运维新手必避的5大服务器配置坑，第3个90%人中招

　　凌晨三点零七分，告警声像指甲刮黑板——不是短信震动，是机房顶上那个老掉牙的蜂鸣器，就卡在UPS柜子右上角第三颗螺丝松动的位置，一响就带震感。我盯着监控屏上redis集群的连接数曲线，它正以每秒十七个的速度往下掉，不是断崖，是滑坡，滑得特别稳，稳得让人想掀桌子。DBA老陈刚把保温杯搁在工位隔板上，杯底一圈水渍还没散开，后端小李已经第三次敲我键盘边沿：“真不是我改的配置？”我没理他。我原以为是哨兵选举超时，结果翻到/etc/redis/redis.conf里那行slave-serve-stale-data yes——yes后面多敲了个空格，空格后还粘着半个没删干净的中文顿号，不知道谁用vim的:retab搞出来的。这个我敢打包票，Ctrl+R查版本记录，四月十八号凌晨一点二十三分，一个叫“ops-auto-deploy”的脚本模板被手动覆盖过。

文章配图，仅供参考

　　第3个坑？就是这个：时间同步没配systemd-timesyncd或chrony，偏要用ntpdate加crontab——还配成每五分钟跑一次。你猜怎么着？它不报错。它连告警都不触发。它就每天凌晨两点零三分，在所有服务器上齐刷刷把系统时间往回拨三秒，然后数据库连接池静默断开，MQ重试队列突然膨胀，而日志里只有一行timestamp跳变的痕迹，埋在三百七十二条告警里，像盐撒进海。去年4月，我们切支付链路那天，三个可用区，十六台应用节点，十台在重启后十五分钟内开始丢请求。没人去查NTP。查了也没人信——因为ntpq -p显示“”打头的上游源一切正常，而systemctl status ntpd却告诉你服务根本没启动。对，那个脚本压根没装ntpd，它只放了个ntpdate二进制，然后写进crontab -e……可这玩意儿在systemd环境里连systemctl daemon-reload都不响应。

　　对面工位的王工换了一双拖鞋，左脚蓝色，右脚灰色，鞋带系得歪斜，踩在地上发出湿哒哒的响。空调嗡的一声突然加大风量，冷风直接吹我后颈——这机房制冷阀去年就没调准过，B2区永远比B1区低两度。我伸手摸后脖，指尖全是凉汗，顺手把咖啡递过去想借火，结果洒了半滴在工牌上，咖啡渍糊住姓名栏左边那个“技”字，剩下半个“术”还看得清。小李这时候忽然说他调休申请又被驳回了，理由是“高峰期人力不可缺”，可上周三明明全员在线，却让SRE自己写了八百行Python去巡检磁盘inode使用率——我说你别讲调休，你讲inode。他说哦对，上次清理/tmp下的.log.gz，结果删掉的是Prometheus的wal文件夹，临时挂载点没umount，硬生生把/dev/sdb1撑爆三次。这事儿我没管，归DBA管，但他们管不了我的redis掉线。

　　我敢说90%新人中招，不是因为他们蠢，是他们被“配完就完事”的思维惯性绑架了。你看那个cron里的ntpdate，写法挑不出毛病：0,5,10,15,20,25,30,35,40,45,50,55 /usr/sbin/ntpdate -s time.pool.aliyun.com。它执行成功，返回0，log里写着“adjust time by -3.123456 sec”，连毫秒都给你记着。但它从不校验是否真的生效。它不会告诉你当前时钟精度偏差已超200ms，更不会提醒chrony的tracking状态里Skew值正在飘红。它就安静地、勤恳地、毫无羞耻地把整个集群的时间戳往历史里拖。最绝的是，它甚至不影响ssh登录，不影响curl，不影响tail -f，它只在跨节点事务提交那一刻，在分布式锁续租那一瞬间，在Kafka producer发送消息前校验timestamp那一微秒里，把你踹下悬崖——还不让你听见回音。

　　老板昨天拍我桌子，不是为这事，是为成本报表。但他说了一句让我愣住的话：“你们运维，是不是把‘能跑’当‘跑对’了？”当时我嘴里含着没咽下去的速溶咖啡渣，舌尖发苦。我没反驳。我想到上个月在灰度环境里测的那个新部署流程，CI流水线跑完，所有绿色钩钩，交付邮件发出去了，结果生产环境第一台节点起service时，SELinux策略自动拒绝了/var/lib/redis目录的write access——就因为镜像构建时用的base是CentOS Stream 9，而它的policycoreutils-minimal包默认不装semanage。我们盯了十八秒的journalctl，直到DBA老陈甩过来一句：“试试setenforce 0？”我才想起这破事在测试环境根本没启SELinux……所以不是测不出来，是测试环境就废了一条腿还在跑。

　　现在我的做法？删掉所有ntpdate cron。所有服务器统一走chronyd，并且必须配置makestep 1.0 -1；必须开bindcmdaddress 127.0.0.1；必须检查timedatectl status里Synced to NTP server字段是否为yes，而不只是看到“NTP enabled”。至于redis那行slave-serve-stale-data，现在全部grep出来批量替换，替换前先用sed -i.bak备份，但bak文件我从来不清——留着，哪天值班又睡迷糊了，还能对着旧文件骂自己一句。对面王工今天没穿拖鞋了，换了一双白袜子配黑皮鞋，但袜子后跟磨出两个毛边。我原以为改完就能睡安稳，结果今早收到告警：/var/log/journal目录满了。不是磁盘，是journal索引损坏，journalctl --verify扫出十九个broken entries。我说不准是不是和上次强制kill journal-gatewayd有关，也不打算深挖——反正先把MaxUse设成2G再说。下一轮排班表下来之前，我得把所有服务器的NTP配置项做成checklist贴在显示器边框上，用马克笔写的，蓝墨水，写完手背蹭到一点，洗不掉。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!