Вопросы на собеседовании: DevOps-инженер

Права Linux отдельно задают чтение, запись и выполнение для владельца, группы и остальных пользователей.

• В числовой записи чтение равно 4, запись 2, а выполнение 1; значения складываются для каждого класса доступа.
• chmod 755 даёт владельцу 7, то есть полный доступ, а группе и остальным 5, то есть чтение и выполнение без записи.
• Для входа в каталог нужно право выполнения, даже если у него есть право чтения.

root имеет неограниченный доступ к системе, а sudo даёт обычному пользователю повышенные права для конкретной команды.

• sudo записывает, кто запустил привилегированную команду, и создаёт журнал действий, которого нет при общем доступе к root.
• При постоянной работе под root любая ошибка выполняется с полными правами, поэтому опечатка в rm или сбойный скрипт могут повредить систему без дополнительной защиты.
• Безопаснее работать под личной учётной записью и вызывать sudo только для команд, которым нужны повышенные права.

Проверка процесса в Linux начинается с поиска процесса и его PID, после чего его останавливают наименее жёстким сигналом.

• ps aux и top показывают процессы, PID, загрузку CPU и памяти, а pgrep ищет процесс по имени.
• kill PID отправляет SIGTERM и позволяет процессу корректно завершиться и освободить ресурсы.
• kill -9 отправляет неперехватываемый SIGKILL и используется только в крайнем случае, потому что мгновенная остановка может пропустить очистку, повредить данные или оставить блокировки.

Сервисы systemd управляются через systemctl, а их логи читаются через journalctl.

• systemctl status nginx показывает, работает ли nginx, а также его PID и последние строки лога; start, stop и restart управляют текущим состоянием.
• systemctl enable nginx включает запуск при загрузке, но включение автозапуска не запускает сервис прямо сейчас.
• journalctl -u nginx показывает историю сервиса, а journalctl -u nginx -f следит за новыми записями; запущенный вручную, но не включённый сервис не вернётся после перезагрузки.

grep ищет текст, find находит файлы, а пайпы объединяют их в практичные команды для анализа логов.

• grep -i error app.log ищет без учёта регистра, -r рекурсивно обходит каталоги, а -C 3 добавляет по три строки контекста вокруг совпадения.
• find умеет фильтровать по имени, возрасту и размеру; find /var/log -name '*.log' -mtime -1 выводит логи, изменённые за последние сутки.
• Пайп из find в grep ищет по выбранным файлам, а пайп из grep в wc -l считает совпавшие строки лога.

Пайпы в шелле соединяют команды, а перенаправление отправляет их обычный вывод и ошибки в файлы.

• Пайп передаёт stdout одной команды следующей, поэтому cat app.log | grep error | wc -l считает строки со словом error.
• Оператор > перезаписывает файл, а >> дописывает данные в конец.
• 2>&1 объединяет stderr со stdout, чтобы ошибки сохранялись вместе с обычным выводом и не терялись незаметно в cron-задачах и CI-скриптах.

Иерархия файловой системы Linux задаёт стандартные места для конфигурации, изменяемых данных, пользовательских файлов, временных данных и программ.

• /etc хранит конфигурацию, а /var содержит изменяемые данные, включая логи в /var/log.
• /home содержит каталоги пользователей, а /tmp служит временным рабочим пространством, которое может очищаться при перезагрузке.
• /usr и /bin содержат программы; знание этих путей помогает на незнакомом сервере сначала искать настройки сервиса в /etc, а причины сбоев в /var/log.

При заполнении диска нужно найти затронутую файловую систему, безопасно освободить место и предотвратить повторение.

• df -h определяет заполненную файловую систему, а команды вроде du -sh /var/* вместе с sort находят самые крупные каталоги.
• Частые причины: разросшиеся логи, старые резервные копии и артефакты Docker; логи нужно ротировать или обрезать, а кеши пакетов и контейнеров чистить их штатными инструментами.
• Нельзя вслепую удалять файл, который всё ещё открыт работающим процессом, потому что место освободится только после закрытия файла процессом.
• Ротация логов и алерты на использование диска позволяют отреагировать до достижения 100 процентов.

Переменные окружения представляют собой настройки процесса в виде пар ключ-значение, а PATH определяет, где шелл ищет команды.

• Процессы наследуют переменные окружения при запуске и часто получают через них URL баз данных, API-ключи и переключатели режимов вместо зашитой в код конфигурации.
• PATH содержит список каталогов с командами, поэтому установленный вне этих каталогов исполняемый файл всё равно может вызвать ошибку command not found.
• export в одном терминале не обновляет уже работающий сервис, потому что его окружение было задано при запуске процесса.

SSH представляет собой шифрованный протокол удалённого доступа к шеллу, а аутентификация по ключам безопаснее входа по паролю.

• Приватный ключ остаётся на клиентской машине, а соответствующий публичный ключ размещается на сервере.
• Ключи защищают от перебора паролей и не вводятся каждый раз там, где их могут подсмотреть; отключение входа по паролю устраняет частый путь атаки на доступные из интернета серверы.
• Приватный ключ никогда не покидает клиент и должен быть дополнительно защищён парольной фразой.

scp удобен для простого копирования по SSH, а rsync лучше подходит для эффективной или повторяемой синхронизации.

• scp использует синтаксис, похожий на cp, например scp app.tar.gz user@server:/opt/, и подходит для одного небольшого файла.
• rsync передаёт только различия, показывает прогресс, продолжает прерванную передачу и умеет зеркалировать деревья каталогов, включая удаление исчезнувших в источнике файлов.
• Для повторных синхронизаций, больших деревьев и нестабильных соединений лучше rsync, поэтому его часто использовали в скриптах деплоя.

Медленный сервер диагностируют измерениями, чтобы до любых изменений определить перегруженный тип ресурса.

• top или htop показывают load average относительно числа CPU, процессы с высокой загрузкой CPU и давление на память; free -h подтверждает использование RAM и swap, а активный swap может сильно замедлить систему.
• df -h проверяет заполнение файловых систем, а iostat или iotop выявляют перегрузку дискового I/O, когда CPU простаивает, но система остаётся медленной.
• Сначала узкое место относят к CPU, памяти, диску или сети, а затем исследуют именно этот ресурс вместо догадок.

DNS преобразует имена вроде api.example.com в IP-адреса и кеширует результаты.

• Резолвер сначала проверяет доступные кеши, а затем проходит цепочку корневых, TLD и авторитетных DNS-серверов домена.
• A-запись сопоставляет имя с IPv4-адресом, а CNAME делает одно имя псевдонимом другого.
• Каждый ответ кешируется на время TTL, поэтому старые значения сохраняются до истечения кеша и изменения DNS распространяются не мгновенно.

TCP ориентирован на надёжную доставку, а UDP на низкие накладные расходы и задержку.

• TCP устанавливает соединение и использует подтверждения и повторные передачи для полной доставки данных по порядку, поэтому подходит для HTTP, баз данных и SSH.
• UDP отправляет пакеты без соединения и гарантий доставки, поэтому подходит для DNS-запросов, видеостриминга и метрик, где скорость важнее полноты.
• Отказы выглядят по-разному: при потере данных TCP может ждать и повторять передачу, а UDP может молча потерять пакеты.

Порт определяет процесс сервиса, который должен получить трафик, отправленный на IP-адрес.

• Операционная система направляет входящий трафик процессу, который слушает порт назначения, поэтому один IP может обслуживать много сервисов.
• Частые порты: 22 для SSH, 80 для HTTP, 443 для HTTPS, 53 для DNS, 5432 для PostgreSQL, 3306 для MySQL и 6379 для Redis.
• ss -tlnp или netstat показывает реальные слушающие процессы и помогает отличить остановленный сервис от сервиса на неверном порту.

HTTPS представляет собой HTTP, защищённый TLS-шифрованием и проверкой подлинности сервера.

• Сервер предъявляет сертификат, выданный доверенным центром сертификации, чтобы подтвердить свою подлинность.
• Во время TLS-рукопожатия клиент проверяет цепочку сертификатов, а стороны создают сессионные ключи для шифрования дальнейшего трафика.
• Сертификаты истекают, поэтому важно автоматическое продление, например через Let's Encrypt; браузеры могут отклонить сервис с просроченным сертификатом, что для пользователей равносильно недоступности.

Балансировщик нагрузки распределяет входящие запросы между несколькими экземплярами сервиса.

• Распределение трафика между экземплярами увеличивает общую пропускную способность.
• Проверки состояния выводят неисправные экземпляры из ротации и повышают доступность.
• Стабильный внешний адрес позволяет добавлять, удалять и обновлять экземпляры за ним, что делает возможным поэтапный деплой без простоя.

curl помогает разделить проблемы DNS, TLS, соединения и приложения, показывая точный ответ веб-эндпоинта.

• curl -I https://api.example.com/health быстро возвращает статус и заголовки, а -v показывает полный обмен, включая детали TLS и запроса.
• Параметр -w с переменными времени показывает источник задержки, а -H вместе с -d позволяет воспроизвести аутентифицированный POST-запрос клиента.
• Сравнение этих результатов из разных точек помогает понять, сломан сам сервис или сетевой путь от пользователя.

Файрвол ограничивает сетевую доступность, пропуская только трафик, который соответствует явным правилам.

• Правила фильтруют трафик по адресу источника, протоколу и порту, а всё неразрешённое отбрасывается.
• Облачные security groups выполняют эту роль для привязанных инстансов и обычно хранят состояние соединения, поэтому обратный трафик разрешённого соединения проходит автоматически.
• При запрете по умолчанию порт 443 можно открыть всем, 22 только доверенным адресам, а порты базы только группе приложения; каждому открытому правилу нужна ясная причина, потому что оно увеличивает поверхность атаки.

Обратный прокси принимает запросы клиентов и передаёт их бэкенд-приложениям за единой точкой входа.

• nginx может завершать TLS, чтобы приложения не управляли сертификатами, а также эффективно отдавать статические файлы и сжимать ответы.
• Он может добавлять заголовки, ограничивать частоту запросов и направлять разные пути в разные сервисы.
• Буферизация запросов принимает на себя медленных клиентов, чтобы воркеры приложения не были заняты плохими клиентскими соединениями.