💬 Вопрос на собеседовании для DevOps-инженера

Давайте разберем один из частых вопросов, который может быть задан на собеседовании и как на него отвечать.

❓Вопрос: Как работает механизм fencing в распределённых системах, и почему он критически важен для отказоустойчивости?

✅Ответ: Fencing (также известный как STONITH — Shoot The Other Node In The Head) — это техника в отказоустойчивых кластерах, гарантирующая, что сбойный узел не будет выполнять никаких операций с общими ресурсами после того, как его сочли “мертвым”. Это необходимо для избежания split-brain-сценариев, при которых два узла считают себя активными и могут повредить общие данные, например, диск или базу.

Восстановление root-пароля в Ubuntu

Забыли root-пароль в Ubuntu? Не паникуйте! Сбросить пароль можно за несколько минут. Мы рассмотрим два способа восстановления: через Recovery Mode и альтернативный метод через Grub.

Эти методы работают на обычных системах, а также в виртуальных машинах (VMware, VirtualBox).

Способ 1: Сброс пароля через Recovery Mode

Этот метод удобен, если у вас есть доступ к меню загрузки Grub.

⏺Шаг 1: Вход в режим восстановления
1. Перезагрузите компьютер.
2. Если меню Grub не появляется автоматически, нажимайте Shift во время загрузки.
3. В меню выберите Advanced Options for Ubuntu.
4. Найдите вариант с (recovery mode) и выберите его.

После небольшой загрузки появится меню восстановления.

⏺Шаг 2: Переход в командную строку root
1. В списке выберите Root (Drop to root shell prompt).
2. Нажмите Enter – вы попадете в терминал с root-доступом.

⏺Шаг 3: Разрешение записи в корневой раздел

По умолчанию корневой раздел доступен только для чтения, поэтому перед изменением пароля нужно разрешить запись:

mount -rw -o remount /

⏺Шаг 4: Сброс пароля
1. Посмотрите список пользователей:

ls /home

Здесь будут показаны все пользовательские папки – выберите нужного пользователя.

2. Сбросьте пароль:

passwd username

(вместо username подставьте имя пользователя).

3. Дважды введите новый пароль.

⏺Шаг 5: Перезагрузка системы
1. Введите команду выхода:

exit

2. Вернетесь в меню восстановления – выберите Resume boot для загрузки системы.
3. После перезагрузки можно войти с новым паролем.

Способ 2: Сброс пароля через Grub

Этот метод подходит, если Recovery Mode недоступен или не работает.

Шаг 1: Изменение параметров в Grub
Перезагрузите компьютер и нажимайте Shift, пока не появится меню Grub.
Дальше выберите Ubuntu и нажмите E (редактировать параметры загрузки). И найдите строку, начинающуюся с linux, замените ro на rw и добавьте в конец:

init=/bin/bash

Нажмите Ctrl + X, чтобы загрузиться в систему.

Теперь вы окажетесь в командной строке bash без пароля.

Шаг 2: Смена пароля
Введите команду:

passwd username

Дважды введите новый пароль. И перезагрузите систему командой:

shutdown -r now

После перезагрузки вы сможете войти в систему с новым паролем.

Возможные ошибки и их решение

⏺Ошибка “Authentication token manipulation error”

Проблема: Файловая система доступна только для чтения.
Решение: Разрешите запись перед изменением пароля:

mount -rw -o remount /

⏺Нет пункта “Recovery Mode” в Grub

Проблема: В меню загрузки отсутствует пункт Recovery Mode.
Решение:
• Выберите Ubuntu в Grub, нажмите E для редактирования параметров.
• В конце строки загрузки добавьте single.
• Нажмите Ctrl + X или F10, чтобы загрузиться в терминал суперпользователя.

⏺Ошибка “end Kernel panic” при загрузке

Проблема: Ошибка загрузки ядра.
Решение: Удалите параметр splash boot при редактировании загрузки в Grub.

⏺Ошибка “Failed to connect to bus” при перезагрузке

Проблема: Некорректное завершение системы после смены пароля.
Решение: Используйте команду:

exec /sbin/init

Вышел Wireshark 4.4.8

В июле 2025 вышла стабильная версия Wireshark 4.4.8 — популярного open source сетевого анализатора. Обновление включает:

⏺Исправления ошибок и уязвимостей
⏺Улучшения графиков VoIP, TCP и интерфейсов
⏺Обновления в поддержке протоколов: IPsec, DTLS, TETRA, KRB5, UDS и др.
⏺Поддержку формата pcapng и улучшенную работу с UTF-8

Проект развивается с 2008 года и распространяется под GPLv2. Wireshark остаётся ключевым инструментом для специалистов по сетям и безопасности.

IPv6 через туннели: 6to4 и WireGuard

Как получить IPv6 на VPS, где его нет

Если ваш хостинг не даёт IPv6-адреса, это не повод отказываться от поддержки современного протокола.

Есть как минимум два способа получить IPv6-трафик — с помощью 6to4 или через VPN-туннель, например, WireGuard.

⏺6to4 — автоматический туннельный механизм, где IPv6 инкапсулируется в IPv4. Подходит, если у вас есть публичный IP, и позволяет быстро поднять IPv6 без внешних сервисов. Минус — нестабильность и устаревание технологии.

⏺WireGuard + маршрутизация — более современный способ. Настраиваете второй VPS с IPv6 (например, на Hetzner или Vultr), поднимаете между ними WireGuard и прокидываете IPv6-префикс через маршрут. Внутри сети можно даже делить подсети и выдавать адреса локальным контейнерам.

Подойдёт для:
➕тестирования IPv6-приложений;
➕обхода ограничений провайдера;
➕развёртывания публичных IPv6-сервисов.

⚡️Плюс - вы контролируете туннель и сами задаёте маршруты. Минус — нужна ещё одна VPS или доверенный endpoint.

Быстрый аудит безопасности Linux-системы с помощью Lynis

Когда нужно быстро проверить безопасность сервера или рабочего места, Lynis - удобный инструмент для первичного аудита и рекомендаций по улучшению защиты.

Как это сделать?

1️⃣Установка
Для Debian/Ubuntu:

sudo apt install lynis

Для других дистрибутивов — через пакетный менеджер или с официального сайта.

2️⃣ Запуск аудита
Запускаем сканирование с правами root:

sudo lynis audit system

3️⃣ Анализ отчёта
⏺В конце проверки Lynis выведет список предупреждений и рекомендаций.
⏺Логи сохраняются в /var/log/lynis.log.
⏺Особое внимание уделяем секциям warnings и suggestions.

4️⃣ Основные проверки Lynis
• Настройки ядра и безопасности
• Конфигурация SSH, sudo и PAM
• Права доступа к критичным файлам
• Установленные пакеты и их обновления
• Журналы и брандмауэр

Собственный mirror APT/YUM в локальной сети

Когда нужен быстрый доступ к пакетам без выхода в интернет — выручит локальное зеркало.

Это экономит трафик, ускоряет обновления и позволяет работать в air-gapped-сетях.

APT (Debian/Ubuntu)

Установим apt-mirror и любой HTTP-сервер (например, Apache):

sudo apt install apt-mirror apache2

Файл /etc/apt/mirror.list указывает, какие репозитории скачивать. После настройки запускаем:

sudo apt-mirror

Зеркало будет лежать в /var/spool/apt-mirror. Отдаём его через Apache по https://mirror.local/ubuntu.

YUM/DNF (RHEL/CentOS/AlmaLinux)

Для RedHat-систем используем reposync и createrepo:

reposync --gpgcheck -l --repoid=base --download_path=/var/www/html/yum
createrepo /var/www/html/yum

Можно автоматизировать через cron и обновлять репо по расписанию.

✅Проверка

На клиентских машинах указываем новый baseurl в .repo-файлах:

baseurl=https://mirror.local/yum
enabled=1
gpgcheck=0

Для APT — добавляем строчку в sources.list:

deb https://mirror.local/ubuntu focal main restricted

💬 Вопрос на собеседовании для сисадмина

Давайте разберем один из частых вопросов, который может быть задан на собеседовании и как на него отвечать.

❓Вопрос: Что такое Transparent Huge Pages (THP) в Linux и как они влияют на производительность?

✅Ответ: Transparent Huge Pages (THP) — это механизм Linux, автоматически объединяющий обычные страницы памяти (обычно по 4 KB) в более крупные страницы (обычно по 2 MB), чтобы сократить накладные расходы на управление памятью и ускорить доступ.

Проверить текущее состояние THP можно командой:

cat /sys/kernel/mm/transparent_hugepage/enabled

Отключить, если они мешают:

echo never > /sys/kernel/mm/transparent_hugepage/enabledЯ

Локальный Docker Registry в своей сети

Для ускорения работы CI/CD, уменьшения зависимости от внешних сервисов и повышения контроля над Docker-образами часто поднимают собственный приватный Docker Registry.

Docker Registry — это сервис хранения и распространения контейнерных образов. 

Официальный публичный реестр — Docker Hub, но для внутреннего использования лучше иметь локальный, чтобы экономить трафик, ускорять загрузки и обеспечивать безопасность.

Быстрый старт

Запускаем официальный образ Registry:

docker run -d -p 5000:5000 --restart=always --name registry registry:2

По умолчанию Registry доступен по HTTP на порту 5000.

Работа с локальным реестром

1️⃣Тегируем локальный образ для отправки:

docker tag myimage localhost:5000/myimage

2️⃣Отправляем образ:

docker push localhost:5000/myimage

3️⃣На других хостах забираем образ:

docker pull localhost:5000/myimage

Автоматический монт сетевых папок при старте: systemd .mount и .automount

Если сетевые диски нужно подключать при каждом старте системы — не обязательно лезть в /etc/fstab.

Современный способ — использовать systemd-юниты .mount и .automount.

⏺.mount — это юнит для постоянного монтирования. Его имя строится по пути к точке монтирования. Например, для /mnt/share файл будет называться:

mnt-share.mount

Пример содержимого:

[Unit]
Description=Mount network share

[Mount]
What=//192.168.0.10/share
Where=/mnt/share
Type=cifs
Options=credentials=/etc/smb.cred,_netdev,vers=3.0

[Install]
WantedBy=multi-user.target

⏺.automount — позволяет подключать ресурс только при обращении к нему. Это ускоряет загрузку, если сеть ещё не поднята.

mnt-share.automount

Пример:

[Unit]
Description=Automount network share

[Automount]
Where=/mnt/share

[Install]
WantedBy=multi-user.target

При первой попытке зайти в /mnt/share systemd автоматически поднимет mnt-share.mount.

В Китае начнут выпускать стеклянные оптические диски на 360 ТБ

До конца 2025 года в Китае запустят массовое производство стеклянных оптических дисков ёмкостью до 360 ТБ.

Технологию разработал Уханьский центр оптоэлектроники.

Её описывают как «многомерное хранение с низкой стоимостью и сверхдолгим сроком службы».

Разработчики уже ведут переговоры с дата‑центрами. Новые диски пригодятся для архивов, хранения исторических данных и больших наборов для ИИ‑моделей.

⏺За последние годы скорость чтения и записи стеклянных накопителей выросла в тысячу раз, а плотность хранения — в 100 раз, при этом цена снизилась. Массовое внедрение ожидается к концу 2025 года.

Как сделать бэкап PostgreSQL с шифрованием и загрузкой в S3

Хранить бэкапы баз данных «как есть» небезопасно. Лучше их сразу шифровать и отправлять в облако.

Покажу простой способ через pg_dump, gpg и aws-cli.

1️⃣Устанавливаем нужные инструменты

sudo apt install postgresql-client gnupg awscli -y

2️⃣Делаем дамп базы

pg_dump -U dbuser -h localhost mydb > backup.sql

3️⃣Шифруем бэкап

Сначала создаём ключ GPG (если ещё нет):

gpg --gen-key

Затем шифруем файл:

gpg --output backup.sql.gpg --encrypt --recipient "[email protected]" backup.sql

4️⃣Загружаем в S3

aws s3 cp backup.sql.gpg s3://my-backup-bucket/postgres/$(date +%F).sql.gpg

5️⃣Автоматизируем через cron

Откроем планировщик:

crontab -e

И добавим задачу на каждый день в 3 ночи:

0 3 * * * pg_dump -U dbuser mydb | gpg --encrypt --recipient [email protected] | aws s3 cp - s3://my-backup-bucket/postgres/$(date +\%F).sql.gpg

💬 Вопрос на собеседовании для DevOps-инженера

Давайте разберем один из частых вопросов, который может быть задан на собеседовании и как на него отвечать.

❓Вопрос: Что такое sidecar-контейнер в архитектуре Kubernetes и зачем он нужен?

✅Ответ: Sidecar — это дополнительный контейнер, который запускается вместе с основным контейнером в одном Pod’е и дополняет его функциональность. Sidecar используется для расширения возможностей приложения без изменения его кода.

Например, sidecar может обеспечивать логирование, проксирование трафика, обновление конфигурации, сбор метрик или управление сертификатами. Такой подход помогает реализовать принципы микросервисной архитектуры и повышает модульность и масштабируемость систем.

Генерация конфигов с помощью Jinja2 и Python

Когда инфраструктура разрастается, ручное создание и поддержка конфигурационных файлов превращается в рутину и источник ошибок.

Особенно если нужно создавать похожие конфиги для сотен серверов с разными параметрами.

Что такое Jinja2?

Jinja2 — это мощный шаблонизатор на Python, который позволяет создавать текстовые файлы (конфиги, скрипты, HTML) с переменными, условиями, циклами и фильтрами.

Ты пишешь шаблон с «плейсхолдерами», а Python-скрипт подставляет нужные значения.

Как это помогает?
⏺Пишешь один шаблон конфигурации с параметрами вместо множества почти идентичных файлов.
⏺Легко генерируешь конфиги с учётом особенностей каждого сервера или сервиса.
⏺Можно интегрировать с системами управления (Ansible, Salt) или запускать автономно.

Шаблон nginx.conf.j2:

server {
    listen {{ port }};
    server_name {{ server_name }};
    
    location / {
        proxy_pass https://{{ backend }};
    }
}

Python-скрипт для генерации:

from jinja2 import Environment, FileSystemLoader

env = Environment(loader=FileSystemLoader('./templates'))
template = env.get_template('nginx.conf.j2')

data = {
    'port': 80,
    'server_name': 'example.com',
    'backend': '127.0.0.1:8080'
}

output = template.render(data)

with open('nginx.conf', 'w') as f:
    f.write(output)

Использование USB Rubber Ducky для автоматизации рутинных задач (и безопасности!)

USB Rubber Ducky — устройство, которое выглядит как обычная флешка, но при подключении имитирует клавиатуру и быстро вводит заранее запрограммированные команды.

Часто его ассоциируют с атаками, но он может стать мощным инструментом для легальной автоматизации.

Как использовать легально и с пользой?
⏺Автоматизация стандартных задач: установка софта, настройка окружения, сбор логов.
⏺Быстрая смена конфигураций на нескольких машинах без ручного ввода.
⏺Помощь при восстановлении доступа, если нужно быстро выполнить сложную последовательность команд.
⏺Демонстрация угроз безопасности и обучение сотрудников защите от подобных атак.

Пример простого скрипта для Rubber Ducky (DuckyScript):

DELAY 1000
GUI r
DELAY 500
STRING powershell -NoProfile -Command "Get-EventLog -LogName System -Newest 20"
ENTER

Этот скрипт откроет окно «Выполнить» в Windows и быстро выведет последние системные логи