运维新手必踩的5个服务器配置坑，第3个90%人中招

　　跟人吵架。那天机房空调坏了，吹着热风，我后脖颈全是汗，黏着衬衫领子往下淌。老张在隔壁机柜拧螺丝，哐哐两声，震得我耳膜嗡嗡响——他根本没关UPS就直接断了PDU，三台Web节点全黑了，就剩一台Redis还在跑，连着个正在支付的订单。

　　第3个坑，90%人中招——不是说数字准，是这事儿太熟了：sudoers里加完NOPASSWD: ALL，顺手把root ALL=(ALL) NOPASSWD: ALL也抄进去了。我原以为只是少了个注释提醒，结果发现那个“ALL”后面多敲了一个空格，成了“ALL ”。这个我敢打包票，用vim -b看二进制，0x20明明白白躺在那儿。但没人查，因为su root照样进得去，cron照样跑，ssh密钥照常登录。直到上周五凌晨三点，监控钉钉炸了——一个备份脚本用root执行rsync，挂载点写错了，把/srv/data硬生生覆盖成了/var/log的软链接目录。logrotate一转，整套日志全没了，ELK连个404都吐不出来。

　　当时外卖盒还摊在控制台左边，酸辣粉汤渗到键盘F键底下，我边擦边想：这哪是权限配置，这是给root开了一扇虚掩的窗，风一吹，窗帘就卷进去裹住所有日志、crontab、systemd unit文件——还带着静电吸附灰尘。小刘来换硬盘，蹲那儿接电话，声音不大：“妈，不回去了，服务器又裂了。” 他耳机线绕在腕上，一圈，两圈，三圈，松了又绕回去。我盯着他手腕那截蓝筋跳了三下，突然想起前年在阿里云备案系统填法人身份证号时，误把X输成小写x，卡了十八秒没反应，后台直接报502，而不是400。现在想想，其实都一样——都是那种“它看起来对，但不对”的状态。

　　碎掉的不止是权限逻辑。上个月新来的运维在jumpserver配免密登陆，非要用ssh-copy-id -i ~/.ssh/id_rsa.pub root@prod01，然后反复重试失败。我探头看了眼他的终端，/root/.ssh目录权限是755。我说你chmod 700就行。他点头，回车。三分钟后，他发截图问我：“为什么还是Permission denied (publickey)”——我一看，他改的是自己的家目录下的.ssh，而jumpserver用的是proxy_user，真正生效的密钥路径在/etc/ssh/sshd_config里配的AuthorizedKeysCommand，压根不走~/.ssh。我没说话，倒了杯凉茶，茶叶渣浮在杯沿像一小片枯叶。这事儿说破天也就三十秒能讲清，但他卡了七小时。我数过，他终端窗口左上角时间跳了四百二十一次。

　　优胜劣汰？对。不是机器淘汰人，是人自己被细节反杀。真刀真枪干过的都知道：一个tab缩进错位，能让整个Ansible play全盘重跑；一段注释里写的# TODO: fix later，两年后还能在CI pipeline里触发OOM；还有那个永远在/etc/sysctl.conf里重复出现的net.ipv4.tcp_tw_reuse = 1——你查十次，九次发现它已经被另一个角色模板悄悄覆盖成0，第十次才发现，覆盖它的人早离职半年，git blame只显示一行提交：[infra] cleanup legacy

文章配图，仅供参考

　　昨天巡检，看到一台三年前装的CentOS 7，内核还是3.10.0-1160，sshd版本是OpenSSH_7.4，但它跑着Node.js 18和PostgreSQL 16，Docker用的还是overlay2 + systemd cgroup v1混搭。我盯着top里那个kthreadd进程CPU飘到1.3%，突然笑了。旁边实习生问我笑啥，我说想起刚入行时，在虚拟机里删了/boot/vmlinuz-开头的文件，以为重启就能干净，结果grub rescue> 界面里打ls (hd0,msdos1)/boot按了十八秒Tab补全，最后靠U盘救回来。现在呢？现在我们连grub都懒得碰，直接terraform destroy ——可那个销毁脚本里，aws_instance资源的ami_filter用了latest，没锁具体ID，结果半夜自动拉了个带CVE-2024-XXXX的快照，启动即中毒。你说这是进步？

　　我不敢打包票第3个坑一定比第1个更致命。但我知道，90%新手在这儿摔得最哑巴：没人教你怎么验证NOPASSWD规则是否真被解析，没人告诉你visudo -c只会检查语法，不会告诉你某条规则被前面一条同名user覆盖。我上周试过，同一行写两个别名，中间漏逗号，visudo -c照样通过。它说“syntax OK”，语气特别笃定，就像那个外卖小哥掀开酸辣粉盖子时说的：“您点的微辣，真没放辣椒油。” 可我舌头尖已经麻了。

　　雨停了，但屋顶漏水顺着桥架滴下来，在PDU电源线外皮积了一小洼水。我没擦。等会儿让小刘拿绝缘胶带缠两圈。他缠得比我好——去年他用热缩管封过一个接地不良的机柜门，焊点锃亮，连锈迹都没起。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!