💬 Вопрос на собеседовании для сисадмина

Давайте разберем один из частых вопросов, который может быть задан на собеседовании и как на него отвечать.

❓Вопрос: Что такое KASLR и как он повышает безопасность ядра Linux?

✅Ответ: KASLR (Kernel Address Space Layout Randomization) — это механизм, который случайным образом размещает ядро и его компоненты в виртуальной памяти при загрузке системы. Цель — усложнить эксплуатацию уязвимостей, основанных на знании точных адресов функций и структур ядра.

Контроль устройств через USBGuard

Как запретить флешки и другие USB-девайсы на уровне ядра

В некоторых инфраструктурах флешки — это не просто риск, а реальный вектор атак.

Чтобы контролировать, какие USB-устройства разрешены, используем USBGuard — мощный инструмент, встроенный в ядро Linux.

Как это работает:
USBGuard создаёт политику разрешённых USB-устройств по их VID/PID и serial number. Всё, что не разрешено — автоматически блокируется.

Быстрый старт:

sudo apt install usbguard
sudo usbguard generate-policy > /etc/usbguard/rules.conf
sudo systemctl enable --now usbguard

По умолчанию все текущие устройства будут разрешены. После запуска новые — блокируются.

Пример строки правила:

allow id 0781:5567 serial "4C530001181223103294" name "Cruzer Blade"

Чтобы запретить всё, кроме нужного:
1️⃣Генерируй политику.
2️⃣Удали строки allow with-interface или allow via.
3️⃣Переведи USBGuard в режим enforce.

Интеграция с systemd:

sudo systemctl status usbguard
sudo journalctl -u usbguard

Скрытая перезагрузка Linux

Как понять, что сервер перезапускался, даже если uptime большой

Иногда uptime внушительный, но сервисы «как будто» перезапускались. 

Такое бывает после kexec, resume из сна, контейнерной миграции или даже обмана через sysctl. Разберёмся, как проверить, не было ли на самом деле рестарта.

1️⃣Проверяем journalctl:
Логи systemd разбиты на сессии. Увидим границу между ними:

journalctl --list-boots

Если есть несколько загрузок (boot ID), был перезапуск. Даже если uptime говорит обратное.

2️⃣Логи входов last и btmp:

last reboot

Покажет перезагрузки ядра. Если пусто — подозрительно.

last -f /var/log/btmp

Проверка на сброс логов, частая практика для сокрытия следов.

3️⃣dmesg и таймштампы ядра:

dmesg | head

Таймштамп в первых строках должен совпадать с uptime. Если нет — возможно, kexec или resume.

4️⃣Проверка монтирования /tmp или /run:

mount | grep tmpfs

💬 Вопрос на собеседовании для DevOps-инженера

Давайте разберем один из частых вопросов, который может быть задан на собеседовании и как на него отвечать.

❓Вопрос: Как работает oom-killer в Linux и как с ним работать, чтобы минимизировать негативные последствия?

✅Ответ: oom-killer (Out-Of-Memory Killer) — это механизм ядра Linux, который срабатывает, когда системе не хватает оперативной памяти, и она не может выделить память ни одному из процессов. В такой ситуации oom-killer выбирает и завершает “наименее ценную” с точки зрения ядра задачу, чтобы освободить ресурсы.

Как с ним работать:

— Поведение можно контролировать с помощью параметра oom_score_adj. Чем выше значение (макс. 1000), тем выше вероятность, что процесс будет убит.
— Можно настроить cgroups и ограничить память для отдельных групп процессов, чтобы сбои не затрагивали всю систему.
— Желательно использовать swap-файл/раздел, чтобы отложить момент срабатывания OOM, но не полагаться на это как на основную защиту.

Отслеживаем внезапные изменения сетевой конфигурации в Linux

Иногда вы теряете доступ по SSH, DNS резко меняется, а ip route не узнаётся. Причин может быть много: DHCP, VPN, скрипты, NetworkManager или зловред.

Разберём, как это отследить, логировать и сразу получать уведомление — даже в Telegram.

1️⃣Слежение за изменениями IP, DNS и маршрутов

Создаём скрипт check_net.sh, который сравнивает текущие настройки с эталоном:

#!/bin/bash

DIR="/var/lib/netwatch"
mkdir -p "$DIR"

NOW="$DIR/now"
PREV="$DIR/prev"

ip addr > "$NOW".ip
ip route > "$NOW".route
cat /etc/resolv.conf > "$NOW".dns

# Если первая итерация — копируем как эталон
[ ! -f "$PREV.ip" ] && cp "$NOW".ip "$PREV.ip"
[ ! -f "$PREV.route" ] && cp "$NOW".route "$PREV.route"
[ ! -f "$PREV.dns" ] && cp "$NOW".dns "$PREV.dns"

# Проверяем различия
DIFF=$(diff -u "$PREV.ip" "$NOW.ip"; diff -u "$PREV.route" "$NOW.route"; diff -u "$PREV.dns" "$NOW.dns")

if [ -n "$DIFF" ]; then
  echo "$DIFF" | tee "$DIR/alert.log"

  # Отправка в Telegram
  TOKEN="your_bot_token"
  CHAT_ID="your_chat_id"
  MSG="⚠️ Изменение сети на $(hostname):%0A$(echo "$DIFF" | tail -n 20 | sed 's/$/%0A/' | sed 's/+/%2B/g')"
  curl -s "https://api.telegram.org/bot$TOKEN/sendMessage" --data-urlencode "chat_id=$CHAT_ID" --data-urlencode "text=$MSG"

  # Обновляем эталон
  cp "$NOW".ip "$PREV.ip"
  cp "$NOW".route "$PREV.route"
  cp "$NOW".dns "$PREV.dns"
fi

2️⃣Настраиваем таймер systemd (альтернатива cron)

Файл netwatch.timer:

[Unit]
Description=Net config watcher timer

[Timer]
OnBootSec=2min
OnUnitActiveSec=5min

[Install]
WantedBy=timers.target

Файл netwatch.service:

[Unit]
Description=Net config watcher

[Service]
ExecStart=/usr/local/bin/check_net.sh

Активируем:

systemctl daemon-reexec
systemctl enable --now netwatch.timer

3️⃣Дополнительно: auditd и лог изменений конфигов

auditctl -w /etc/network/interfaces -p wa
auditctl -w /etc/netplan -p wa
auditctl -w /etc/resolv.conf -p wa

💬 Вопрос на собеседовании для сисадмина

Давайте разберем один из частых вопросов, который может быть задан на собеседовании и как на него отвечать.

❓Вопрос: Что такое kprobes в Linux и как их используют для динамической трассировки ядра?

✅Ответ: kprobes — это механизм динамического внедрения точек останова (проб) в ядро Linux без необходимости перезагрузки системы или модификации исходного кода ядра. Он позволяет выполнять пользовательский код при срабатывании определённых событий, например, вызова функций ядра.

Часть 2. GitOps для /etc: отслеживаем конфигурации через etckeeper и pre-commit хуки

Чтобы избежать потери конфигов даже при сбое системы — добавим резервное копирование git-репозитория /etc в безопасное место.

1️⃣Настроим удалённый репозиторий

Создаём bare-репозиторий на другом сервере или в GitLab/Gitea:

git init --bare /srv/backup/etc.git

На основном сервере:

cd /etc
git remote add backup ssh://user@backup-host/srv/backup/etc.git
git push backup master

2️⃣Добавим автоматический push после каждого commit

Можно прописать post-commit хук:

echo 'git push backup master' > /etc/.git/hooks/post-commit
chmod +x /etc/.git/hooks/post-commit

Теперь каждый раз, когда etckeeper фиксирует изменения, копия будет уходить на внешний сервер.

Проверка целостности и откат

Если кто-то случайно удалит или испортит конфиг — откат делается одной командой:

cd /etc
git checkout HEAD^ -- ssh/sshd_config

Также можно использовать:

git status       # покажет, что поменялось
git log -p FILE  # покажет кто и когда правил конкретный файл

Собственный mirror репозиториев APT или YUM в локальной сети

В изолированных средах, где серверы не имеют прямого выхода в интернет, или при массовом развёртывании машин, выгодно держать локальное зеркало репозиториев.

Это позволяет:

• ускорить установку пакетов и обновлений,
• исключить зависимость от внешних зеркал,
• обеспечить стабильность (все пакеты одной версии),
• работать в полностью оффлайн-среде.

Пример APT-репозитория (Ubuntu)

1️⃣Установим apt-mirror:

sudo apt install apt-mirror apache2

2️⃣ Настроим зеркалирование:

sudo nano /etc/apt/mirror.list

Пример:

set base_path    /var/spool/apt-mirror
deb https://archive.ubuntu.com/ubuntu jammy main restricted universe multiverse
clean

3️⃣ Синхронизируем:

sudo apt-mirror

4️⃣ Настроим доступ через apache2:

sudo ln -s /var/spool/apt-mirror/mirror/archive.ubuntu.com/ubuntu

Собственный time-сервер (NTP) с хардварной синхронизацией

Когда в сети критично точное время (финансовые транзакции, логирование событий, биллинг, Kerberos) — не стоит полагаться только на внешние NTP-сервера.

Лучше настроить локальный time-сервер с аппаратным источником времени.

Как это сделать?

1️⃣Аппаратный источник
• GPS-приёмник с поддержкой PPS (например, u-blox NEO, Garmin GPS 18x LVC)
• Или дешевле — USB RTC-модули с хардварными часами (DS3231 и аналоги)

2️⃣ Система: Linux + chronyd или ntpd

Chrony проще и точнее работает с нестабильными источниками (вроде GPS):

sudo apt install chrony gpsd gpsd-clients

3️⃣ Пример конфигурации chrony.conf:

refclock SHM 0 refid GPS precision 1e-1
refclock SOCK /var/run/chrony.ttyS0.sock refid PPS lock GPS
allow 192.168.0.0/16
local stratum 10

• SHM — данные от gpsd
• PPS — сигнал точной секунды
• local stratum — объявляем себя сервером

4️⃣ Проверка:

chronyc sources -v

Должно появиться что-то вроде:

#* GPS        0   10     377    123     +0.000123  +0.000001  0.000

💬 Вопрос на собеседовании для DevOps-инженера

Давайте разберем один из частых вопросов, который может быть задан на собеседовании и как на него отвечать.

❓Вопрос: Как работает механизм fencing в распределённых системах, и почему он критически важен для отказоустойчивости?

✅Ответ: Fencing (также известный как STONITH — Shoot The Other Node In The Head) — это техника в отказоустойчивых кластерах, гарантирующая, что сбойный узел не будет выполнять никаких операций с общими ресурсами после того, как его сочли “мертвым”. Это необходимо для избежания split-brain-сценариев, при которых два узла считают себя активными и могут повредить общие данные, например, диск или базу.