💬 Вопрос на собеседовании для сисадмина

Давайте разберем один из частых вопросов, который может быть задан на собеседовании и как на него отвечать.

❓Вопрос: Что такое RCU (Read-Copy-Update) и зачем он используется в ядре Linux?

✅Ответ: RCU — это механизм синхронизации в ядре Linux, оптимизированный для сценариев, в которых часто происходят чтения и редко — изменения. Он позволяет множеству потоков безопасно читать общие данные без блокировок, обеспечивая при этом консистентность и высокую производительность.

Ключевая идея: при обновлении структуры данных не изменяется оригинал напрямую. Вместо этого создается копия, изменяется, а затем «публикуется» как новая версия. Старую версию продолжат читать те, кто начал до обновления. Когда все старые читатели завершат доступ, старая версия удаляется.

Как раздавать делегированный IPv6-префикс по нескольким интерфейсам или VLAN’ам

Провайдер дал тебе, например, /56 через DHCPv6-PD. Это 256 подсетей по /64. А у тебя:
⏺ основной LAN (br0)
⏺ гостевая сеть (br1)
⏺ VPN-клиенты (wg0)
⏺ и maybe vlan10, vlan20…

Задача: разбить /56 на /64 и назначить каждой сети свою

Пример:
• Префикс от провайдера: 2001:db8:abcd::/56
• Тогда:
• br0 → 2001:db8:abcd:0001::/64
• br1 → 2001:db8:abcd:0002::/64
• wg0 → 2001:db8:abcd:0003::/64
• vlan10 → 2001:db8:abcd:0010::/64

Как назначить эти префиксы вручную

# br0
ip -6 addr add 2001:db8:abcd:1::1/64 dev br0
# br1
ip -6 addr add 2001:db8:abcd:2::1/64 dev br1
# wg0
ip -6 addr add 2001:db8:abcd:3::1/64 dev wg0

Теперь включаем RA (Router Advertisements)

Если используешь radvd — конфигурация будет выглядеть так:

interface br0 {
  AdvSendAdvert on;
  prefix 2001:db8:abcd:1::/64 {
    AdvOnLink on;
    AdvAutonomous on;
  };
};

interface br1 {
  AdvSendAdvert on;
  prefix 2001:db8:abcd:2::/64 {
    AdvOnLink on;
    AdvAutonomous on;
  };
};

interface wg0 {
  AdvSendAdvert on;
  prefix 2001:db8:abcd:3::/64 {
    AdvOnLink on;
    AdvAutonomous on;
  };
};

Аналогично для vlanX, просто добавляешь ещё интерфейсы.

Альтернатива: автоматизация через dhcpv6 delegating-router (если systemd-networkd)

Можно использовать IPv6PrefixDelegation=yes, и тогда systemd сам может назначить /64 на каждый интерфейс, если ты пропишешь:

[Network]
IPv6SendRA=yes
IPv6PrefixDelegation=yes

но это пока слабо документировано и не всегда стабильно, особенно если ты хочешь контроль, какая подсеть куда идёт. Поэтому ручное назначение /64 — надёжнее.

IPv6 Firewall

Не забудь базовую защиту:

nft add table inet filter
nft add chain inet filter input { type filter hook input priority 0 \; policy drop \; }
nft add rule inet filter input ct state established,related accept
nft add rule inet filter input iif lo accept
nft add rule inet filter input ip6 nexthdr icmpv6 accept
nft add rule inet filter input tcp dport 22 accept  # SSH

Netplan vs NetworkManager vs ifupdown: кто рулит в 2025?

В Linux для настройки сети сегодня популярны три инструмента:

⏺ifupdown — старый проверенный способ с конфигами в /etc/network/interfaces. Хорош для простых серверов, но не поддерживает современные фишки вроде Wi-Fi или сложных сетевых сценариев.

⏺NetworkManager — идеален для десктопов и ноутбуков. Умеет управлять Wi-Fi, VPN, мобильными сетями, имеет GUI и CLI. На серверах бывает слишком “тяжёлым” и иногда конфликтует с другими инструментами.

⏺Netplan — современный YAML-конфиг, который служит фронтендом для systemd-networkd (на серверах) или NetworkManager (на десктопах). Обеспечивает удобный и унифицированный подход к настройке сетей: VLAN, bonding, bridges, DHCPv6 и статические адреса.

Как выбрать?
• Для серверов сейчас рекомендуют Netplan + systemd-networkd — быстро, надёжно, удобно для автоматизации.
• Если нужно максимально простое решение — ifupdown всё ещё жив и работает.
• Для рабочих станций и ноутбуков — NetworkManager остаётся стандартом.

Но важно помнить, что Netplan — это не самостоятельный сетевой менеджер, а инструмент генерации конфигураций для systemd-networkd или NetworkManager. 

Если одновременно запускаются оба бэкенда, могут возникать конфликты, поэтому нужно контролировать активный менеджер сети.

Особенно это актуально при переходе между серверными и десктопными средами.

Такой подход обеспечивает гибкость и совместимость с разными типами оборудования и сценариями.

💬 Вопрос на собеседовании для DevOps-инженера

Давайте разберем один из частых вопросов, который может быть задан на собеседовании и как на него отвечать.

❓Вопрос: Как работает ядро Linux для управления вводом/выводом и что такое I/O scheduler?

✅Ответ: I/O scheduler в Linux управляет порядком операций ввода/вывода, что важно для эффективного использования дисков и оптимизации работы с данными. Выбор нужного scheduler помогает улучшить производительность системы, особенно при высоких нагрузках.

Основные типы:
• CFQ (Completely Fair Queuing): Равномерное распределение ресурсов для процессов.
• Deadline: Обеспечивает выполнение операций в установленные сроки.
• Noop: Минимальные операции, подходит для систем с кэшированием.

Чтобы проверить текущий scheduler:

cat /sys/block/sda/queue/scheduler

SSSD для интеграции Linux с Active Directory: настройка и тонкости

Интеграция Linux-серверов и рабочих станций в Active Directory (AD) — стандартная задача в смешанных инфраструктурах.

SSSD (System Security Services Daemon) — современный и гибкий способ обеспечить аутентификацию и получение информации из AD без установки громоздких клиентов вроде winbind.

Базовая схема настройки

1️⃣Подключаем Linux к AD

Если есть realmd, достаточно:

realm join example.com -U Administrator

Он автоматически настроит SSSD, Kerberos и разрешения.

Если без realmd — делаем вручную.

2️⃣ Настраиваем /etc/sssd/sssd.conf

Пример минимального конфига:

[sssd]
domains = example.com
config_file_version = 2
services = nss, pam

[domain/example.com]
id_provider = ad
auth_provider = ad
chpass_provider = ad
access_provider = ad
ad_domain = example.com
krb5_realm = EXAMPLE.COM
realmd_tags = manages-system joined-with-adcli
cache_credentials = True
fallback_homedir = /home/%u@%d
default_shell = /bin/bash
ldap_id_mapping = True
use_fully_qualified_names = False

3️⃣ Права на файл конфигурации

chmod 600 /etc/sssd/sssd.conf

4️⃣ Запускаем и добавляем в автозагрузку

systemctl enable --now sssd

5️⃣ Настраиваем PAM

Обновляем /etc/pam.d/common-auth и common-session для вызова pam_sss.so и автоматического создания домашней директории.

Пример для common-session:

session required pam_mkhomedir.so skel=/etc/skel/ umask=0077

Слепое восстановление root-доступа: когда осталась только консоль или IPMI

Заблокировался root, слетел пароль, SSH не пускает, а у тебя только IPMI или прямой доступ к консоли?

Без паники — вот три проверенных сценария.

Способ 1: init=/bin/bash

Если можешь перезапустить сервер и попасть в GRUB:
1️⃣На экране GRUB выбери нужное ядро и нажми e для редактирования.
2️⃣Найди строку, начинающуюся с linux, и добавь в конец:

init=/bin/bash

3️⃣Нажми Ctrl + X или F10 — система загрузится в bash без пароля.
4️⃣Подмонтируй root в rw:

mount -o remount,rw /

5️⃣Сбрось пароль:

passwd

6️⃣Перезагрузи: exec /sbin/init или просто reboot -f

Способ 2: chroot из Live-ISO или rescue-системы

1️⃣Подключи ISO через IPMI, загрузись в LiveCD.
2️⃣Определи диск: lsblk, fdisk -l
3️⃣Подмонтируй систему:

mount /dev/sdaX /mnt
mount --bind /dev /mnt/dev
mount --bind /proc /mnt/proc
mount --bind /sys /mnt/sys
chroot /mnt

4️⃣Сбрось пароль: passwd
5️⃣Перезагрузи.

Способ 3: Rescue mode от хостера (если есть)
1️⃣Активируй rescue в панели (Hetzner, OVH, etc.)
2️⃣Подключись по SSH к rescue-системе.
3️⃣Повтори chroot-метод выше.

Samsung откладывает запуск завода чипов в Техасе

Samsung перенесла запуск полупроводникового завода в Техасе как минимум до 2026 года — из-за нехватки заказов на контрактное производство чипов.

Компания теряет позиции: из числа клиентов уже ушли Nvidia и Qualcomm.

⏺Современные фабрики требуют миллиардных инвестиций и высокой загрузки мощностей, иначе производство становится нерентабельным.

Завод Samsung был спроектирован под 4-нм техпроцесс с FinFET, но к 2026 году рынок перейдёт на 2-нм технологии и GAA-транзисторы.

Дополнительное давление оказывает строительство флагманского комплекса TSMC в Аризоне стоимостью $100 млрд.

Проблемы с файловыми системами

При использовании SSD для контейнерных решений важно правильно выбрать файловую систему:

• ext4: Подходит для общего использования, но не всегда эффективна при большом числе операций записи, характерных для контейнеров.
• XFS: Хорошо работает с большими файлами, но страдает при работе с мелкими.
• btrfs: Имеет интересные функции, такие как дедупликация и сжатие, но может тормозить при интенсивной записи.

Docker и тома

По умолчанию Docker использует overlay2 для управления слоями контейнеров.

Это может привести к дополнительным нагрузкам на SSD, так как каждый слой добавляется поверх предыдущего, увеличивая количество операций записи. 

Также SSD чувствительны к блокировкам метаданных, что еще больше снижает производительность.

Причины потери производительности
⏺Журналирование: SSD быстрее работают, но если Docker не оптимизирован для этого, это может привести к потере производительности.
⏺Малые файлы: Контейнеры часто работают с малым количеством данных, что вызывает дополнительные нагрузки на файловую систему.

1️⃣Выбор файловой системы: Для SSD рекомендуется использовать XFS или btrfs, которые лучше справляются с мелкими файлами и высокой нагрузкой.
2️⃣Оптимизация Docker: Отключите избыточное журналирование и используйте bind mount для томов.
3️⃣Настройка SSD: Включите TRIM, чтобы SSD правильно освобождал место и поддерживал свою производительность.
4️⃣Использование ZFS: Если производительность критична, ZFS будет более эффективен в контейнерных окружениях.

💬 Вопрос на собеседовании для сисадмина

Давайте разберем один из частых вопросов, который может быть задан на собеседовании и как на него отвечать.

❓Вопрос: Что такое KASLR и как он повышает безопасность ядра Linux?

✅Ответ: KASLR (Kernel Address Space Layout Randomization) — это механизм, который случайным образом размещает ядро и его компоненты в виртуальной памяти при загрузке системы. Цель — усложнить эксплуатацию уязвимостей, основанных на знании точных адресов функций и структур ядра.

Контроль устройств через USBGuard

Как запретить флешки и другие USB-девайсы на уровне ядра

В некоторых инфраструктурах флешки — это не просто риск, а реальный вектор атак.

Чтобы контролировать, какие USB-устройства разрешены, используем USBGuard — мощный инструмент, встроенный в ядро Linux.

Как это работает:
USBGuard создаёт политику разрешённых USB-устройств по их VID/PID и serial number. Всё, что не разрешено — автоматически блокируется.

Быстрый старт:

sudo apt install usbguard
sudo usbguard generate-policy > /etc/usbguard/rules.conf
sudo systemctl enable --now usbguard

По умолчанию все текущие устройства будут разрешены. После запуска новые — блокируются.

Пример строки правила:

allow id 0781:5567 serial "4C530001181223103294" name "Cruzer Blade"

Чтобы запретить всё, кроме нужного:
1️⃣Генерируй политику.
2️⃣Удали строки allow with-interface или allow via.
3️⃣Переведи USBGuard в режим enforce.

Интеграция с systemd:

sudo systemctl status usbguard
sudo journalctl -u usbguard

Скрытая перезагрузка Linux

Как понять, что сервер перезапускался, даже если uptime большой

Иногда uptime внушительный, но сервисы «как будто» перезапускались. 

Такое бывает после kexec, resume из сна, контейнерной миграции или даже обмана через sysctl. Разберёмся, как проверить, не было ли на самом деле рестарта.

1️⃣Проверяем journalctl:
Логи systemd разбиты на сессии. Увидим границу между ними:

journalctl --list-boots

Если есть несколько загрузок (boot ID), был перезапуск. Даже если uptime говорит обратное.

2️⃣Логи входов last и btmp:

last reboot

Покажет перезагрузки ядра. Если пусто — подозрительно.

last -f /var/log/btmp

Проверка на сброс логов, частая практика для сокрытия следов.

3️⃣dmesg и таймштампы ядра:

dmesg | head

Таймштамп в первых строках должен совпадать с uptime. Если нет — возможно, kexec или resume.

4️⃣Проверка монтирования /tmp или /run:

mount | grep tmpfs

💬 Вопрос на собеседовании для DevOps-инженера

Давайте разберем один из частых вопросов, который может быть задан на собеседовании и как на него отвечать.

❓Вопрос: Как работает oom-killer в Linux и как с ним работать, чтобы минимизировать негативные последствия?

✅Ответ: oom-killer (Out-Of-Memory Killer) — это механизм ядра Linux, который срабатывает, когда системе не хватает оперативной памяти, и она не может выделить память ни одному из процессов. В такой ситуации oom-killer выбирает и завершает “наименее ценную” с точки зрения ядра задачу, чтобы освободить ресурсы.

Как с ним работать:

— Поведение можно контролировать с помощью параметра oom_score_adj. Чем выше значение (макс. 1000), тем выше вероятность, что процесс будет убит.
— Можно настроить cgroups и ограничить память для отдельных групп процессов, чтобы сбои не затрагивали всю систему.
— Желательно использовать swap-файл/раздел, чтобы отложить момент срабатывания OOM, но не полагаться на это как на основную защиту.

Отслеживаем внезапные изменения сетевой конфигурации в Linux

Иногда вы теряете доступ по SSH, DNS резко меняется, а ip route не узнаётся. Причин может быть много: DHCP, VPN, скрипты, NetworkManager или зловред.

Разберём, как это отследить, логировать и сразу получать уведомление — даже в Telegram.

1️⃣Слежение за изменениями IP, DNS и маршрутов

Создаём скрипт check_net.sh, который сравнивает текущие настройки с эталоном:

#!/bin/bash

DIR="/var/lib/netwatch"
mkdir -p "$DIR"

NOW="$DIR/now"
PREV="$DIR/prev"

ip addr > "$NOW".ip
ip route > "$NOW".route
cat /etc/resolv.conf > "$NOW".dns

# Если первая итерация — копируем как эталон
[ ! -f "$PREV.ip" ] && cp "$NOW".ip "$PREV.ip"
[ ! -f "$PREV.route" ] && cp "$NOW".route "$PREV.route"
[ ! -f "$PREV.dns" ] && cp "$NOW".dns "$PREV.dns"

# Проверяем различия
DIFF=$(diff -u "$PREV.ip" "$NOW.ip"; diff -u "$PREV.route" "$NOW.route"; diff -u "$PREV.dns" "$NOW.dns")

if [ -n "$DIFF" ]; then
  echo "$DIFF" | tee "$DIR/alert.log"

  # Отправка в Telegram
  TOKEN="your_bot_token"
  CHAT_ID="your_chat_id"
  MSG="⚠️ Изменение сети на $(hostname):%0A$(echo "$DIFF" | tail -n 20 | sed 's/$/%0A/' | sed 's/+/%2B/g')"
  curl -s "https://api.telegram.org/bot$TOKEN/sendMessage" --data-urlencode "chat_id=$CHAT_ID" --data-urlencode "text=$MSG"

  # Обновляем эталон
  cp "$NOW".ip "$PREV.ip"
  cp "$NOW".route "$PREV.route"
  cp "$NOW".dns "$PREV.dns"
fi

2️⃣Настраиваем таймер systemd (альтернатива cron)

Файл netwatch.timer:

[Unit]
Description=Net config watcher timer

[Timer]
OnBootSec=2min
OnUnitActiveSec=5min

[Install]
WantedBy=timers.target

Файл netwatch.service:

[Unit]
Description=Net config watcher

[Service]
ExecStart=/usr/local/bin/check_net.sh

Активируем:

systemctl daemon-reexec
systemctl enable --now netwatch.timer

3️⃣Дополнительно: auditd и лог изменений конфигов

auditctl -w /etc/network/interfaces -p wa
auditctl -w /etc/netplan -p wa
auditctl -w /etc/resolv.conf -p wa