Вопросы на собеседовании: Системный администратор

Linux выбирает наиболее специфичный подходящий маршрут, а затем разрешает совпадения с помощью атрибутов предпочтения маршрута.

• Сначала решающим является совпадение по самому длинному префиксу, поэтому маршрут /24 выигрывает у /16 для адреса, входящего в обе сети.
• Метрика сравнивается между прочими равноправными маршрутами с одинаковой длиной префикса, и обычно предпочтительна меньшая метрика.
• Маршрут по умолчанию 0.0.0.0/0 подходит для любого IPv4-адреса назначения, но уступает любому более специфичному совпадению.
• Если остаются равноценные маршруты, Linux может использовать набор следующих узлов ECMP, а не назначать один маршрут безусловным победителем.

Маршрутизация на основе политик сначала выбирает таблицу маршрутизации с помощью упорядоченных правил, а затем ищет маршрут в этой таблице.

• Правила могут учитывать префикс источника, префикс назначения, метку межсетевого экрана, входящий интерфейс или приоритет.
• Каждое правило может направить поиск в именованную или пронумерованную таблицу с собственными маршрутами и шлюзом по умолчанию.
• Правила проверяются по возрастанию номера приоритета, а поиск может продолжиться, если в выбранной таблице нет пригодного маршрута.
• Такая модель позволяет, например, выбирать канал связи по адресу источника, пока основная таблица обслуживает обычный трафик.

Пересылка IPv4 передает пакеты между интерфейсами, а преобразования адресов источника и назначения переписывают разные адреса конечных точек для разных целей.

• Параметр net.ipv4.ip_forward разрешает ядру маршрутизировать IPv4-пакеты, а не принимать только трафик, адресованный локальной системе.
• SNAT переписывает адрес источника и обычно предоставляет частным клиентам стабильный публичный адрес источника для исходящего доступа.
• MASQUERADE является вариантом преобразования адреса источника, который берет преобразованный адрес с выходного интерфейса и подходит для динамически назначаемых адресов.
• DNAT переписывает адрес или порт назначения и обычно публикует внутренний сервис через адрес, доступный клиентам.

Netfilter предоставляет упорядоченные хуки на пути пакета, а базовые цепочки nftables регистрируют правила в выбранных хуках с явными приоритетами.

• Входящие пакеты сначала проходят prerouting, после чего решение маршрутизации определяет, предназначены ли они локальной системе или должны быть пересланы.
• Трафик к локальной системе попадает в input, пересылаемый трафик в forward, а созданный локально трафик начинает путь с output.
• Маршрутизируемые и локальные исходящие пакеты проходят postrouting перед отправкой через выходной интерфейс.
• Базовая цепочка задает семейство, хук, приоритет и необязательную политику, а обычные цепочки достигаются только переходами jump или goto из проверяемых цепочек.

nftables предоставляет единый набор правил и виртуальную машину вместо отдельных устаревших инструментов семейства iptables и их модели обработки правил.

• nftables использует таблицы, типизированные цепочки, множества, отображения и выражения, что позволяет создавать компактные правила без больших повторяющихся линейных списков.
• Атомарные транзакции позволяют nftables проверить и заменить пакет правил, не показывая частично обновленный набор правил.
• Устаревшие программы iptables управляют отдельными интерфейсами iptables, ip6tables, arptables и ebtables с большим дублированием для разных протоколов.
• Совместимый бэкенд iptables-nft принимает синтаксис iptables, но преобразует его в объекты nftables в ядре, тогда как iptables-legacy использует старый бэкенд, и их не следует без необходимости смешивать.

Межсетевой экран с отслеживанием состояния классифицирует пакеты через conntrack, чтобы правила могли учитывать поток целиком, а не каждый пакет отдельно.

• NEW обозначает пакет, начинающий поток или относящийся к потоку, в котором еще не наблюдался трафик в обоих направлениях.
• ESTABLISHED обозначает пакеты отслеживаемого потока, в котором уже наблюдался корректный двунаправленный обмен.
• RELATED обозначает новый поток, связанный с существующим, например определенный помощником трафик данных или управления и соответствующие ошибки ICMP.
• INVALID обозначает пакеты, которые нельзя связать с корректным отслеживаемым потоком, а UNTRACKED обозначает пакеты, намеренно исключенные из отслеживания.

VPN удаленного доступа подключает отдельных клиентов к частной сети, а site-to-site VPN соединяет маршрутизируемые сети через шлюзы.

• Оба типа инкапсулируют защищенный трафик в туннель, но конечными точками удаленного доступа обычно являются устройства пользователей, а конечными точками site-to-site служат постоянные сетевые шлюзы.
• Удаленный доступ обычно проверяет пользователя и устройство с помощью сертификатов, учетных данных или MFA, а узлы site-to-site обычно используют сертификаты или предварительно согласованные ключи.
• Маршруты определяют, какие префиксы отправляются в туннель: в site-to-site удаленные подсети объявляются или настраиваются, а при удаленном доступе маршруты передаются клиентам.
• Раздельное туннелирование направляет через VPN только выбранные префиксы и снижает расход пропускной способности и задержку, но ослабляет централизованную проверку и может одновременно подключить клиента к доверенной и недоверенной сетям.

Авторитетные, рекурсивные и кеширующие роли DNS различаются тем, владеет ли сервер ответами, находит их или временно использует повторно.

• Авторитетный сервер отвечает из данных зон, за которые он отвечает, и ему не нужно находить эти данные с помощью рекурсии.
• Рекурсивный резолвер принимает запрос клиента и следует делегированиям по иерархии DNS, пока не получит ответ или подтвержденный отрицательный результат.
• Кеширующий резолвер хранит положительные и отрицательные результаты в течение разрешенного TTL, чтобы сократить задержку и количество запросов к вышестоящим серверам.
• Один сервер может совмещать рекурсивную и кеширующую роли, но публичный авторитетный сервис обычно отделяют от рекурсии, чтобы ограничить злоупотребления и операционную связанность.

Зона BIND определяет авторитетные данные DNS, метаданные делегирования и серийный номер, по которому вторичные серверы обнаруживают новую версию.

• Запись SOA задает основные параметры авторитетности зоны, а ее серийный номер должен увеличиваться при каждом изменении содержимого, чтобы вторичные серверы распознали обновление.
• Записи NS называют авторитетные серверы, A и AAAA сопоставляют имена с адресами, CNAME создает псевдоним, MX выбирает почтовые серверы, а TXT хранит текстовые атрибуты.
• Первичный сервер загружает изменяемый источник зоны, а вторичные хранят доступные только для чтения копии, полученные через полную передачу AXFR или инкрементальную передачу IXFR.
• NOTIFY может предложить вторичным серверам немедленно проверить серийный номер, а таймеры refresh обеспечивают периодическую синхронизацию, если уведомление отсутствует или потеряно.

DHCP использует обмен DORA для выдачи ограниченной по времени сетевой конфигурации и может обслуживать клиентов из разных подсетей через агентов ретрансляции.

• Клиент передает широковещательный Discover, сервер возвращает Offer, клиент отправляет Request для выбранного предложения, а сервер подтверждает его сообщением Acknowledgment.
• Аренда предоставляет адрес на заданный срок и продлевается до истечения, а резервирование постоянно сопоставляет идентификатор клиента или MAC-адрес с выбранным адресом.
• Основные параметры обычно передают вместе с адресом маску подсети, шлюз по умолчанию, DNS-серверы, настройки поиска доменов и таймеры аренды.
• Агент ретрансляции пересылает широковещательные запросы клиентов серверу в другой подсети и передает сведения об адресе шлюза, чтобы сервер выбрал правильный пул адресов.

LVM отделяет физические носители от блочных устройств, видимых файловой системе, объединяя емкость и распределяя ее логически.

• Физический том представляет собой подготовленный для LVM диск, раздел или другое блочное устройство, разделенное на физические экстенты для распределения места.
• Группа томов объединяет один или несколько физических томов в общий пул емкости с единым размером физического экстента.
• Логический том получает логические экстенты из группы томов и выглядит для операционной системы как блочное устройство для файловой системы, подкачки или необработанных данных.
• Уровень отображения позволяет изменять размеры томов, добавлять или удалять нижележащие устройства с переносом данных и создавать снимки без изменения модели устройства для потребителя.

При тонком выделении LVM назначает физические блоки из общего тонкого пула только тогда, когда тонкие логические тома действительно записывают данные.

• Тонкий пул содержит отдельные логические тома данных и метаданных, а назначенные тонким томам виртуальные размеры могут превышать физическую емкость пула.
• Тонкие снимки сначала совместно используют блоки с исходным томом и расходуют новое место пула по мере изменений с любой стороны, поэтому создаются быстро и экономят место.
• Исчерпание места для данных или метаданных может приостановить запись, вызвать ошибки или сделать тонкие тома недоступными в зависимости от настроек и обработки отказа.
• Безопасная эксплуатация требует отслеживать оба вида заполнения, резервировать емкость для роста, настраивать расширение по порогам и проверять восстановление до избыточного резервирования.

Логический том и файловая система являются отдельными уровнями, размеры которых нужно менять в безопасном порядке с учетом возможностей файловой системы.

• При расширении сначала увеличивают логический том, а затем файловую систему, отдельными проверяемыми шагами или встроенной опцией LVM для совместного изменения размера.
• ext4 обычно можно увеличивать в смонтированном состоянии, а уменьшать только после размонтирования и проверки, причем файловую систему уменьшают раньше логического тома.
• XFS можно увеличивать без размонтирования, но нельзя уменьшать, поэтому для сокращения нужно создать файловую систему меньшего размера и скопировать либо восстановить данные.
• Перед любым уменьшением проверяют фактическое использование места, закладывают запас, создают резервную копию восстанавливаемых данных и никогда не уменьшают блочное устройство ниже размера файловой системы.

Уровни RAID обменивают часть полезной емкости и скорости записи на разные формы избыточности и параллелизма.

• RAID 0 использует всю емкость и чередование блоков для высокой пропускной способности, но не выдерживает отказ диска, а RAID 1 зеркалирует данные, обычно дает половину емкости и допускает отказ одного участника в каждой зеркальной паре.
• RAID 5 дает емкость N минус 1 диск и выдерживает один отказ, но запись с четностью и чтение в деградированном состоянии требуют дополнительных ресурсов, а второй отказ уничтожает массив.
• RAID 6 дает емкость N минус 2 диска и выдерживает два отказа ценой больших накладных расходов на запись и восстановление из-за двойной четности.
• RAID 10 чередует данные между зеркалами, обычно дает половину емкости, хорошо работает со случайным вводом-выводом и быстро восстанавливается, а несколько отказов допустимы, если ни одно зеркало не потеряло всех участников.

Linux md RAID объединяет блочные устройства в массивы, схема и состояние которых управляются ядром и метаданными mdadm.

• Метаданные RAID хранят идентификатор массива, уровень, роль участника, геометрию и счетчики событий, а их версии отличаются расположением суперблоков и совместимостью с загрузкой.
• mdadm собирает массивы по совпадающим метаданным участников, создает и преобразует массивы, управляет участниками и показывает состояние, а обычный ввод-вывод выполняет ядро.
• Резервный диск не играет обычной роли в хранении данных, пока не заменит отказавшего участника, а избыточный массив может оставаться доступным в деградированном режиме со сниженной отказоустойчивостью.
• При восстановлении все необходимые блоки синхронизируются на замену, расходуется пропускная способность ввода-вывода, а массив остается уязвимым для новых отказов до возвращения избыточности.

ext4 является широко совместимой файловой системой общего назначения, а XFS оптимизирована для масштабируемого параллельного ввода-вывода и крупных файловых систем.

• ext4 поддерживает увеличение без размонтирования и уменьшение после размонтирования, имеет зрелые средства восстановления и часто подходит для загрузочных, корневых и смешанных нагрузок с предсказуемым поведением.
• XFS использует группы распределения и выделение экстентами для масштабирования одновременного доступа и особенно эффективна с крупными файлами, высокой пропускной способностью и большими хранилищами.
• XFS поддерживает увеличение без размонтирования, но не уменьшение, а ее средства исправления и резервного копирования отличаются от семейства ext, что влияет на планирование емкости и процедуры восстановления.
• Выбор зависит от размеров файлов, интенсивности операций с метаданными, параллелизма, требований к изменению размера, поддержки ядром и опыта эксплуатации, а не от универсального победителя по скорости.

Журналирование записывает ожидающие изменения файловой системы, чтобы после прерванного обновления можно было восстановить согласованную структуру.

• Журналирование метаданных защищает структурные изменения, включая записи каталогов и карты распределения, но само по себе не гарантирует сохранность последних данных приложения.
• В упорядоченном режиме связанные данные записываются до фиксации открывающих к ним доступ метаданных, режим writeback допускает более слабый порядок, а полное журналирование данных записывает данные и метаданные ценой больших затрат.
• При восстановлении применяются завершенные транзакции журнала, а незавершенные отбрасываются, что сокращает время проверки, но не заменяет резервные копии или механизмы согласованности на уровне приложения.
• Такие параметры монтирования, как режим данных, поведение барьеров, синхронная запись и интервал фиксации журнала, меняют баланс между надежностью, задержкой и пропускной способностью и должны соответствовать гарантиям хранилища.

Квоты файловой системы учитывают потребление места и индексных дескрипторов пользователем, группой или проектом и обеспечивают заданные ограничения.

• Пользовательские квоты ограничивают каждого владельца, а групповые относят файл к владеющей им группе и могут контролировать общее потребление команды.
• Проектные квоты помечают деревья каталогов идентификаторами проектов и подходят для независимого ограничения приложений, арендаторов или деревьев независимо от владельцев Unix.
• Мягкий лимит можно временно превышать до окончания льготного периода, после чего дальнейшее выделение места запрещается так же, как при достижении лимита.
• Жесткий лимит действует немедленно, а надежная работа квот требует поддержки файловой системой, правильных параметров монтирования или функций, инициализированного учета и регулярной отчетности.

Индексный дескриптор хранит метаданные объекта файловой системы и ссылки на блоки, поэтому для создания файлов нужны и свободное место, и свободные дескрипторы.

• Записи каталога связывают имена с номерами дескрипторов, а дескриптор хранит владельца, права, временные метки, число ссылок, размер и расположение данных.
• Стратегии распределения различаются: ext4 обычно создает запланированное число дескрипторов при форматировании, а XFS выделяет их динамически в пределах ограничений файловой системы.
• Нагрузки с огромным числом мелких файлов могут исчерпать дескрипторы или емкость метаданных при наличии множества свободных блоков данных, тогда как крупные файлы требуют пропорционально меньше дескрипторов.
• Размер пула дескрипторов и мониторинг должны учитывать ожидаемое число файлов, средний размер файла, распределение по каталогам и поведение удаления, поскольку удаление открытого файла может освободить ресурсы не сразу.

LUKS хранит метаданные шифрования блочного устройства и после успешной разблокировки предоставляет расшифрованные секторы через криптографическое отображение device-mapper.

• Зашифрованный контейнер расположен ниже файловых систем или потребителей LVM, поэтому данные, записанные через отображаемое устройство, шифруются до попадания на нижележащее устройство.
• Заголовок LUKS хранит параметры шифра и слоты ключей, чьи парольные фразы или файлы ключей открывают ключ тома, а не шифруют все данные напрямую.
• Несколько слотов позволяют применять независимые учетные данные и выполнять ротацию, но удаление всех пригодных слотов или потеря поврежденного заголовка могут навсегда закрыть доступ к данным.
• Резервные копии заголовка и ключи восстановления нужно защищать отдельно от устройства, доступ к файлам ключей ограничивать, порядок разблокировки при загрузке документировать, а восстановление проверять без раскрытия секретов.