💬 Вопрос на собеседовании для сисадмина

Давайте разберем один из частых вопросов, который может быть задан на собеседовании и как на него отвечать.

❓Вопрос: Что такое Transparent Huge Pages (THP) в Linux и как они влияют на производительность?

✅Ответ: Transparent Huge Pages (THP) — это механизм Linux, автоматически объединяющий обычные страницы памяти (обычно по 4 KB) в более крупные страницы (обычно по 2 MB), чтобы сократить накладные расходы на управление памятью и ускорить доступ.

Проверить текущее состояние THP можно командой:

cat /sys/kernel/mm/transparent_hugepage/enabled

Отключить, если они мешают:

echo never > /sys/kernel/mm/transparent_hugepage/enabled

Бэкапы без rsync: моментальные снапшоты с Btrfs

Если у вас раздел на Btrfs — можно делать моментальные резервные копии за секунду, без копирования данных.

1️⃣Создаём снапшот

btrfs subvolume snapshot /home /btrfs-backups/home-$(date +%F)

Мгновенно создаётся снимок текущего состояния. Это не копия файлов — это ссылка на те же блоки.

2️⃣Откат к снапшоту

mv /home /home-old
btrfs subvolume snapshot /btrfs-backups/home-2025-05-28 /home

Можно быстро откатиться без rsync и без восстановления из архива.

3️⃣Монтируем снапшот отдельно

mount -o ro,subvol=home-2025-05-28 /dev/sdX /mnt/snapshot

Открываем снапшот как read-only и вытаскиваем нужные файлы.

4️⃣Удаление старых снапшотов

btrfs subvolume delete /btrfs-backups/home-2025-04-01

Удаляется мгновенно, освобождая место.

5️⃣Автоматизация через cron

Добавьте в crontab -e:

0 2 * * * btrfs subvolume snapshot /home /btrfs-backups/home-$(date +\%F)

Снапшоты будут создаваться каждый день в 2:00.

Sudo под контролем: аудит и ограничения для продакшена

Иногда sudo — это дыра в безопасности. Особенно, если все команды идут в лог просто как sudo bash.

Вот как сделать использование sudo прозрачным и контролируемым.

⏺Включаем логирование команд с точностью до аргументов

Добавьте в /etc/sudoers:

Defaults log_input, log_output
Defaults logfile="/var/log/sudo.log"

Теперь всё, что делает пользователь с sudo, пишется в лог.

⏺Ограничиваем команды

Разрешаем user1 только перезапуск nginx и просмотр логов:

user1 ALL=(ALL) NOPASSWD: /bin/systemctl restart nginx, /bin/journalctl -u nginx

Никаких sudo bash — только строго определённые команды.

⏺Проверяем логи sudo

cat /var/log/sudo.log | less
ausearch -k sudo

Анализируем, кто запускал sudo, когда, и что именно делал.

⏺Используем sudoreplay

Для продвинутого аудита:

sudo sudoreplay <ID>

Показывает ввод и вывод команды из лога log_input, log_output.

⏺Пример защиты от “sudo su”

В sudoers:

Cmnd_Alias BLOCKED = /bin/su, /bin/bash
user1 ALL=(ALL) !BLOCKED

Теперь нельзя поднять shell с sudo, только конкретные команды.

Оптимизируем операции через tmpfs

tmpfs — это не просто «/tmp в RAM». Это инструмент для сокращения I/O, минимизации wear-out на SSD и ускорения CI, кэширования и даже временного хранения IPC-артефактов.

Но при неправильной настройке — источник OOM и нестабильной производительности.

Зачем использовать tmpfs?

• Изоляция чувствительных к IOPS операций (например, /var/cache, /run, компиляции, unit-тестов).
• Уменьшение latency в пайплайнах CI/CD и dev-окружениях.
• Кратковременное хранение промежуточных артефактов без обращения к диску.

Настройка через systemd mount units

Вместо /etc/fstab можно использовать systemd для более гибкой логики:

# /etc/systemd/system/tmp-build.mount
[Unit]
Description=Build cache in RAM
Before=local-fs.target

[Mount]
What=tmpfs
Where=/mnt/buildcache
Type=tmpfs
Options=mode=1777,size=2G,noatime

[Install]
WantedBy=multi-user.target

Активируем:

systemctl enable --now tmp-build.mount

Учет ограничения RAM: tmpfs в cgroups

Если tmpfs монтируется внутри systemd-сервиса, лучше ограничить память через MemoryMax, иначе может съесть всю RAM:

[Service]
MemoryMax=3G
TemporaryFileSystem=/tmp:rw,size=1G

Продвинутые use-case’ы

1️⃣/tmpfs + overlayfs = изолированная среда
Подменяем часть rootfs без записи на диск, например, для временных hotfix-тестов:

mount -t tmpfs tmpfs /mnt/tmpfs
cp -a /etc /mnt/tmpfs/etc
mount -t overlay overlay -o lowerdir=/etc,upperdir=/mnt/tmpfs/etc,workdir=/mnt/tmpfs/work /etc

2️⃣Сборка пакетов в RAM в CI
Ускоряет сборку deb/rpm, кэш и распаковка исходников не используют диск.
3️⃣Безопасный IPC
Храним сокеты и FIFO в tmpfs — данные исчезают при ребуте, не остаётся следов на диске.

Вышла SQLite 3.50

Состоялся релиз легковесной СУБД SQLite 3.50. Проект написан на C, распространяется без лицензий и бесплатно.

Поддержку разработчикам оказывает отдельный консорциум.

Основные изменения:
⏺Новая функция sqlite3_setlk_timeout() для управления блокировками.
⏺Ослаблены ограничения на SQL-комментарии.
⏺Добавлены SQL-функции unistr() и unistr_quote().
⏺Улучшена работа printf(), .dump, .schema --indent.
⏺Оптимизация JSON-функций и улучшение sqlite3_rsync.
⏺Поддержка сборки под Cygwin, MinGW, Termux.
⏺Исправления и улучшения производительности.
⏺WASM/JavaScript: важное обновление VFS OPFS SAHPool — новые базы несовместимы со старыми VFS, но обратно совместимость сохранена.

Используем iptables hashlimit + recent вместо fail2ban

Когда fail2ban уже не справляется или слишком медленный, пора перейти на уровень ниже — к iptables.

Сочетание --hashlimit и --recent даёт мощный инструмент контроля попыток подключения к SSH без необходимости читать логи и запускать демоны.

Защитить порт 22 от перебора и сканеров

Входящие подключения должны:
⏺быть не чаще X раз в минуту с одного IP (аналог hashlimit),
⏺блокироваться при агрессивной активности (аналог recent),
⏺не мешать своим или автоматическим задачам (допускаем trusted IP или подсети).

1️⃣Разрешаем trusted-подсеть без лимитов

iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT

2️⃣Ограничение по частоте с hashlimit

Допускаем не более 3 подключений в минуту с одного IP:

iptables -A INPUT -p tcp --dport 22 \
  -m state --state NEW \
  -m hashlimit --hashlimit 3/min \
  --hashlimit-burst 5 \
  --hashlimit-mode srcip \
  --hashlimit-name sshlimit \
  -j ACCEPT

Это не требует ни журналов, ни доп. сервисов — чисто на уровне netfilter.

3️⃣Ловим и блокируем агрессивных через recent

Если IP попытался открыть соединение >5 раз за 60 секунд — баним на 5 минут:

iptables -A INPUT -p tcp --dport 22 \
  -m state --state NEW \
  -m recent --name SSH --set

iptables -A INPUT -p tcp --dport 22 \
  -m state --state NEW \
  -m recent --name SSH --update \
  --seconds 60 --hitcount 5 -j DROP

4️⃣Остальные соединения — по умолчанию DROP или REJECT

iptables -A INPUT -p tcp --dport 22 -j DROP

Тестирование

Подключитесь к серверу с другого IP и сделайте 10 попыток:

for i in {1..10}; do nc -zv your.server.ip 22; sleep 2; done

После 5–6 попыток пакет начнёт дропаться.

💬 Вопрос на собеседовании для сисадмина

Давайте разберем один из частых вопросов, который может быть задан на собеседовании и как на него отвечать.

❓Вопрос: В чем разница между процессами и потоками (threads) в Linux?

✅Ответ:

Процессы — это независимые единицы выполнения, каждая из которых имеет собственное адресное пространство. Это означает, что процессы изолированы друг от друга, и данные одного процесса недоступны другому без использования механизмов межпроцессного взаимодействия (IPC).

Потоки, в отличие от процессов, выполняются внутри одного адресного пространства. Это позволяет потокам одного процесса совместно использовать память и ресурсы, что делает их легче и быстрее в создании по сравнению с процессами. Для создания потоков используются библиотеки, такие как POSIX Threads (pthread).