейнера его не трогает: данные живут, пока не удалят сам том. Контейнеры
точка монтирования mount point Каталог, в котором подключённая файловая система становится доступна в дереве путей. Хранилище и ФС

У

удалённый открытый файл open unlinked file Файл, последнее имя которого удалено, но процесс ещё держит его открытым, сохраняя доступ к данным. Процессы

Ф

файл ~/.pgpass ~/.pgpass file Пароли PostgreSQL для клиента: строки адрес:порт:база:роль:пароль, режим 0600 — иначе файл пропускается с предупреждением. Переменная PGPASSWORD важнее файла. Службы и systemd
файловая система filesystem Способ организации файлов, каталогов, метаданных и выделенного пространства на хранилище. Хранилище и ФС
файловый дескриптор file descriptor Неотрицательное целое число, которым процесс ссылается на открытый файл, канал или сокет. По соглашению 0, 1 и 2 — стандартные потоки; открытые дескрипторы процесса перечислены в /proc/<PID>/fd. Процессы
физический том (PV) physical volume (PV) Устройство, подготовленное для включения в группу томов LVM. Хранилище и ФС
физический экстент physical extent Единица распределения пространства PV внутри группы томов LVM. Хранилище и ФС
фильтр filter Команда, которая читает файл или стандартный ввод, обрабатывает текст и печатает результат в стандартный вывод: grep, head, sort, uniq, wc. Фильтры соединяют в конвейер. Базовые команды
фон (фоновое задание) background (background job) Режим, в котором команда работает, а оболочка сразу печатает приглашение: команду запускают с & в конце или продолжают командой bg. Процессы
формат custom (-Fc) custom format (-Fc) Сжатый архив pg_dump, который читает только pg_restore: можно посмотреть оглавление (-l) и восстановить выборочно. Файл начинается с байтов PGDMP. Службы и systemd

Х

характеристика соединения connection tuple Набор исходного и целевого адресов, портов и транспортного протокола. Сеть
хранение версий копий backup retention Правила сохранения и удаления предыдущих состояний резервных копий. Хранилище и ФС
хранилище доверия trust store Корневые сертификаты CA, которым верит клиент. В Ubuntu — /etc/ssl/certs, свой CA туда добавляет update-ca-certificates; для одного запроса CA указывают ключом curl --cacert. Безопасность

Ц

цель (target) Юнит systemd без своей работы — имя для группы юнитов и состояние системы, до которого systemd доводит загрузку: multi-user.target у сервера, rescue.target для починки. Загрузка
центр сертификации (CA) certificate authority (CA) Тот, кто подписывает сертификаты; его имя — в поле issuer. Клиент верит сертификату, если цепочка подписей доходит до корневого CA из его хранилища доверия. Безопасность
цепочка nftables nftables chain Упорядоченная последовательность правил; базовая цепочка привязана к hook обработки пакетов. Сеть
цепочка сертификатов certificate chain Сертификат сайта и промежуточные сертификаты CA до корня, каждый подписан следующим. Сервер отдаёт сертификат сайта и промежуточные, корень у клиента свой. Безопасность

Ч

часовой пояс time zone Правило показа времени: смещение от UTC и переводы часов. Пояс машины — ссылка /etc/localtime на файл из /usr/share/zoneinfo, меняется timedatectl set-timezone. Службы и systemd

Ш

шаблон Jinja2 Jinja2 template Файл .j2, в котором {{ имя }} заменяется значением переменной. Модуль template собирает из него готовый файл на машине и пишет changed, только если результат отличается. Автоматизация
шлюз gateway Следующий узел, которому передаётся пакет по выбранному маршруту. Сеть

Э

элемент архива archive member Объект с именем, содержимым или метаданными, хранящийся внутри архива. Хранилище и ФС
эффективный UID effective UID Идентификатор пользователя процесса, участвующий в обычных проверках его полномочий. Пользователи и права

Ю

юнит (unit) Единица управления systemd (служба, сокет, таймер, mount). Описывается unit-файлом. Службы и systemd

Я

ядро (kernel) Центральная часть ОС: управляет процессами, памятью, устройствами и файловыми системами; программы обращаются к нему через системные вызовы. Версию показывает uname -r. Загрузка

A

ARP Протокол определения канального адреса соседа по его IPv4-адресу в локальной сети. Сеть
authorized_keys Серверный файл публичных ключей, разрешённых для входа учётной записи. Сеть

B

bare-репозиторий bare repository Репозиторий git без рабочих файлов — только история. В него отправляют push с разных машин; создаётся git init --bare, по обычаю с именем на .git. Автоматизация
bind mount Каталог или файл хоста, подключённый внутрь контейнера по пути: -v /srv/web:/www. Контейнер видит те же файлы с теми же числовыми владельцами и правами. Контейнеры

C

capabilities (возможности) Права root, разделённые ядром на части: CAP_NET_BIND_SERVICE — порт ниже 1024, CAP_DAC_OVERRIDE — обход прав файлов. Процесс или файл (setcap) получает только нужную часть вместо всего root. Безопасность
conffile Конфигурационный файл, явно зарегистрированный пакетом для специальной обработки локальных изменений dpkg. Пакеты

D

DHCP Протокол автоматического получения сетевых параметров от сервера. Службы и systemd
digest образа image digest SHA-256 манифеста образа, sha256:… — отпечаток содержимого. nginx@sha256:… всегда означает одни и те же слои, а тег может переехать на другой образ. Контейнеры
DNS Система распределённых имён и записей. Сеть
DNS Docker Docker DNS DNS-сервер Docker на 127.0.0.11 в пользовательских сетях: отвечает именами контейнеров и сервисов compose своей сети. В сети bridge по умолчанию его нет — там DNS-серверы хоста. Контейнеры
Docker Платформа контейнеров: служба dockerd создаёт и запускает контейнеры из образов, команда docker ею управляет. Доступ к службе — у root и группы docker. Контейнеры
docker compose Плагин Docker, который описывает несколько контейнеров, их сеть, тома и переменные в файле compose.yaml и поднимает их одной командой docker compose up -d. Контейнеры
Dockerfile Текстовый файл с инструкциями сборки образа: FROM — основа, COPY и RUN дают слои, CMD — команда запуска. Образ из него собирает docker build. Контейнеры
drop-in (файл дополнения юнита) drop-in (unit override file) Файл .conf в каталоге /etc/systemd/system/<юнит>.d/: его строки дополняют или заменяют строки юнита, а сам юнит остаётся как есть. После правки — systemctl daemon-reload. Службы и systemd

F

faillock (блокировка после неудачных входов) faillock (lockout after failed logins) Модуль PAM pam_faillock: считает неудачные входы пользователя и после deny попыток подряд не пускает его даже с верным паролем, пока не пройдёт unlock_time. Счётчик — faillock --user, сброс — faillock --reset. Безопасность
fstab Таблица описания файловых систем, их источников, точек монтирования и параметров подключения. Хранилище и ФС

G

GID Числовой идентификатор группы, используемый в свойствах процессов и файлов. Пользователи и права

H

hook Netfilter Netfilter hook Этап сетевой обработки, к которому можно подключить базовую цепочку фильтрации. Сеть
HTTP Прикладной протокол обмена запросами и ответами, используемый веб-сервисами. Сеть
HTTP-статус HTTP status Трёхзначный код в ответе HTTP, описывающий результат обработки запроса сервером. Сеть

I

ICMP Протокол управляющих сообщений IP; ping использует эхо-запросы и эхо-ответы. Сеть
initramfs Временная корневая файловая система в памяти, которую загрузчик даёт ядру вместе с ним: её программы находят и монтируют настоящий корень и передают работу systemd. Загрузка
inode Структура ФС с метаданными файла (права, владелец, размер, ссылки на блоки) — но не имя. Хранилище и ФС
iowait (ожидание ввода-вывода) Простой процессора, пока хотя бы один процесс ждёт ответа диска: wa в top и vmstat, %iowait в iostat и mpstat. Это вид простоя: если процессору есть другая работа, wa падает до нуля, хотя диск по-прежнему занят. Процессы
IP-адрес IP address Адрес сетевого уровня, назначаемый интерфейсу для обмена пакетами IPv4 или IPv6. Сеть

J

jail (правило fail2ban) jail (fail2ban) Связка в fail2ban: откуда читать журнал (backend, logpath), какой фильтр искать, сколько неудач допустить (maxretry за findtime) и на сколько банить адрес (bantime). Состояние — fail2ban-client status <jail>. Безопасность
journalctl Просмотр журнала systemd (journald). journalctl -u nginx — логи конкретной службы. Логи и аудит

K

known_hosts Клиентский список доверенных ключей SSH-серверов и их имён/адресов. Сеть

L

load average Среднее число задач, которые выполняются или ждут процессор (состояние R) и ждут ядро в непрерывном сне (состояние D), за 1, 5 и 15 минут. Сравнивают с числом процессоров из nproc. Процессы
loop-устройство loop device Блочное устройство Linux, использующее обычный файл как хранилище данных. Хранилище и ФС
loopback Локальный интерфейс для обмена внутри сетевого окружения; типичные адреса 127.0.0.1 и ::1. Сеть
LVM Система управления логическими томами: распределяет пространство физических томов через группы томов. Хранилище и ФС

N

nginx Высокопроизводительный веб-сервер и обратный прокси. Конфиг проверяется через nginx -t. Службы и systemd
NoNewPrivileges (запрет новых привилегий) Флаг процесса no_new_privs: ни процесс, ни его потомки не получат больше прав через setuid-программы (sudo, su) и capabilities файлов. В юните — NoNewPrivileges=yes; sudo внутри отвечает «no new privileges». Безопасность
NSS Механизм выбора источников для разрешения имён пользователей, групп, хостов и других записей. Пользователи и права
NTP Протокол сверки часов с сервером времени по сети, UDP-порт 123. Клиент — systemd-timesyncd или chrony, сервер для своих машин — chrony с allow. Службы и systemd

O

OOM killer Механизм ядра: когда память кончилась во всей системе или в cgroup с лимитом, выбирает процесс с наибольшей оценкой oom_score и завершает его сигналом SIGKILL. Код такого процесса — 137, у контейнера — OOMKilled: true. Процессы

P

PAM (модули проверки входа) PAM (Pluggable Authentication Modules) Библиотека, которой login, su, sudo, sshd и passwd поручают проверку пользователя: стек модулей из /etc/pam.d решает, пускать ли его, какой новый пароль принять и что сделать при входе. Безопасность
PATH Переменная окружения со списком каталогов через двоеточие, в которых оболочка ищет команду, заданную без /. Какой файл будет запущен, показывает command -v или which. Базовые команды
peer-проверка peer authentication Вход в PostgreSQL через локальный сокет: сервер узнаёт у ядра, какой пользователь Linux подключился, и пускает его только в роль с тем же именем. Отсюда sudo -u postgres psql. Службы и systemd
pg_hba.conf Файл правил доступа PostgreSQL: тип подключения, база, роль, адрес и способ проверки. Действует первая подходящая строка; нет подходящей — отказ «no pg_hba.conf entry». Службы и systemd
PID Числовой идентификатор процесса в пространстве PID. После завершения может использоваться повторно. Процессы
pipefail Режим bash (set -o pipefail): конвейер возвращает код упавшего звена, а без него — код последнего звена, даже если раньше что-то упало. Базовые команды
PPID PID родительского процесса, наблюдаемый в текущем пространстве PID. Процессы
pwquality (проверка качества пароля) pwquality (password quality check) Модуль PAM pam_pwquality: при смене пароля сверяет новый с правилами из /etc/security/pwquality.conf (длина minlen, классы символов minclass, словарь) и отвечает «BAD PASSWORD». Проверить пароль заранее — pwscore. Безопасность

R

Readline Библиотека редактирования командной строки; в Bash обеспечивает историю и сочетания клавиш. Базовые команды
root (суперпользователь) root (superuser) Учётная запись с UID 0: ядро пропускает для неё большинство проверок прав доступа. Команды от имени root обычно выполняют через sudo. Пользователи и права
RSS (резидентная память) RSS (resident set size) Сколько памяти процесса сейчас лежит в RAM, в КиБ: столбец RSS в ps, RES в top, VmRSS в /proc/<pid>/status. Общие библиотеки входят в RSS каждого процесса. Процессы

S

SAN (альтернативные имена) SAN (subject alternative name) Расширение сертификата со списком имён, для которых он годен; клиент сверяет с ним имя из адреса. Имени нет в SAN — ошибка «no alternative certificate subject name matches». Безопасность
segfault (ошибка сегментации) segfault (segmentation fault) Программа обратилась к памяти, которая ей не принадлежит; ядро завершает её сигналом SIGSEGV (11), код завершения — 139, в журнале ядра — строка «имя[PID]: segfault at адрес … in библиотека». Процессы
set -e (errexit) Режим bash: скрипт выходит, как только команда вернула не 0. Проверки в if и команды слева от && и || его не включают. Базовые команды
setgid-бит (SGID) setgid bit (SGID) Особый бит прав. На каталоге — новые файлы и подкаталоги получают группу каталога, а не основную группу создателя; на программе — запуск с правами группы файла. В ls -l — s на месте x группы. Пользователи и права
setuid-бит (SUID) setuid bit (SUID) Особый бит исполняемого файла: программа работает с правами владельца файла, а не того, кто её запустил. В ls -l — s на месте x владельца, как у /usr/bin/passwd. Пользователи и права
shebang (строка Первая строка скрипта вида #!/bin/bash: по ней ядро выбирает интерпретатор, когда файл запускают как программу. При запуске «bash файл» интерпретатор уже выбран, и строка — просто комментарий. Базовые команды
SNI Имя сайта, которое клиент сообщает в самом начале TLS, ещё до HTTP. По нему сервер с несколькими сайтами на одном адресе выбирает, какой сертификат отдать. Безопасность
sticky-бит sticky bit Особый бит каталога: удалить или переименовать файл в нём может только владелец файла, владелец каталога или root. В ls -l — t на месте x остальных, как у /tmp. Пользователи и права
swap (подкачка) Раздел или файл на диске, куда ядро вытесняет редко нужные страницы программ, чтобы освободить память. Выручает при нехватке, но диск медленнее памяти: активный swap — тормоза. Процессы
systemctl Утилита управления службами systemd — start/stop/restart/status/enable/disable. Службы и systemd
systemd Init-система и менеджер служб современных Linux: поднимает и контролирует юниты, цели, сокеты, таймеры. Службы и systemd

T

TCP Транспортный протокол с установлением соединения и упорядоченным потоком байтов. Сеть
TLS Протокол шифрованного соединения поверх TCP: клиент проверяет сертификат сервера, потом обе стороны шифруют обмен. HTTPS — это HTTP внутри TLS. Безопасность
TTL записи DNS DNS record TTL Время допустимого хранения записи в кэше, в секундах. Сеть

U

UDP Транспортный протокол передачи датаграмм без TCP-подобного установления соединения. Сеть
UID Числовой идентификатор пользователя; имена связываются с идентификаторами через службы разрешения. Пользователи и права
umask Маска прав новых файлов процесса: её биты снимаются с 666 у файла и с 777 у каталога. При маске 022 файл получает 644, каталог — 755; при 002 группа сохраняет право записи. Пользователи и права
unattended-upgrades (автообновления) Служба Ubuntu, которая раз в сутки по таймеру apt ставит обновления из разрешённых источников — по умолчанию только обновления безопасности. Работающие службы она не перезапускает сама — это делает needrestart. Безопасность
unix-сокет unix socket Файл-точка связи процессов на одной машине (s первой буквой в ls -l): сервер его слушает, клиент подключается по пути. Подключиться может тот, у кого есть право записи на файл. Процессы
UTC Всемирное координированное время — без часовых поясов и переводов часов. Ядро считает время в UTC (секунды с 1970 года), пояс влияет только на показ. Службы и systemd
UUID файловой системы filesystem UUID Идентификатор файловой системы, позволяющий ссылаться на неё независимо от текущего имени устройства. Хранилище и ФС

Y

YAML Текстовый формат структурированных данных, где отступы задают вложенность. Сеть

#

/dev/null Особый файл-устройство: принимает любой вывод и ничего не хранит, а чтение из него сразу даёт конец файла. 2> /dev/null выбрасывает сообщения об ошибках. Базовые команды
/proc (procfs) Файловая система без диска: ядро показывает в ней процессы (каталог /proc/<PID> — состояние, открытые файлы, лимиты) и своё состояние — память, load, параметры в /proc/sys. Процессы