Задача → рецепт

Базовые команды

• Примеры alias — псевдонимы команд
• Команды at — разовое задание по времени
• Форматы времени Доступ регулируется /etc/at.allow / /etc/at.deny (кто может ставить задания). at — разовое задание по времени
• Узнать, что будет выполнено {#resolve-command} Посмотри все определения имени. bash — командная оболочка
• Проверить режим редактирования {#interactive} Список set -o показывает состояния режимов, включая emacs и vi. bash — командная оболочка
• Править командную строку клавишами {#line-editing} В режиме emacs (он включён по умолчанию) строку до Enter правят сочетаниями: bash — командная оболочка
• Разобраться с файлами запуска {#startup} Интерактивная non-login оболочка читает ~/.bashrc. bash — командная оболочка
• Условия и циклы Проверки [ -f ], [ -z ], -eq — в test-conditions. Bash-скрипты: запуск, переменные, аргументы
• Значение по умолчанию и части пути Bash-скрипты: запуск, переменные, аргументы
• Проверить синтаксис, не запуская Глубже проверяет shellcheck: Bash-скрипты: запуск, переменные, аргументы
• Файлы с пробелами в именах Цикл по выводу ls или find в $( ) делит имена по пробелам. Bash-скрипты: запуск, переменные, аргументы
• Примеры cd - — самый частый трюк: cd — смена каталога
• Хитрости В bash можно включить shopt -s autocd — тогда ввод одного пути без cd сам перейдёт в каталог. cd — смена каталога
• Форматы Спецификаторы: date — дата и время в shell
• Метки и арифметика date — дата и время в shell
• Запись в файл echo — вывод текста
• Когда printf echo ведёт себя по-разному в разных оболочках (особенно -e/-n). echo — вывод текста
• Строка crontab без наложений Запуск, который пришёлся на работающий прошлый, тихо пропускается. flock — защита от двойного запуска
• Блокировка внутри скрипта exec 9>файл открывает дескриптор 9 для всего скрипта, flock -n 9 берёт на него блокировку. flock — защита от двойного запуска
• Служба systemd Второй экземпляр того же юнита systemd и сам не запустит: flock — защита от двойного запуска
• Подождать, но не вечно flock — защита от двойного запуска
• Кто держит блокировку lsof показывает и процесс-потомок: flock — защита от двойного запуска
• Узнать имя перед работой на сервере {#identify} Сопоставь имя узла с пользователем. hostname — имя машины и его разрешение
• Проверить разрешение текущего имени {#resolution} getent обращается к системным источникам имён. hostname — имя машины и его разрешение
• Сравнить адреса по имени и на интерфейсах {#addresses} Различие результатов ожидаемо при разных настройках имён и интерфейсов. hostname — имя машины и его разрешение
• Навигация Tab — переключиться между левой и правой панелью. mc — файловый менеджер в терминале
• F-клавиши Клавиша Действие F3 просмотр файла (mcview) F4 редактировать (mcedit) F5 копировать отмеченное в другую панель F6 переместить / переименовать F7 создать… mc — файловый менеджер в терминале
• Редактор и SFTP Доступ к удалённой машине прямо из панели (Shell-link по SSH): mc — файловый менеджер в терминале
• Горячие клавиши ^O = Ctrl+O, M-W = Alt+W. nano — простой консольный редактор
• Формат Спецификатор Значение %s %d %f строка / целое / дробное %-Ns %Nd ширина N (- = по левому краю) %.Nf N знаков после точки %05d ведущие нули %x %o hex / oct %b… printf и echo — вывод текста в скриптах
• Рецепты printf и echo — вывод текста в скриптах
• Проверить место перед работой с файлами {#locate} Посмотри путь и содержимое отдельно: pwd — текущий рабочий каталог
• Узнать путь без символических ссылок {#resolve} Сравни оба результата после перехода через существующий симлинк. pwd — текущий рабочий каталог
• Выяснить, какая pwd запущена {#implementation} Bash может выбрать встроенную команду, функцию или псевдоним. pwd — текущий рабочий каталог
• Горячие клавиши Префикс — Ctrl+a, затем клавиша: screen — мультиплексор терминала
• Полезное ~/.screenrc (частое): screen — мультиплексор терминала
• Проверка перед запуском или в CI С -S warning замечания уровней info и style не печатаются и не влияют на код: shellcheck — проверка скриптов до запуска
• Отключить замечание в одном месте Комментарий действует на следующую команду. shellcheck — проверка скриптов до запуска
• Отключить замечание для всего каталога Файл .shellcheckrc в каталоге скрипта или выше: shellcheck — проверка скриптов до запуска
• Скрипт подключает другой файл Без -x shellcheck пишет SC1091 … Not following и функции из подключённого файла не видит. shellcheck — проверка скриптов до запуска
• Посмотреть готовые правки Готовую правку дают простые замечания: shellcheck — проверка скриптов до запуска
• Проверить аргумент скрипта $# — число аргументов. test, [ ] и [[ ]] — проверка условий
• Сравнить число из вывода команды -ge ждёт голое число. test, [ ] и [[ ]] — проверка условий
• Шаблон и регулярное выражение Для day=2026-10-20 второе условие напечатает год 2026, месяц 10: test, [ ] и [[ ]] — проверка условий
• Несколько условий сразу test, [ ] и [[ ]] — проверка условий
• Горячие клавиши tmux — мультиплексор терминала
• Сообщить выпуск ядра при диагностике {#kernel-release} Запиши фактический результат; не подставляй пример из инструкции. uname — сведения о ядре и системе
• Отделить ядро от дистрибутива {#distribution} Сравни независимые источники. uname — сведения о ядре и системе
• Проверить архитектуру и имя узла {#machine} Архитектура и имя машины — разные значения; ни одно не является именем пользователя. uname — сведения о ядре и системе
• Load average uptime показывает три числа — средняя длина очереди готовых к выполнению задач за 1, 5, 15 минут: uptime, who, w — кто в системе и загрузка
• Кто и откуда uptime, who, w — кто в системе и загрузка
• Выход и сохранение vim — редактирование файлов в терминале
• Навигация и правка vim — редактирование файлов в терминале
• Полезное vim — редактирование файлов в терминале
• Примеры Кавычь команду с конвейером/шаблоном (watch 'ss | grep x'), иначе | и * применятся к самому watch, а не к команде. watch — периодический повтор команды
• Примеры Проверка «есть ли команда» в скрипте (надёжно): which / type / whereis — где команда
• Проверить полномочия своей сессии {#current-user} Сопоставь имя с числовым идентификатором. whoami — от чьего имени выполняется команда
• Проверить контекст sudo {#sudo-context} На учебной ВМ sudo разрешён. whoami — от чьего имени выполняется команда
• Посмотреть другую учётную запись {#other-account} Для сведений о student используй id, а не аргумент whoami. whoami — от чьего имени выполняется команда
• Безопасно с именами файлов Пробелы и переводы строк в именах ломают наивный xargs. xargs — построение аргументов из потока
• Имя файла с пробелом или спецсимволом Проще всего — набрать начало имени и нажать Tab: Как устроена команда — ключи и аргументы
• Аргумент, который начинается с минуса Как устроена команда — ключи и аргументы
• Несколько команд в одной строке Как устроена команда — ключи и аргументы
• Длинная команда на нескольких строках \ в конце строки переносит команду на следующую. Как устроена команда — ключи и аргументы
• Проверить команду в if {#if-command} if сам смотрит на код команды, $? Коды завершения: $?, && и ||
• Сохранить код, пока его не затёрли {#save-code} $? Коды завершения: $?, && и ||
• Выйти с сообщением об ошибке Сообщение — в поток ошибок (>&2), код — не ноль: Коды завершения: $?, && и ||
• Код curl и ответ HTTP {#curl-http-code} Код curl отвечает на вопрос, состоялся ли обмен с сервером. Коды завершения: $?, && и ||
• Свои коды для разных сбоев Принято: Коды завершения: $?, && и ||
• Код каждого звена конвейера Коды завершения: $?, && и ||
• Где сохранять (login vs non-login) Файл Когда читается ~/.bashrc интерактивные не-login оболочки (новый терминал/таб) ~/.profile / ~/.bash_profile login-оболочки (вход по SSH/в консоль)… Переменные окружения и PATH
• Вывод и ошибки — в разные файлы Перенаправление вывода и конвейеры
• Порядок 2>&1 имеет значение Оболочка читает перенаправления слева направо. Перенаправление вывода и конвейеры
• Обработать вывод цепочкой команд Каждое звено делает одну вещь: Перенаправление вывода и конвейеры
• Записать в файл, которому нужен root sudo cmd > /etc/файл не сработает: Перенаправление вывода и конвейеры
• Многострочный ввод прямо в команду Перенаправление вывода и конвейеры
• Очистить журнал, не удаляя файл Если процесс держит журнал открытым, rm не вернёт место, а обнуление вернёт. Перенаправление вывода и конвейеры
• Узнать, какое звено конвейера упало Перенаправление вывода и конвейеры
• man Разделы man: Получение справки в терминале
• Где ещё искать Получение справки в терминале
• Шаблоны Шаблон Значение * любая строка (включая пустую), кроме / ? Шаблоны имён glob и фигурные скобки
• Glob vs regex glob — для имён файлов в оболочке; * = «что угодно». Шаблоны имён glob и фигурные скобки

Файлы и каталоги

• Резервная копия конфига перед правкой -a сохраняет владельца и права, поэтому копию можно вернуть на место как есть. cp — копирование файлов и каталогов
• Каталог в существующий каталог и «внутрь» Одна и та же команда даёт разный результат в зависимости от того, существует ли dst. cp — копирование файлов и каталогов
• Скопировать много файлов в один каталог cp — копирование файлов и каталогов
• Копия с запасом: оставить прежнюю версию cp — копирование файлов и каталогов
• Между машинами cp работает только в пределах одной машины. cp — копирование файлов и каталогов
• Примеры file — тип файла
• Условия find — поиск файлов
• Действия {} + группирует аргументы (быстрее), {} \; — по одному. find — поиск файлов
• История: log -p, show, blame {#history} Репозиторий /etc/demo с тремя коммитами двух авторов: git: история правок, откат и удалённый репозиторий
• Отменить правку и коммит: restore, revert, reset {#revert} Что отменить Команда История незакоммиченную правку файла git restore site.conf не меняется один коммит git revert --no-edit <коммит> новый коммит поверх… git: история правок, откат и удалённый репозиторий
• Репозиторий root'а: sudo git {#sudo-git} Файлы в /etc принадлежат root, и репозиторий в /etc/nginx — тоже. git: история правок, откат и удалённый репозиторий
• Удалённый репозиторий: fetch, pull, push {#remote} Bare-репозиторий — только история, без рабочих файлов: git: история правок, откат и удалённый репозиторий
• Отложить правку: stash {#stash} git stash убирает незакоммиченные правки в отдельное хранилище и возвращает файлы к последнему коммиту — так можно забрать чужие коммиты, когда pull… git: история правок, откат и удалённый репозиторий
• Конфликт {#conflict} Конфликт — обе стороны поменяли одни и те же строки, и git не знает, какую версию оставить. git: история правок, откат и удалённый репозиторий
• Ветки git: история правок, откат и удалённый репозиторий
• Примеры Порядок аргументов как у cp: ln — символические и жёсткие ссылки
• Симлинк vs хард Симлинк (-s) Жёсткая ссылка На каталог да нет Между ФС да нет Если удалить цель «битый» симлинк данные живы, пока есть имена Видно в ls -l -> target как… ln — символические и жёсткие ссылки
• Найти последний изменённый файл ls — содержимое каталога
• Посмотреть права на каталог, а не на файлы в нём Без -d команда покажет содержимое каталога, а права самого каталога останутся за кадром. ls — содержимое каталога
• Только каталоги или только файлы ls — содержимое каталога
• Числовые UID и GID вместо имён Помогает, когда файл остался от удалённого пользователя: ls — содержимое каталога
• Короткие псевдонимы Ubuntu В ~/.bashrc Ubuntu уже есть alias ll='ls -alF', alias la='ls -A' и alias l='ls -CF'. ls — содержимое каталога
• rmdir rmdir намеренно удаляет только пустое — это страховка. mkdir — создание каталогов
• Переименовать файл в другом каталоге, не переходя туда mv — переместить или переименовать
• Перенести все файлы по шаблону Шаблон *.log раскрывает оболочка (см. mv — переместить или переименовать
• Переименовать много файлов: .txt → .md ${f%.txt} отрезает расширение, кавычки сохраняют имена с пробелами. mv — переместить или переименовать
• Безопасно заменить рабочий файл Внутри одного раздела mv меняет файл атомарно: mv — переместить или переименовать
• Бэкап и восстановление restic — резервные копии с дедупликацией
• Обслуживание и расписание В cron/systemd-таймере — backup + forget --prune по расписанию. restic — резервные копии с дедупликацией
• Проверить шаблон до удаления Шаблон раскрывает оболочка (см. rm — удаление файлов и каталогов
• Удалить старые файлы по возрасту rm не умеет выбирать по дате и размеру — это работа find. rm — удаление файлов и каталогов
• Защита от rm -rf с пустой переменной ${VAR:?} останавливает команду, если переменная пуста или не задана. rm — удаление файлов и каталогов
• Удалить файл со странным именем rm — удаление файлов и каталогов
• Хвостовой слэш — важно! Слэш у источника = «содержимое». rsync — синхронизация и копирование файлов
• Команды rsync — синхронизация и копирование файлов
• Примеры Частые форматные поля для -c: stat — метаданные файла
• Три времени atime (%x) — последний доступ (чтение). stat — метаданные файла
• Команды tar — архивирование и распаковка файлов
• Навигация Пути: Базовые команды с файлами
• Файлы и каталоги У rm нет корзины. Базовые команды с файлами
• Просмотр текста Конвейеры и перенаправление: Базовые команды с файлами
• Терминал и копипаст Базовые команды с файлами
• В скриптах Классика — узнать каталог самого скрипта, чтобы пути не зависели от того, откуда его запустили: Пути — basename, dirname, realpath
• Команды -sfn при замене симлинка-на-каталог критичен: Символические и жёсткие ссылки
• Symlink vs hard Symlink (-s) Жёсткая На каталог да нет Между ФС да нет Удалили цель «битый» данные живы, пока есть имена Видно в ls -l -> target как обычный файл Свой inode… Символические и жёсткие ссылки

Текст и поиск

• Записать короткий файл без редактора Кавычки вокруг EOF отключают подстановку: cat — вывести файл целиком
• Найти невидимые символы ^M$ в конце строк — переводы строк Windows (\r\n). cat — вывести файл целиком
• Склеить части и проверить результат cat — вывести файл целиком
• Искать в файле без cat cat file | grep error работает, но лишний процесс не нужен: cat — вывести файл целиком
• Имена пользователей и их оболочки cut — вырезать колонки из строк
• Адреса из журнала веб-сервера Первое слово строки журнала nginx — адрес клиента. cut — вырезать колонки из строк
• Колонка из CSV Если в значениях CSV встречаются запятые в кавычках, cut их не поймёт: cut — вырезать колонки из строк
• Всё, кроме одной колонки cut — вырезать колонки из строк
• Пропустить строки без разделителя Без -s строка без разделителя печатается целиком. cut — вырезать колонки из строк
• Команды diff и patch — сравнение и применение изменений
• Примеры diff и patch — сравнение и применение изменений
• Примеры grep — поиск по тексту
• Проверить устаревшее разрешение команды {#stale-path} Сравни результаты. hash — кэш путей команд в Bash
• Удалить только одну запись {#one-entry} Первый вызов просит запомнить найденный путь, второй показывает его, третий удаляет запись. hash — кэш путей команд в Bash
• Проверить контекст исправления {#current-shell} Выполняй очистку в оболочке, где воспроизводится проблема. hash — кэш путей команд в Bash
• Пять самых больших файлов в каталоге head — первые строки файла
• Процессы, которые едят больше всего памяти head — первые строки файла
• Посмотреть, что за файл, не открывая его целиком head — первые строки файла
• Строки с N-й по M-ю head — первые строки файла
• Фильтры jq — обработка JSON в консоли
• Примеры и сборка jq — обработка JSON в консоли
• Найти ошибку в длинном журнале Поиск учитывает регистр. less — листать длинный файл с поиском
• Оставить в окне только нужные строки Внутри less набери &Failed и Enter: less — листать длинный файл с поиском
• Таблица с длинными строками less — листать длинный файл с поиском
• Цветной вывод less — листать длинный файл с поиском
• Открыть в редакторе то, что читаешь Клавиша v открывает текущий файл в редакторе по умолчанию — в Ubuntu обычно это nano. less — листать длинный файл с поиском
• Проверить замену, потом править {#preview} diff покажет каждую изменённую строку до и после: sed и awk — правка и поля текстового потока
• Удалить строки sed и awk — правка и поля текстового потока
• Заменить строку целиком или добавить рядом sed и awk — правка и поля текстового потока
• Одна правка во многих файлах Сначала список файлов, потом правка: sed и awk — правка и поля текстового потока
• Фильтр и подсчёт в awk sed и awk — правка и поля текстового потока
• Какие строки встречаются чаще всего Первый sort собирает одинаковые адреса подряд, uniq -c считает их, второй sort -rn ставит большие счётчики наверх, head оставляет десять. sort — сортировка строк
• Таблица по числовой колонке sort — сортировка строк
• Размеры с буквами K, M, G -n прочитает 512M как 512, а 1G как 1 — порядок выйдет неверный. sort — сортировка строк
• Несколько ключей sort — сортировка строк
• Версии и имена файлов с номерами sort — сортировка строк
• Записать результат в тот же файл sort names.txt > names.txt оставит пустой файл, а -o пишет только после чтения. sort — сортировка строк
• Проверить, отсортирован ли файл sort — сортировка строк
• sort / uniq sort, uniq, cut, wc, tr — обработка текстовых потоков
• cut / tr / wc / прочее sort, uniq, cut, wc, tr — обработка текстовых потоков
• Разбор логов и таблиц sort, uniq, cut, wc, tr — обработка текстовых потоков
• Следить за журналом и видеть только ошибки --line-buffered нужен, чтобы grep печатал совпадения сразу, а не пачками. tail — последние строки и слежение за логом
• Пропустить строку заголовка tail — последние строки и слежение за логом
• Последние строки нескольких журналов сразу tail — последние строки и слежение за логом
• Остановить слежение вместе с процессом tail — последние строки и слежение за логом
• Примеры tee — вывод в файл и на экран
• Зачем sudo tee Это главная причина знать tee. tee — вывод в файл и на экран
• Топ адресов в журнале веб-сервера Ответ на вопрос «кто чаще всего обращался»: uniq — убрать или посчитать повторы
• Сколько разных значений uniq — убрать или посчитать повторы
• Найти дубли в списке uniq — убрать или посчитать повторы
• Сравнивать не всю строку -f N пропускает N колонок, разделённых пробелами, -w N сравнивает первые N символов. uniq — убрать или посчитать повторы
• Сколько строк с ошибкой wc — посчитать строки, слова и байты
• Сколько файлов в каталоге ls | wc -l тоже считает, но не видит скрытые файлы, а ls -l | wc -l добавит строку total. wc — посчитать строки, слова и байты
• Сколько разных значений wc — посчитать строки, слова и байты
• Размер нескольких файлов сразу wc — посчитать строки, слова и байты
• Самая длинная строка wc — посчитать строки, слова и байты
• Слово в любом регистре и написании Регулярные выражения — шаблоны для grep, sed и awk
• Адрес IP Регулярные выражения — шаблоны для grep, sed и awk
• Конфиг без комментариев и пустых строк Регулярные выражения — шаблоны для grep, sed и awk
• Переставить части строки Группы ( ) запоминают части совпадения, \1 и \2 вставляют их в замену. Регулярные выражения — шаблоны для grep, sed и awk

Пользователи и права

• Разделить наблюдение и изменение {#inspect-first} Сначала убедись, что имя указывает на нужного пользователя. chage — сроки действия пароля и учётной записи
• Задать прошедшую дату в учебной лабе {#expire-training-account} Только после подготовки labpaused и по условию упражнения: chage — сроки действия пароля и учётной записи
• Проверить фактический путь доступа {#check-access-path} Отчёт chage показывает локальные параметры. chage — сроки действия пароля и учётной записи
• chmod Два синтаксиса: chmod / chown — права и владелец файлов
• chown chmod / chown — права и владелец файлов
• chgrp chgrp — то же самое, что chown :group, но короче и явнее по смыслу: chmod / chown — права и владелец файлов
• umask umask — маска: chmod / chown — права и владелец файлов
• Найти, где служба теряет доступ Запуск от имени службы останавливается ровно на той части, куда ей нет прохода: namei — права на каждом шаге пути
• Сравнить права частей пути вручную ls с -d и stat покажут то же по отдельности — удобно, когда частей мало. namei — права на каждом шаге пути
• Куда на самом деле ведёт путь Без -l namei показывает только типы и раскрывает каждую ссылку с отступом: namei — права на каждом шаге пути
• Назначить оболочку учебной записи {#set-training-shell} Только для заранее подготовленной labsvc, если изменение входит в задание: nologin — оболочка, отказывающая во входе
• Проверить отказ самой программы {#demonstrate-refusal} Сообщение может зависеть от локали и настройки системы. nologin — оболочка, отказывающая во входе
• Проверить границу ограничения {#uid-still-usable} При разрешённой политике sudo: nologin — оболочка, отказывающая во входе
• Временный пароль для нового сотрудника passwd — сменить или заблокировать пароль
• Заблокировать вход, не удаляя учётку passwd -l закрывает только вход по паролю: passwd — сменить или заблокировать пароль
• Пароли для нескольких пользователей сразу chpasswd читает пары имя:пароль. passwd — сменить или заблокировать пароль
• Поменять маску навсегда для себя umask — маска новых файлов и каталогов
• Общий каталог команды Чтобы файлы ещё и получали группу каталога, а не твою, каталогу нужен setgid-бит. umask — маска новых файлов и каталогов
• Маска службы Строка в юните или в drop-in (sudo systemctl edit app) — см. umask — маска новых файлов и каталогов
• Создать один файл с нужными правами umask — маска новых файлов и каталогов
• Пользователь, которому можно администрировать Группа sudo в Ubuntu даёт право выполнять команды от root. useradd — создать пользователя
• Системная учётка для службы -r берёт UID ниже 1000, -M не создаёт домашний каталог, nologin запрещает интерактивный вход. useradd — создать пользователя
• Пользователь с ключом SSH вместо пароля Пароль не задан, поэтому вход по паролю закрыт, а по ключу работает — см. useradd — создать пользователя
• Что окажется в новом домашнем каталоге При -m в каталог копируется содержимое /etc/skel: useradd — создать пользователя
• Добавить в группу и проверить, что ничего не пропало usermod — изменить учётную запись и группы
• Убрать из одной группы То же без gpasswd: usermod — изменить учётную запись и группы
• Новая группа не действует в открытой сессии Группы процесс получает при запуске. usermod — изменить учётную запись и группы
• Временно закрыть вход -L закрывает только вход по паролю: usermod — изменить учётную запись и группы
• Каталог команды Проверка: Особые биты прав: setuid, setgid, sticky
• Перевести уже лежащие файлы setgid действует на новые файлы. Особые биты прав: setuid, setgid, sticky
• Найти программы с setuid и setgid На чистой системе это десяток с небольшим программ: Особые биты прав: setuid, setgid, sticky
• Управление Частая ошибка. Пользователи и группы
• Пароли, блокировка, su Системные пользователи (демоны) — обычно uid < 1000, nologin, без пароля (useradd -r). Пользователи и группы
• Числа и символы Восьмерич. Права доступа
• Спецбиты Подробно о трёх особых битах и общем каталоге команды — в статье Особые биты прав. Права доступа
• Команды Расширенные права ACL
• mask В getfacl строка mask:: Расширенные права ACL

Процессы

• Что это за процесс {#identify} Имя, родитель, пользователь, полная команда, рабочий каталог, файл программы и служба — этого хватает, чтобы понять, откуда процесс взялся. /proc: процессы и ядро в виде файлов
• Найти и вернуть удалённый, но открытый файл {#deleted} find печатает ссылки вида /proc/956/fd/3: /proc: процессы и ядро в виде файлов
• Окружение службы {#service-env} /proc: процессы и ядро в виде файлов
• namespaces Типы: cgroups и namespaces — как устроены контейнеры
• cgroups (v2) CPUQuota=50% — половина одного ядра; MemoryMax= — жёсткий потолок: cgroups и namespaces — как устроены контейнеры
• Срезы и деление процессора {#cpu-weight} systemd раскладывает процессы по дереву групп. cgroups и namespaces — как устроены контейнеры
• Найти процесс, который грузит диск {#find-io-hog} Порядок общий для всех ресурсов — в system-monitoring. iostat и pidstat — какой диск занят и какой процесс его грузит
• Понизить приоритет диска процессу {#lower-io} nice снижает долю процессора, ionice — долю диска; для резервной копии на рабочем сервере нужны обе. iostat и pidstat — какой диск занят и какой процесс его грузит
• Один процесс под наблюдением {#watch-pid} iostat и pidstat — какой диск занят и какой процесс его грузит
• Завершить процесс правильно TERM даёт программе закрыть файлы и удалить временные. kill — послать сигнал процессу
• Завершить по имени pkill сравнивает часть имени: kill — послать сигнал процессу
• Службу — через systemctl systemd перезапустит убитую через kill службу, если у неё Restart= — см. kill — послать сигнал процессу
• Процесс завис в терминале Ctrl+C посылает INT, Ctrl+Z — TSTP (останавливает и возвращает приглашение). kill — послать сигнал процессу
• Load выше числа процессоров: кто в очереди {#who-is-running} Две задачи R по 48.8 % делят один процессор. Load average: сколько задач ждёт процессор и диск
• Найти, на чём ждут процессы в D {#find-d} Стек читается снизу вверх: Load average: сколько задач ждёт процессор и диск
• Следить за load в динамике В vmstat столбец r — задачи в R (работают и ждут процессор), b — задачи, которые ждут диск. Load average: сколько задач ждёт процессор и диск
• Частые задачи lsof — открытые файлы и порты процессов
• Столбец FD и блокировки {#fd-column} FD — номер дескриптора, затем режим: lsof — открытые файлы и порты процессов
• Удалённые файлы: +L1 и DEL {#deleted} Файл, который удалили или заменили новым, живёт, пока его держит процесс — это удалённый открытый файл. lsof — открытые файлы и порты процессов
• Найти, кого и когда убил OOM {#find} Время из журнала сверь с журналом службы (journalctl -u <служба>) — станет видно, что служба делала перед гибелью. OOM killer: кто и почему завершил процесс
• Лимит памяти службы {#memorymax} Лимит ставят в drop-in — файле дополнения рядом с юнитом (см. OOM killer: кто и почему завершил процесс
• Беречь важный процесс {#protect} Отрицательную поправку ставит только root. OOM killer: кто и почему завершил процесс
• Воспроизвести OOM безопасно {#reproduce} tail ждёт перевода строки и копит весь ввод в памяти, пока не упрётся в 64 МиБ своей группы. OOM killer: кто и почему завершил процесс
• Проверить, запущена ли программа -x требует совпадения имени целиком: pgrep — найти PID процесса по имени
• Найти скрипт, а не интерпретатор У всех Python-скриптов имя процесса одно — python3; различаются они командной строкой. pgrep — найти PID процесса по имени
• Посмотреть подробности найденного -d, склеивает PID через запятую — в таком виде их принимает ps -p, см. pgrep — найти PID процесса по имени
• Перед pkill — список pkill принимает те же ключи отбора, что pgrep, но посылает сигнал — см. pgrep — найти PID процесса по имени
• Что значат буквы в STAT Буква Состояние R работает или ждёт процессор S спит, ждёт события D ждёт диск или сеть, сигналы не прерывают T остановлен (Ctrl+Z или сигнал STOP) Z зомби: ps — список процессов
• Найти процесс по имени без самого grep ps aux | grep nginx находит и строку самого grep nginx — отсюда «лишний» процесс в выводе. ps — список процессов
• Свои колонки и родитель etime — сколько процесс работает, ppid — PID родителя: ps — список процессов
• Дерево процессов службы ps — список процессов
• Отделить два наблюдения {#two-observations} Это удобная пауза между ручными измерениями. sleep — задержка выполнения
• Запустить короткую задачу в фоне {#background-delay} Выполни весь пример в одной оболочке: sleep — задержка выполнения
• Прервать ручное ожидание {#interrupt-delay} Запусти sleep 30 на переднем плане и нажми Ctrl+C. sleep — задержка выполнения
• Программа молча завершается с кодом 1 {#silent-exit} -o пишет трассу в файл, вывод программы остаётся на экране. strace — какие системные вызовы делает процесс
• Запускай от пользователя службы {#as-service-user} root читает любой файл, и под sudo strace отказа в правах не видно. strace — какие системные вызовы делает процесс
• Какие файлы читает программа {#which-files} strace — какие системные вызовы делает процесс
• Куда подключается {#network} Адрес и порт — в аргументах connect. strace — какие системные вызовы делает процесс
• На чём висит процесс {#stuck} Одна незаконченная строка — процесс ждёт в этом вызове: strace — какие системные вызовы делает процесс
• Сводка: какие вызовы и сколько {#summary} calls — сколько раз, errors — сколько с отказом, % time — доля времени в ядре. strace — какие системные вызовы делает процесс
• Нагрузка, которая не мешает соседям {#safe} С nice -n 19 процесс берёт весь свободный процессор (97.4 %) и уступает его любому процессу с обычным приоритетом nice. stress-ng — нагрузка на процессор, память и диск по таймеру
• Поднять load average {#raise-load} Три рабочих процесса на одном процессоре поднимают load к 3. stress-ng — нагрузка на процессор, память и диск по таймеру
• Получить OOM в cgroup {#memory-oom} systemd остановил службу целиком при первом же OOM (OOMPolicy=stop). stress-ng — нагрузка на процессор, память и диск по таймеру
• Фоном и под присмотром {#background} Задание оболочки умрёт вместе с сессией. stress-ng — нагрузка на процессор, память и диск по таймеру
• Найти, что грузит процессор Открой top, нажми P (сортировка по CPU) и c (полная командная строка). top — процессы и нагрузка в реальном времени
• Найти, что съело память Нажми M: top — процессы и нагрузка в реальном времени
• Остановить процесс прямо из top Нажми k, введи PID (по умолчанию предложен верхний процесс) и сигнал: top — процессы и нагрузка в реальном времени
• Снимок для отчёта или тикета -b (batch) печатает обычный текст без перерисовки экрана, -n 1 — один снимок. top — процессы и нагрузка в реальном времени
• htop htop — та же идея с цветом, мышью и прокруткой. top — процессы и нагрузка в реальном времени
• Сколько файлов открыто и сколько можно {#count-fds} Число дескрипторов близко к мягкому лимиту — служба вот-вот получит Too many open files. ulimit и лимиты процесса: открытые файлы, процессы, core
• Поднять лимит в своей оболочке {#raise-shell} Действует на эту оболочку и всё, что из неё запущено. ulimit и лимиты процесса: открытые файлы, процессы, core
• Кто слушает сокет u_str — потоковый сокет (как TCP), u_dgr — датаграммы (как UDP). Unix-сокеты — связь процессов через файл
• Проверить сокет руками curl шлёт HTTP-запрос в сокет, имя в адресе идёт только в заголовок Host. Unix-сокеты — связь процессов через файл
• Дать доступ nginx Такая правка живёт до перезапуска приложения: Unix-сокеты — связь процессов через файл
• Сокет PostgreSQL Каталог в -h — подключение через сокет, как без -h вовсе. Unix-сокеты — связь процессов через файл
• Сохранить статус до следующей команды {#save-status} Выполни в одной оболочке: wait — ожидание дочерней задачи в Bash
• Не путать паузу и завершение {#termination-only} Для своего сохранённого PID используй wait -f "$child_pid", если при управлении заданиями требуется дождаться окончания. wait — ожидание дочерней задачи в Bash
• Разделить запуск и проверку {#same-parent} Запускай задачу и выполняй ожидание в той же оболочке. wait — ожидание дочерней задачи в Bash
• Кто ест процессор и память ps даёт снимок, а %CPU в нём — среднее за всю жизнь процесса. Мониторинг системы: с чего начать, когда сервер тормозит
• Снимок для отчёта Один файл с временем, нагрузкой, памятью и списком процессов — его можно приложить к заявке или сравнить с таким же снимком позже. Мониторинг системы: с чего начать, когда сервер тормозит
• Добавить swap-файл {#swap-file} Чтобы swap включался при загрузке, нужна строка в /etc/fstab: Память и swap: free, available и кэш страниц
• Выключить swap {#swapoff} Затем убери строку из /etc/fstab и удали файл. Память и swap: free, available и кэш страниц
• Сбросить кэш перед замером {#drop-caches} Нужно только для опыта: Память и swap: free, available и кэш страниц
• Просмотр Процессы
• Сигналы Сигнал № Смысл TERM 15 мягкое завершение (по умолчанию), процесс может прибраться KILL 9 убить немедленно, нельзя перехватить (данные могут потеряться) HUP 1… Процессы
• Приоритет и состояния {#priority} Колонка STAT в ps: Процессы
• Команды оболочки Фоновые задачи shell — &, jobs, nohup
• Пережить выход из сессии Для служб используй systemd-юнит: Фоновые задачи shell — &, jobs, nohup
• Параллельный запуск Для серьёзной параллельности — xargs -P N (см. Фоновые задачи shell — &, jobs, nohup

Службы и systemd

• Проверка BIND9 — DNS-сервер
• Клиент своего сервера {#client} iburst — первые четыре опроса подряд, синхронизация за секунды вместо минут. chrony: синхронизация времени по NTP
• Сервер для своих машин {#server} На node2: chrony: синхронизация времени по NTP
• Проверить синхронизацию из скрипта {#check-script} waitsync <попыток> <смещение> ждёт, пока часы синхронизированы и поправка меньше заданной (здесь 0.5 с), опрос — раз в 10 секунд. chrony: синхронизация времени по NTP
• Подвести часы сразу {#step-now} makestep без свежего измерения ничего не меняет: chrony: синхронизация времени по NTP
• cron Формат строки crontab — пять полей времени + команда: Cron — планировщик задач
• Чужие crontab {#user-crontabs} Личные crontab лежат в /var/spool/cron/crontabs/, по файлу на пользователя. Cron — планировщик задач
• Расписание и часовой пояс {#timezone} cron считает расписание по часовому поясу машины: Cron — планировщик задач
• systemd timers Пара файлов: Cron — планировщик задач
• Аренды и диагностика DHCP-сервер
• Provisioning (как код) Источники, дашборды и алерты задаются файлами — воспроизводимо, в git, а не кликами: Grafana — дашборды
• Балансировка и маршрутизация balance Когда roundrobin равномерно по очереди (дефолт) leastconn на наименее загруженный (долгие сессии, БД) source sticky по IP клиента Маршрут по пути/хосту… HAProxy — балансировщик
• Три вида имени systemd различает три имени хоста: hostnamectl — имя хоста и его атрибуты
• Проверка сервиса Чтобы VIP уезжал при падении приложения (а не только всего узла): keepalived — отказоустойчивость через VRRP
• Управление ВМ KVM и libvirt
• Сети и хранилища Снимки: KVM и libvirt
• Кто ответит на имя Первая команда — ответ глазами клиента, вторая — какие listen и server_name nginx на самом деле прочитал, в порядке файлов. nginx — веб-сервер и обратный прокси
• Найти, где сломан прокси Строка error.log называет upstream — куда nginx шёл. nginx — веб-сервер и обратный прокси
• Релей через смартхост Типовой кейс «сервер шлёт уведомления через внешний SMTP» (main.cf): Postfix — почтовый сервер
• Роль и база для приложения Новый пароль — ALTER ROLE appuser PASSWORD '…';, список ролей — \du в psql, баз — \l. PostgreSQL — доступ, pg_hba.conf, дамп и восстановление
• Пароль без ввода: ~/.pgpass {#pgpass} Строка — адрес:порт:база:роль:пароль, * подходит к любому значению. PostgreSQL — доступ, pg_hba.conf, дамп и восстановление
• Дамп: форматы {#dump-formats} Логический дамп снимает pg_dump — команды и данные, из которых база создаётся заново. PostgreSQL — доступ, pg_hba.conf, дамп и восстановление
• Восстановить в новую базу {#restore-new-db} Новая пустая база — без конфликтов: PostgreSQL — доступ, pg_hba.conf, дамп и восстановление
• Сверить копию с источником {#verify-copy} Одинаковые число строк, сумма выборки и значение счётчика в источнике и копии — данные совпадают. PostgreSQL — доступ, pg_hba.conf, дамп и восстановление
• PromQL и проверка Веб-интерфейс на :9090. Prometheus — сбор метрик
• redis-cli Redis — хранилище ключ-значение в памяти
• Сервер Samba — общий доступ к файлам по SMB
• Клиент (Linux) Samba — общий доступ к файлам по SMB
• Управление reload vs restart: systemctl — управление службами systemd
• Просмотр и юниты edit создаёт drop-in в /etc/systemd/system/<unit>.d/override.conf — пакетный юнит не трогается, апдейты его не затрут. systemctl — управление службами systemd
• Цели (targets) Цель — группа юнитов, до которой systemd доводит загрузку: systemd
• Команды timedatectl — время, часовой пояс и синхронизация
• Часовой пояс {#timezone} Пояс меняет только показ времени: timedatectl — время, часовой пояс и синхронизация
• chrony вместо timesyncd {#chrony} Установка chrony удаляет systemd-timesyncd. timedatectl — время, часовой пояс и синхронизация
• Проверить, работает ли служба Служба (service)
• Запустить, остановить, включить автозапуск Служба (service)
• Посмотреть, что писала служба Служба (service)
• Перевести задачу из cron в таймер Служба: Таймеры systemd — задачи по расписанию
• Выполнить задачу сейчас и проверить итог Для oneshot команда systemctl start ждёт конца скрипта и возвращает 0 или 1. Таймеры systemd — задачи по расписанию
• Через час после прошлого запуска Таймеры systemd — задачи по расписанию
• Временный таймер без файлов Такой таймер живёт до перезагрузки, остановить его — systemctl stop tick.timer. Таймеры systemd — задачи по расписанию
• Проверить скрипт в окружении службы Скрипт выполнится временной службой: Таймеры systemd — задачи по расписанию

Сеть

• Команды conntrack (отслеживание соединений)
• Код ответа для проверки Первая команда печатает код; 000 — ответа HTTP не было. curl — HTTP-запросы из консоли
• Сайт по имени без DNS -H 'Host: curl — HTTP-запросы из консоли
• HTTPS со своим CA --cacert добавляет доверенный корень для одного запроса. curl — HTTP-запросы из консоли
• Запрос в unix-сокет Соединение идёт в файл сокета, имя localhost попадает только в Host. curl — HTTP-запросы из консоли
• Данные и заголовки С -d curl сам выбирает POST, -X POST можно не писать. curl — HTTP-запросы из консоли
• dig / host / nslookup DNS и разрешение имён
• Команды Имя интерфейса — из ip -br l. ethtool — настройки сетевой карты
• Только код ответа -o /dev/null выбрасывает тело, -w печатает код. HTTP — запросы, ответы, коды и заголовки
• Сайт по имени, когда DNS его не знает Первая команда меняет только заголовок Host. HTTP — запросы, ответы, коды и заголовки
• Запрос руками Видно, что HTTP — просто текст: HTTP — запросы, ответы, коды и заголовки
• Кто ответил: nginx или приложение Строка access.log — адрес клиента, время, строка запроса, код и размер ответа: HTTP — запросы, ответы, коды и заголовки
• Объекты ip Объект О чём Частое ip address (a) IP-адреса на интерфейсах ip -br a ip link (l) сами интерфейсы (up/down, MTU, MAC) ip -br l ip route (r) таблица маршрутов ip… ip — адреса, интерфейсы и маршруты
• Команды Изменения ip ... ip — адреса, интерфейсы и маршруты
• Адрес, префикс и подсеть Запись 192.0.2.10/24 — адрес и префикс: ip — адреса, интерфейсы и маршруты
• Диагностика сети Естественная лесенка: ip — адреса, интерфейсы и маршруты
• Проверка портов Различай ответы: nc — проверка портов и передача данных
• Данные и передача nc — проверка портов и передача данных
• Что машина показывает наружу {#audit} Порт, который слушает на 0.0.0.0 и виден снаружи как open, — часть поверхности атаки. nmap: какие порты видны снаружи
• Вывод для скрипта {#grepable} Каждый порт — номер/состояние/протокол//имя///: nmap: какие порты видны снаружи
• Проверить один порт {#one-port} nmap: какие порты видны снаружи
• Отличить «нет пути» от «нет ответа» Network is unreachable печатается сразу: ping — проверить, доходят ли пакеты до узла
• Destination Host Unreachable Узел в твоей подсети не отозвался на ARP — его нет или он выключен. ping — проверить, доходят ли пакеты до узла
• Проверка в скрипте ping — проверить, доходят ли пакеты до узла
• Внутри учебной сети У учебной машины нет сети, кроме lo: ping — проверить, доходят ли пакеты до узла
• Команды ss — сокеты и порты
• Состояния и фильтры Фильтр по состоянию TCP — state <имя> (или state connected/listening): ss — сокеты и порты
• Копирование и туннели ssh, scp — подключение и копирование по SSH
• Наполнить known_hosts для нового сервера -H хеширует имя хоста в файле — так же, как это делает сам ssh при первом подключении (см. ssh-keyscan — собрать ключи хостов
• Несколько хостов из списка Удобно перед разворачиванием группы ВМ или в cloud-init/Ansible-плейбуке, когда known_hosts собирают одним шагом для всего парка. ssh-keyscan — собрать ключи хостов
• Сверить полученный ключ с отпечатком ssh-keyscan — собрать ключи хостов
• Генерация Установка на сервер: SSH-ключи и ssh-agent
• Права на файлы sshd включает StrictModes по умолчанию: SSH-ключи и ssh-agent
• ssh-agent Агент держит расшифрованный ключ в памяти, чтобы не вводить пароль к ключу каждый раз: SSH-ключи и ssh-agent
• Фильтры Синтаксис BPF: tcpdump — захват и анализ сетевого трафика
• netplan: VLAN и bond VLAN и бондинг интерфейсов
• Проверка VLAN и бондинг интерфейсов
• Команды wget — загрузка файлов по сети
• Частые задачи Связка с DNS: whois — данные о домене и IP
• Разбор атаки Типичный путь «откуда ломятся» (в связке с логами fail2ban/journalctl): whois — данные о домене и IP
• ping В выводе смотри: Диагностика сети
• traceroute / mtr mtr — главный инструмент: Диагностика сети
• Собрать сеть из двух узлов Адреса концов — из одной подсети, иначе нужен маршрут (см. Пара veth и сетевые пространства имён
• Найти второй конец пары Пара veth и сетевые пространства имён
• Убрать учебную сеть Пара veth не живёт поодиночке: Пара veth и сетевые пространства имён
• Применение изменений По SSH на удалённой машине конфигурацию сети меняет netplan try: Постоянная настройка сети netplan
• Несколько файлов в /etc/netplan Файлы применяются все вместе, в порядке имён (01-..., 50-...); поздний файл может переопределить настройки раннего для того же интерфейса. Постоянная настройка сети netplan
• Постоянный маршрут к сети через соседа {#static-route} Маршрут из ip route add живёт до перезагрузки. Постоянная настройка сети netplan

Хранилище и ФС

• Строка для fstab blkid — UUID, метка и тип файловой системы
• Сверить строку fstab с устройством Не совпадает — правят fstab. blkid — UUID, метка и тип файловой системы
• Найти устройство по метке или UUID blkid — UUID, метка и тип файловой системы
• Что на диске без файловой системы blkid — UUID, метка и тип файловой системы
• Разметить пустой диск одной командой Раздел начинают с 1 MiB: fdisk и parted — разметка диска
• Два раздела на одном диске fdisk и parted — разметка диска
• Добавить раздел в свободное место mklabel здесь не нужен: fdisk и parted — разметка диска
• То же в fdisk по шагам Размер можно задать в конце раздела: fdisk и parted — разметка диска
• Таблица MBR для старой системы В MBR у mkpart первым идёт тип раздела (primary), а не имя. fdisk и parted — разметка диска
• Ядро не видит новые разделы fdisk и parted — разметка диска
• Учебный диск с разделом Loop-устройство — файл вместо диска
• Образ ФС без разделов Loop-устройство — файл вместо диска
• Убрать за собой Loop-устройство — файл вместо диска
• Подключать образ при загрузке Строка /etc/fstab с опцией loop — mount подключит файл при загрузке. Loop-устройство — файл вместо диска
• Найти новый диск перед разметкой lsblk — блочные устройства
• Точки монтирования и UUID для fstab lsblk — блочные устройства
• Свои колонки для скриптов lsblk — блочные устройства
• Новый раздел под данные mkfs — создать файловую систему
• Найти раздел по метке mkfs — создать файловую систему
• Меньше места под root на большом диске ext4 по умолчанию оставляет 5% места только для root. mkfs — создать файловую систему
• Много мелких файлов Число inode задаётся при создании. mkfs — создать файловую систему
• Файловая система в файле Подробнее — в статье Loop-устройство. mkfs — создать файловую систему
• Overlay и конвертация qemu-img — образы дисков виртуальных машин
• Снимки (internal) Для живых ВМ снимки делают через virsh snapshot-* (см. qemu-img — образы дисков виртуальных машин
• ext4: resize2fs resize2fs / xfs_growfs — рост файловой системы
• xfs: xfs_growfs resize2fs / xfs_growfs — рост файловой системы
• Обе команды одним шагом resize2fs / xfs_growfs — рост файловой системы
• Лимиты и отчёты Дисковые квоты
• xfs-квоты На xfs механизм иной — квоты включаются опцией монтирования, не quotacheck: Дисковые квоты
• Команды по слоям Слой Создать Показать Расширить PV pvcreate /dev/sdb pvs — VG vgcreate data /dev/sdb vgs vgextend data /dev/sdc LV lvcreate -L 10G -n vol1 data lvs lvextend -r… Логические тома LVM
• Создание и расширение Логические тома LVM
• Снапшоты и перенос Логические тома LVM
• df / du / ncdu -x/-xdev — ключ к чистому результату: Место на диске: df, du, inode
• Что чистить Место на диске: df, du, inode
• Монтирование Частые опции -o: Монтирование и fstab
• bind и tmpfs Монтирование и fstab
• Новый диск в fstab: UUID и nofail {#nofail} nofail — для дисков с данными. Монтирование и fstab
• Создание Программный RAID mdadm
• Замена диска и рост Программный RAID mdadm
• Мониторинг Программный RAID mdadm
• Сервер /etc/exports (по строке на экспорт): Сетевая файловая система NFS
• Клиент Сетевая файловая система NFS
• Создание и метки Монтировать в /etc/fstab лучше по UUID (имена /dev/sdX «плавают»). Файловые системы: ext4, xfs, fsck
• Тюнинг и инфо (ext4) Файловые системы: ext4, xfs, fsck
• Проверка (fsck) Никогда не запускай fsck на смонтированной ФС — повредишь данные. Файловые системы: ext4, xfs, fsck

Логи и аудит

• Команды journalctl — логи и журнал systemd
• Свои строки в журнале: logger и -t {#logger} logger -t метка пишет строку в журнал от имени метки, journalctl -t метка показывает только её. journalctl — логи и журнал systemd
• Централизация и rate-limit Приёмник (central log server) — включить модуль приёма: rsyslog — системные логи
• Команды Ротация логов logrotate

Загрузка

• Отладка cloud-init — первичная настройка ВМ
• Ошибки ядра за эту загрузку {#errors-this-boot} dmesg — сообщения ядра: OOM, ошибки диска и ФС, segfault
• Следить за сообщениями {#follow} -w сначала печатает весь буфер — сотни строк загрузки, — а потом ждёт. dmesg — сообщения ядра: OOM, ошибки диска и ФС, segfault
• Падение программы: segfault {#segfault} Программа обратилась к памяти, которая ей не принадлежит. dmesg — сообщения ядра: OOM, ошибки диска и ФС, segfault
• Ошибка файловой системы ext4 {#ext4-error} ext4 нашла повреждение: dmesg — сообщения ядра: OOM, ошибки диска и ФС, segfault
• OOM: процесс завершён из-за памяти {#oom} Строки Out of memory: dmesg — сообщения ядра: OOM, ошибки диска и ФС, segfault
• Задача зависла в D {#hung-task} Процесс провёл в состоянии D дольше kernel.hung_task_timeout_secs (120 секунд в Ubuntu; здесь порог уменьшили до 20). dmesg — сообщения ядра: OOM, ошибки диска и ФС, segfault
• Найти параметр {#find} 2>/dev/null прячет строки permission denied on key; с sudo видны все параметры. sysctl — параметры ядра во время работы
• Проверить, что значение переживёт перезагрузку {#check-persistent} Если sysctl --system вернул нужное значение, при загрузке будет то же: sysctl — параметры ядра во время работы
• Кто задал значение {#who-set} sysctl --system сначала печатает все строки * Applying … по порядку, потом — все значения. sysctl — параметры ядра во время работы
• Вернуть значение по умолчанию {#revert} Удали свой файл из /etc/sysctl.d/ и задай значение руками (sudo sysctl -w vm.swappiness=60) или перезагрузи машину — sysctl --system старых значений не… sysctl — параметры ядра во время работы
• Найти, что задерживает загрузку {#slow-boot} systemd-analyze — сколько шла загрузка и до какой цели. systemd-analyze: что тормозит загрузку и что не так в юните
• Проверить юнит до запуска {#check-unit} Последняя строка годится для скрипта: systemd-analyze: что тормозит загрузку и что не так в юните
• Поднялась ли служба при загрузке сама {#started-at-boot} ActiveEnterTimestampMonotonic — микросекунды от старта ядра до момента, когда служба стала active: systemd-analyze: что тормозит загрузку и что не так в юните
• GRUB Конфиг — /etc/default/grub (не редактируй сгенерированный grub.cfg напрямую): Загрузка системы и GRUB
• Цели и тайминги Цель Что multi-user.target сервер без графики (норма) graphical.target + GUI rescue.target single-user, корень смонтирован, минимум служб emergency.target… Загрузка системы и GRUB
• Команды Модули ядра
• Автозагрузка и запрет Модули ядра
• dmesg / сообщения ядра Здесь ищут проблемы с драйверами и железом. Модули ядра
• Сменить цель по умолчанию {#set-default} Цель сменится при следующей загрузке. Цели загрузки: default, multi-user, rescue и emergency
• Кто запускает юнит при загрузке {#who-wants} Цели загрузки: default, multi-user, rescue и emergency
• Загрузиться в rescue или emergency {#boot-into-rescue} В меню GRUB выбери пункт и нажми e. Цели загрузки: default, multi-user, rescue и emergency
• Починить из emergency и загрузиться дальше {#fix-from-emergency} mount -a без ошибок — fstab в порядке, и systemctl default доведёт загрузку до цели по умолчанию. Цели загрузки: default, multi-user, rescue и emergency
• Узнать версию и происхождение Ядро (kernel)
• Параметры, с которыми ядро загрузилось Ядро (kernel)
• Сообщения ядра при старте и в работе Ядро (kernel)

Пакеты

• apt apt / dpkg — управление пакетами
• dpkg и репозитории apt / dpkg — управление пакетами
• Команды snap — пакеты Ubuntu
• Сервисы snap snap — пакеты Ubuntu

Безопасность

• Режимы и команды {#modes} Профили — в /etc/apparmor.d/. AppArmor
• Профили и обкатка Структура профиля (упрощённо): AppArmor
• Правила: watch и syscall auditd — аудит безопасности
• Поиск событий auditd — аудит безопасности
• Разбор события {#event} На учебной машине служба auditd выключена: auditd — аудит безопасности
• Постоянные правила: rules.d {#rules-d} augenrules собирает /etc/audit/audit.rules из всех файлов rules.d/*.rules и загружает в ядро; при старте auditd делает то же. auditd — аудит безопасности
• Порт ниже 1024 без root {#low-port} Службе — часть через юнит, программе вне systemd — через файл: Capabilities: права root по частям
• Найти файлы с capabilities {#find} На чистой машине — три файла из блока выше. Capabilities: права root по частям
• Какие части у службы {#service-caps} Capabilities: права root по частям
• Управление fail2ban
• Шифрование и подпись GPG — шифрование и подписи
• Политика паролей {#password-policy} Проверяй действием: PAM: проверка входа, политика паролей и блокировка
• Блокировка после трёх неудач {#lockout} Файл заменяется целиком — сверь его прежний стек с этим (grep -v '^#' /etc/pam.d/common-auth | grep .): PAM: проверка входа, политика паролей и блокировка
• Править PAM и не запереться {#safe-edit} Открой второй терминал с sudo -i и не закрывай до конца проверки. PAM: проверка входа, политика паролей и блокировка
• Хардненинг Параметр Зачем PermitRootLogin no не пускать root напрямую PasswordAuthentication no только ключи (главное против брутфорса) MaxAuthTries 3 меньше попыток за… sshd — SSH-сервер
• Команды sshd — SSH-сервер
• Что отдаёт сервер {#server-certificate} Первый сертификат в выводе — сертификат сайта. TLS и сертификаты — openssl, цепочка, проверка
• Проверить цепочку локально Первая команда без промежуточного — error 20 at 0 depth lookup: TLS и сертификаты — openssl, цепочка, проверка
• Собрать файл полной цепочки {#fullchain} Порядок — сертификат сайта первым, за ним промежуточный. TLS и сертификаты — openssl, цепочка, проверка
• Ключ и сертификат — пара? Суммы совпали — пара. TLS и сертификаты — openssl, цепочка, проверка
• Выпустить сертификат с прежним ключом {#renew-same-key} -copy_extensions copy переносит SAN из запроса в сертификат. TLS и сертификаты — openssl, цепочка, проверка
• Сколько осталось до конца срока -checkend N — истечёт ли сертификат за N секунд (2592000 — 30 дней): TLS и сертификаты — openssl, цепочка, проверка
• Свой CA в доверие системы {#trust-own-ca} Файл должен называться *.crt. TLS и сертификаты — openssl, цепочка, проверка
• Let's Encrypt (certbot) Публичный CA для сайтов в интернете: TLS и сертификаты — openssl, цепочка, проверка
• Включено ли и когда сработает {#check} Оба значения "1" и оба таймера enabled — обновления идут раз в сутки. unattended-upgrades: обновления безопасности без участия человека
• Отложить пакет {#blacklist} Имена — регулярные выражения: unattended-upgrades: обновления безопасности без участия человека
• Найти службы со старыми файлами {#find-stale} unattended-upgrades: обновления безопасности без участия человека
• Выдать одну команду отдельным файлом Отдельный файл видно сразу, его легко убрать, основной /etc/sudoers не меняется. visudo — безопасная правка sudoers
• Проверить правило до установки Сначала проверь грамматику, потом смысл: visudo — безопасная правка sudoers
• Проверить от имени того, кому выдано -n запрещает вопрос о пароле: visudo — безопасная правка sudoers
• Чтение и правила Правила iptables не сохраняются сами. Классический файрвол iptables
• Ограничить службу drop-in'ом {#drop-in} Каждый ключ проверяй работой службы: Ограничения службы: User=, ProtectSystem, NoNewPrivileges
• Примерить ключ на одной команде {#systemd-run} systemd-run запускает команду временной службой с теми же ключами: Ограничения службы: User=, ProtectSystem, NoNewPrivileges
• ufw Файрвол — nftables / ufw
• Постоянный набор nftables {#nftables-persistent} Правила из nft add живут до перезагрузки. Файрвол — nftables / ufw

Автоматизация

• Проверить плейбук до прогона {#before-run} --syntax-check на исправном плейбуке печатает только playbook: ansible-playbook: запуск плейбука
• На другую машину по SSH {#remote} Инвентарь node2.ini: ansible-playbook: запуск плейбука
• Часть плейбука {#partial} С -t page выполнились сбор фактов, задача с тегом и её обработчик — ok=3 changed=2. ansible-playbook: запуск плейбука
• Переменная из командной строки {#extra-vars} -e site_title=Новый перекрывает vars: ansible-playbook: запуск плейбука
• Инвентарь {#inventory} Что Где Значит имя машины node2 так машина называется в выводе; по нему же Ansible подключается, если нет ansible_host ansible_host строка машины адрес или имя… Ansible: инвентарь, модули и разовые команды
• Разовые команды {#adhoc} ansible <машины> -m <модуль> -a '<параметры>' — один модуль на всех машинах группы. Ansible: инвентарь, модули и разовые команды
• become: через sudo {#become} Модули выполняются от того, под кем Ansible вошёл. Ansible: инвентарь, модули и разовые команды
• Плейбуки и роли Переменные — group_vars/, host_vars/; секреты — ansible-vault (ansible-vault encrypt secrets.yml, запуск с --ask-vault-pass). Ansible: инвентарь, модули и разовые команды

Контейнеры

• Проверить файл перед запуском docker compose — стек контейнеров одним файлом
• Состояние стека для скрипта --format json печатает объект JSON на строку для каждого контейнера — jq разбирает их по одному. docker compose — стек контейнеров одним файлом
• Остановить один сервис docker compose — стек контейнеров одним файлом
• Логи всех сервисов сразу Перед строкой — имя сервиса. docker compose — стек контейнеров одним файлом
• Почему контейнер остановился Код 0 — команда просто закончилась: Docker — контейнеры: запуск, порты, тома, сети
• Пересоздать контейнер с новыми ключами Данные в томе переживут пересоздание, данные в слое контейнера — нет. Docker — контейнеры: запуск, порты, тома, сети
• Найти контейнер среди процессов хоста Docker — контейнеры: запуск, порты, тома, сети
• Команда в контейнере из скрипта docker exec -it нужен терминал. Docker — контейнеры: запуск, порты, тома, сети
• Сайт на nginx:alpine CMD наследуется от основы: Dockerfile — рецепт образа и docker build
• Процесс не от root adduser -D — busybox-версия: Dockerfile — рецепт образа и docker build
• Проверить образ до запуска службы Dockerfile — рецепт образа и docker build
• Пересобрать и подменить контейнер Новый образ сам в работающий контейнер не попадает — контейнер нужно пересоздать. Dockerfile — рецепт образа и docker build
• Какой образ у контейнера Первое поле inspect — имя, с которым контейнер создан, второе — ID образа. Образы контейнеров — слои, теги, реестр и digest
• Сверить digest вручную index.json указывает на манифест по digest, файл манифеста назван тем же digest, и sha256sum от него даёт то же число. Образы контейнеров — слои, теги, реестр и digest
• Перенести образ на машину без сети Образы контейнеров — слои, теги, реестр и digest
• Список образов для скрипта Образы контейнеров — слои, теги, реестр и digest
• Освободить место Образы контейнеров — слои, теги, реестр и digest