Sysadmin

podman запускает контейнеры без root и без фонового демона — каждый контейнер это просто дочерний процесс пользователя: podman run -d --name nginx -p 8080:80 nginx:alpine podman ps podman logs nginx podman stop nginx && podman rm nginx Образы совместимы с Docker Hub. Большинство docker-команд работают через alias: alias docker=podman Превратить контейнер в systemd-сервис, который стартует при логине пользователя: podman generate systemd --name nginx --files --new mv container-nginx.service ~/.config/systemd/user/ systemctl --user enable --now container-nginx.service --new означает: при старте сервиса контейнер создаётся заново из образа, при стопе — удаляется. ...

Релизы за неделю — только сервер-стек. grafana v13.0.3 — патч в ветке 13.x: исправления alert history и embedded dashboards. loki v3.7.3 — ⚠️ BREAKING: оператор меняет дефолт для OpenShift stream labels; добавлены bloom-фильтры — ускоряют поиск без индекса. 3x-ui v3.4.0 — Multi-Node Hardening: Notification Event Bus, Managed Hosts, масштаб до 100k клиентов на ноду, per-node outbound routing. doggo v1.2.0 — стабильные имена ассетов (doggo-linux-x86_64 без версии) — удобно для CI-скриптов автообновления. sing-box v1.13.14 — патч proxy-ядра. vscode 1.126.0 — обновление редактора. #linux #sysadmin #releases ...

auditd пишет в ядерный кольцевой буфер — ни один rootkit не подменит события до записи на диск. Смотреть за файлом паролей и sudoers: auditctl -w /etc/passwd -p wa -k passwd_changes auditctl -w /etc/sudoers -p wa -k sudo_changes Флаги -p wa — write + attribute change. -k — ключ для поиска. Правила выживают перезагрузку через /etc/audit/rules.d/audit.rules. Найти все события по ключу и посмотреть статистику входов: ausearch -k passwd_changes --interpret aureport --auth --summary aureport --failed покажет только неудачные попытки — удобно для ежедневного отчёта в cron. ...

screen есть в базовой поставке почти любого дистрибутива — даже там, где нет tmux. Запустить именованную сессию: screen -S deploy # Ctrl+a d — detach, сессия живёт в фоне screen -r deploy # вернуться screen -ls # список сессий Ctrl+a — префикс всех команд screen (как Ctrl+b в tmux). Основные: Комбинация Действие Ctrl+a c новое окно Ctrl+a " список окон Ctrl+a S горизонтальный сплит Ctrl+a d detach screen -x session — подключиться к уже занятой сессии: два человека видят один терминал в реальном времени. Удобно для пар-программирования или передачи управления. ...

md5sum сломан криптографически с 1996 года — коллизии найдены. Для проверки целостности файлов используй sha256sum или быстрее: # классика — медленно, но везде есть md5sum file.iso sha256sum file.iso # проверить по файлу контрольных сумм sha256sum -c SHA256SUMS # сгенерировать для директории find . -type f | sort | xargs sha256sum > checksums.sha256 # BLAKE3 — быстрее SHA-256, современный стандарт b3sum file.iso # apt install b3sum Скорость на большом файле: md5sum ≈ sha256sum < sha512sum < blake2 < blake3 (в 3–5× быстрее sha256 на многоядерных). ...

mktemp создаёт файл или директорию с гарантированно уникальным именем — без race condition, которую даёт /tmp/myapp.tmp: TMP=$(mktemp -d /tmp/app.XXXXX) trap 'rm -rf "$TMP"' EXIT trap ... EXIT сработает при любом выходе из скрипта — по ошибке, по сигналу, по exit 0. Временные файлы не накапливаются. tmpfs — файловая система целиком в RAM. Содержимое исчезает при отмонтировании или перезагрузке: mount -t tmpfs -o size=512m tmpfs /mnt/ramdisk Связка mktemp + tmpfs полезна для сборочных пайплайнов: распаковать архив в RAM, обработать, выкинуть — без единой записи на диск. ...

Unified diff — формат, который понимает patch и любой git: diff -u old.conf new.conf > fix.patch Применить патч к файлу, сохранив структуру путей из заголовка: patch -p1 < fix.patch # применить patch -p1 -R < fix.patch # откатить тот же патч Сравнить два каталога целиком, без вывода самих различий — только список разных файлов: diff -rq dir1 dir2 colordiff — та же утилита diff, но с подсветкой добавленных/удалённых строк, если на сервере не git, а просто конфиги в каталоге: ...

envsubst подставляет значения переменных окружения вместо ${VAR} в текстовом файле: export DOMAIN=example.com envsubst < nginx.conf.template > /etc/nginx/conf.d/app.conf Без аргументов envsubst заменит все переменные из окружения — рискуя задеть случайные $PATH или $HOME в шаблоне. Явный список ограничивает подстановку: envsubst '${DOMAIN} ${PORT}' < nginx.conf.template > app.conf Типичное место — Docker-entrypoint, собирающий конфиг из шаблона перед запуском nginx: envsubst '${BACKEND_HOST} ${PORT}' < default.conf.template > default.conf Тот же приём работает в CI/CD — один шаблон под разные окружения. ...

По умолчанию sort сортирует как текст — 10 окажется перед 2. Числовая сортировка по конкретному полю: sort -t: -k3,3n /etc/passwd # сортировка по UID (3-е поле, разделитель :) uniq -c считает повторы соседних строк — но только соседних, поэтому сначала sort: sort access.log | uniq -c | sort -rn | head -10 Топ-10 IP из access.log без единого awk: awk '{print $1}' access.log | sort | uniq -c | sort -rn | head -10 uniq -u — наоборот, только строки без дублей (дедупликация в обратную сторону): ...

Сабволюм — независимое дерево внутри одной btrfs-файловой системы, со своими снапшотами и квотами: btrfs subvolume create /mnt/data/@home btrfs subvolume list /mnt/data Монтировать конкретный сабволюм, а не весь раздел, через /etc/fstab: # /etc/fstab UUID=... /home btrfs subvol=@home,compress=zstd 0 0 Снапшот сабволюма создаётся мгновенно — это CoW-ссылка, а не копия данных: btrfs subvolume snapshot /mnt/data/@home /mnt/data/@home_snap_$(date +%F) Откат — переименовать текущий сабволюм и подставить снапшот на его место: mv /mnt/data/@home /mnt/data/@home_broken btrfs subvolume snapshot /mnt/data/@home_snap /mnt/data/@home Удалить сабволюм, когда снапшот больше не нужен: ...