体系所运维知识库

Restic 备份系统部署与运维实战一、概述Restic 是一款现代化的备份工具，具有加密、去重、增量备份等特性。支持多种后端存储，包括本地磁盘、SFTP、S3、Azure、Google Cloud 等。 1.1 核心特性 加密安全：使用 AES-256 加密，数据在传输和存储时都保持加密 去重高效：基于内容寻址，相同数据只存储一次 增量备份：只备份变化的数据，节省空间和时间 多后端支持：本地、SFTP、S3、Azure、GCS、MinIO 等 跨平台：支持 Linux、macOS、Windows、FreeBSD 单二进制：无需依赖，部署简单 1.2 与其他备份工具对比 特性 Restic BorgBackup rsync 加密 内置 内置 需额外配置 去重 块级 块级 文件级 压缩 不支持 支持 不支持 后端 多种 主要本地/SFTP 本地/SSH 快照 支持 支持 不支持 二、安装与配置2.1 安装 Restic1234567891011121314# Ubuntu/Debian (使用官方仓库)curl -LO https...

iptables/nftables 防火墙配置与安全策略实战一、概述Linux 防火墙是服务器安全的第一道防线。本文详细介绍 iptables 和 nftables 的配置方法、安全策略设计以及生产环境最佳实践。 1.1 iptables vs nftables 特性 iptables nftables 内核版本 2.4+ 3.13+ 配置文件 /etc/sysconfig/iptables /etc/nftables.conf 性能 较低（多表处理） 较高（统一框架） 语法 复杂 简洁 原子更新 不支持 支持 建议：新部署优先使用 nftables，存量系统可继续使用 iptables。 二、iptables 基础配置2.1 链与表结构1234567891011┌─────────────────────────────────────────┐│ 表 (Tables) │├─────────┬─────────┬─────────...

每日科技要闻 - 2026 年 3 月 15 日 昨日（3 月 14 日）全球科技热点精选 🔥 重磅新闻1. Meta 计划裁员 20% 应对 AI 成本飙升Meta reportedly 计划裁减约 16,000 个工作岗位，占其 79,000 人员工总数的 20%。扎克伯格正全力投入 6000 亿美元的 AI 基础设施建设，裁员被视为控制成本的必要措施。 来源: Fox Business / Reuters 2. 斯坦福经济学家：AI 已导致入门级岗位减少 20%斯坦福 SIEPR 峰会披露的硬数据显示，AI 已导致入门级软件工程师招聘减少 20%，呼叫中心工作岗位减少 15%。经济学家警告不平等现象可能加剧。 来源: Creati.ai 3. 马斯克承认 xAI”一开始就建错了”埃隆·马斯克承认 xAI 从一开始就建错了，12 位联合创始人中有 10 位已离职。公司同时聘请了 Cursor 的顶尖工程师，以缩小与 Claude Code 和 Codex 的差距。 来源: Creati.ai 4. Anthropic 推出 Claude 合作伙伴网络，...

Etcd 分布式键值存储集群部署与运维实战一、Etcd 简介Etcd 是一个高可用的分布式键值存储系统，由 CoreOS 团队开发，现已成为 CNCF 毕业项目。它基于 Raft 一致性算法，为分布式系统提供可靠的配置存储和服务发现能力。 核心特性 强一致性：基于 Raft 协议保证数据一致性 高可用：支持集群部署，容忍 (N-1)/2 个节点故障 简单 API：提供 gRPC 和 HTTP RESTful API Watch 机制：支持键值变化的实时监听 多版本并发控制：支持 MVCC，保留历史版本 典型应用场景 Kubernetes 集群配置存储 服务注册与发现 分布式锁实现 配置中心 leader 选举 二、生产环境集群规划2.1 集群规模建议 集群节点数 容错能力 推荐场景 3 节点 容忍 1 节点故障 测试/开发环境 5 节点 容忍 2 节点故障 生产环境（推荐） 7 节点 容忍 3 节点故障 高可用要求极高场景 注意：节点数应为奇数，避免脑裂问题。 2.2 硬件资源配置 组件 最低配置 推荐配置 CPU 2 ...

Java 应用内存溢出 (OOM) 故障排查实战一、OOM 概述1.1 什么是 OOM内存溢出（Out Of Memory，OOM）是 Java 应用最常见的故障之一，指 JVM 无法为新对象分配内存，且无法通过垃圾回收释放足够空间时抛出的错误。 1.2 OOM 的常见类型 错误类型 触发原因 常见场景 Java heap space 堆内存不足 对象泄漏、大对象、内存配置过小 GC overhead limit exceeded GC 时间占比过高 内存接近耗尽，GC 频繁 Metaspace 元空间不足 类加载过多、动态代理、热部署 StackOverflowError 栈空间不足 递归过深、栈帧过大 Direct buffer memory 直接内存不足 NIO 使用、Netty 应用 Unable to create new native thread 无法创建线程 线程数过多、系统资源限制 Out of swap space 系统交换空间不足 物理内存 + 交换空间耗尽 Killed process 被 OOM Killer 杀死 ...

Istio 服务网格部署与流量管理实战一、概述Istio 是一个开源的服务网格（Service Mesh）平台，为微服务架构提供流量管理、安全认证、可观测性等核心能力。本文介绍 Istio 在 Kubernetes 环境中的部署流程及核心流量管理功能实战。 核心特性 流量管理：智能路由、负载均衡、故障注入、流量镜像 安全认证：mTLS 加密、身份认证、授权策略 可观测性：分布式追踪、指标监控、访问日志 策略控制：速率限制、配额管理、访问控制 二、环境准备2.1 前置要求 组件 版本要求 说明 Kubernetes 1.25+ 支持 Gateway API kubectl 1.25+ 与 K8s 版本匹配 Helm 3.10+ 包管理工具 节点资源 4C8G+ 建议配置 2.2 检查集群状态12345678# 检查集群版本kubectl version --short# 检查节点状态kubectl get nodes# 检查命名空间kubectl get namespaces 三、Istio 安装部署3.1 下载 istioctl12345678# 下...

eBPF 技术在运维监控中的应用实践一、什么是 eBPFeBPF（extended Berkeley Packet Filter）是 Linux 内核中的革命性技术，允许在内核中运行沙箱程序而无需修改内核源代码或加载内核模块。它彻底改变了系统可观测性、网络和安全领域。 核心优势 特性 传统方法 eBPF 方案 性能开销 高（上下文切换） 极低（内核态执行） 安全性 内核模块风险 沙箱验证，安全 灵活性 需要重新编译 动态加载程序 可观测性 有限的指标 全链路追踪 二、eBPF 工作原理2.1 架构概览1234567891011用户空间程序 ↓eBPF 程序（C 语言编写） ↓LLVM 编译 → eBPF 字节码 ↓内核验证器（安全校验） ↓JIT 编译 → 原生代码 ↓内核钩子点执行 2.2 主要钩子类型 kprobe/uprobe：内核/用户函数调用追踪 tracepoint：内核静态追踪点 socket filter：网络数据包过滤 XDP：早期数据包处理 perf_event：性能事件采...

每日科技要闻 - 2026 年 3 月 14 日 汇总昨日（3 月 13 日）全球最热的 20 条科技新闻 🤖 人工智能1. Meta 的 Avocado AI 模型延期至 5 月发布Meta 公司推迟了其下一代 AI 模型 Avocado 的发布，从原定的 3 月推迟至至少 5 月。据《纽约时报》报道，该模型性能未能达到 Google 等竞争对手的水平。Meta 已投入数十亿美元试图追赶，Avocado 将是自聘请 Scale AI CEO Alexandr Wang 重组其 AI 部门以来的首个重大发布。 2. OpenAI 计划将 Sora 视频生成整合到 ChatGPT据报道，OpenAI 计划将其 Sora 视频生成模型添加到 ChatGPT 应用中，以吸引更多用户。这将使 ChatGPT 用户能够直接在对话中生成视频内容。 3. Meta AI 将引入更多国际新闻内容Meta AI 即将通过与多家出版商达成新协议，更好地呈现国际新闻内容，提升其 AI 助手的新闻覆盖范围。 4. WIRED 分析：ICE 和 CBP 花费超 5.15 亿美元购买科技巨头产品WIR...

Apache Pulsar 消息队列集群部署与运维实战一、Pulsar 概述1.1 什么是 Apache PulsarApache Pulsar 是 Apache 软件基金会顶级项目，是一款云原生分布式消息流平台。它结合了消息队列和流处理的特点，支持 pub-sub 和 queue 两种消费模式。 1.2 Pulsar 核心特性 特性 说明 多租户 原生支持多租户，租户/命名空间/主题三层模型 持久化 消息持久化到 Apache BookKeeper，保证数据可靠性 高可用 无单点故障，支持跨地域复制 低延迟 发布 - 订阅延迟低至毫秒级 弹性扩展 计算（Broker）与存储（BookKeeper）分离，独立扩展 多协议 支持 Pulsar、Kafka、AMQP、MQTT、STOMP 等协议 消息追溯 支持消息回溯消费，保留策略灵活配置 1.3 Pulsar vs Kafka 对比 对比项 Apache Pulsar Apache Kafka 架构 计算存储分离 计算存储一体 分区扩展 自动分片，无需数据迁移...

Linux OOM Killer 故障分析与调优实战一、问题背景OOM（Out Of Memory）Killer 是 Linux 内核在系统内存严重不足时的一种自我保护机制。当系统可用内存低于临界阈值时，内核会强制终止占用内存较高的进程，以释放内存资源保证系统继续运行。 在生产环境中，OOM Killer 的触发往往意味着严重的性能问题甚至服务中断。本文结合实际案例，详细介绍 OOM 故障的分析方法、排查流程和调优策略。 二、OOM Killer 工作原理2.1 触发条件Linux 内核在以下情况下会触发 OOM Killer： 内存分配失败：当进程申请内存但系统无法满足时 可用内存低于阈值：watermark 水位线以下的内存不足 内存碎片化严重：虽然总空闲内存足够，但无法分配连续的大块内存 2.2 评分机制（oom_score）内核为每个进程计算 oom_score，分数越高越容易被杀死： 12345# 查看进程的 OOM 评分cat /proc/<pid>/oom_score# 查看 OOM 评分调整值cat /proc/<pid>/oom_sc...