Вопросы на собеседовании системного администратора

Коммутатор соединяет устройства внутри одной сети и пересылает кадры по MAC-адресам. Маршрутизатор соединяет разные сети и пересылает пакеты по IP-адресам.

TCP сначала устанавливает соединение трёхсторонним рукопожатием (SYN, SYN-ACK, ACK), подтверждает доставку и повторяет потерянное. UDP работает без соединения и не гарантирует доставку, зато даёт меньшую задержку. Поэтому файлы и почту передают по TCP, а голос, видео и обычные запросы DNS чаще по UDP.

Компьютер назначил себе адрес сам, потому что не получил настройки от DHCP-сервера. Клиент рассылает запрос DHCPDISCOVER, сервер должен ответить предложением, а если ответа нет, остаётся адрес из диапазона 169.254.0.0/16. Я проверю кабель и порт, нужную виртуальную сеть (VLAN), работу DHCP-сервера или ретранслятора между сетями и остаток адресов в пуле.

/27, то есть маска 255.255.255.224. Она даёт 32 адреса, из которых 30 достаются устройствам, потому что один адрес занимает сама сеть, а ещё один служит для широковещательной рассылки.

Порт 53, и по UDP, и по TCP. Обычные запросы идут по UDP, а по TCP клиент повторяет запрос, если ответ не поместился и сервер выставил флаг усечения. По TCP также передают зону между серверами (AXFR).

Сначала выясню, открываются ли у него другие сайты и что менялось на его компьютере и в сети. Потом проверю адрес и шлюз (ipconfig /all или ip a) и сделаю ping по IP-адресу и по имени. Так я иду снизу вверх, от настроек сети к самому сервису. Если по адресу ответ приходит, а по имени нет, виноват DNS. Дальше проверю порт, файрвол и прокси, а на сервере посмотрю, слушает ли он нужный порт.

Команда «ss -tlnp | grep :443» покажет слушающие TCP-сокеты вместе с процессами. Ключ -t выбирает TCP, -l оставляет только слушающие сокеты, -n отключает разрешение имён, а -p показывает процессы. Тот же ответ даст «lsof -i :443».

Umask 022 отнимает у новых файлов и каталогов запись для группы и остальных, поэтому файлы создаются с правами 644 (rw-r--r--), а каталоги с 755 (rwxr-xr-x).

Начну с команды «systemctl status имя», которая покажет состояние и последние строки журнала. Полный журнал службы выведет «journalctl -u имя». Потом сравню конфигурацию до и после обновления и проверю зависимости и права на файлы.

Причин может быть несколько. Место могут занимать удалённые файлы, которые ещё держит открытыми какой-то процесс. Такие файлы найдёт «lsof +L1». Ещё файлы могут лежать в каталоге, поверх которого позже смонтировали другой диск, поэтому du до них не добирается.

Начну с uptime, top или htop, free -m, df -h и ss -tulpn, затем загляну в journalctl -xe. Load average сравню с числом ядер, потому что он показывает среднее число процессов, готовых к выполнению или ждущих диска, за 1, 5 и 15 минут. Если нагрузка высокая, а процессор свободен, процессы ждут ввода-вывода. В этом случае смотрю iostat и vmstat. После этого выясню, что менялось перед тормозами.

Active Directory — это служба каталога. Она хранит учётные записи, компьютеры и группы, проверяет вход и раздаёт групповые политики. LDAP — это протокол, по которому к каталогу обращаются.

Клиент находит контроллер домена по SRV-записям, в которых контроллеры публикуют себя в DNS. Если на клиентах указан неправильный DNS, домен не виден.

В Active Directory пять ролей FSMO (flexible single master operations). Две из них, хозяин схемы (schema master) и хозяин именования доменов (domain naming master), существуют в одном экземпляре на весь лес. Остальные три есть в каждом домене. RID master выдаёт контроллерам пулы идентификаторов для новых объектов, PDC emulator обрабатывает блокировку учётных записей и смену паролей и служит эталоном времени, а infrastructure master обновляет ссылки между доменами. Кто держит роли, покажет «netdom query fsmo».

Задержатся проверки паролей и блокировки учётных записей, потому что их обрабатывает именно эта роль. Она же служит эталоном времени домена. Если часы контроллеров разойдутся, у Kerberos, которому нужно точное время, начнутся сбои.

«repadmin /replsummary» покажет сводку по контроллерам и те, у которых репликация падает. «repadmin /showrepl» покажет, когда контроллер в последний раз успешно получил изменения по каждому разделу, а «repadmin /syncall» синхронизирует его с партнёрами принудительно. Общее состояние проверит dcdiag, а «dcdiag /test:dns» отдельно проверяет DNS. Папку SYSVOL с шаблонами политик реплицирует отдельная служба DFS Replication (DFS-R).

Сначала применяется локальная политика, потом политики сайта, домена и подразделения (OU). Побеждает применённая последней, то есть ближайшая к объекту. Параметр Enforced на верхнем уровне перебивает запрет наследования (Block Inheritance) на нижнем.

Сначала смотрю, куда привязана политика и не перебита ли она. Потом проверяю фильтры, потому что у компьютера или пользователя должны быть права Read и Apply group policy. На самом клиенте запускаю «gpresult /r» или «gpresult /h отчёт.html». Чтобы не ждать штатного обновления, которое идёт примерно раз в 90 минут с добавкой до 30 минут, применяю политику сразу командой «gpupdate /force».

Нет. Снимок, который в Hyper-V называется контрольной точкой, хранит состояние машины на момент времени и зависит от исходного хранилища и цепочки изменений. У систем, которые реплицируют данные между узлами, например у Active Directory, он может нарушить согласованность данных. Для отката после неудачного обновления снимок годится, но хранить его долго нельзя, потому что цепочка замедляет дисковые операции, а при удалении гипервизор сливает разностные диски, на что уходят место и время.

Виртуальная машина запускает собственную операционную систему под управлением гипервизора, который стоит прямо на железе (bare-metal) или поверх ОС (hosted). Контейнер использует ядро хоста и изолируется его средствами, то есть пространствами имён (namespaces) и cgroups.

В томе (volume). Это предпочтительный способ хранения, потому что Docker управляет томами сам и том переживает удаление контейнера. Папку хоста подключают (bind mount), когда нужен общий доступ с хостом.

Разделю симптомы на три класса: нет питания, нет самотеста при включении (POST) и нет изображения. При сбое самотеста питание есть, но загрузка зависает на логотипе, горит янтарный индикатор или звучат сигналы. Если питания нет, проверяю кабель и розетку без сетевого фильтра. На настольном ПК нажимаю кнопку самотеста блока питания, а если её нет, подставляю заведомо исправный блок. На ноутбуке снимаю батарею и держу кнопку питания 15-20 секунд. При ошибке POST записываю коды сигналов, отключаю всю периферию и подключаю её по одному. Если нет изображения, проверяю кабель и вход монитора и пробую другой монитор.

Прочитаю код остановки в журнале событий и установлю обновления Windows и BIOS. Дальше обновлю драйвер, названный в ошибке, или откачу недавнее изменение. Проверю и диск, на котором должно оставаться не менее 10-15% свободного места.

Когда температура процессора приближается к пределу (предельная температура кристалла, Tjunction max, у большинства процессоров Intel 100-110 °C), он снижает частоту и мощность. Это троттлинг, а если он не помогает, процессор выключается. Кратковременный выход на предел под нагрузкой ещё не неисправность. Постоянный троттлинг указывает на систему охлаждения или режим питания.

Выясню, печатает ли он из «Блокнота» и на другую очередь. Если задание зависло, отменю его и перезапущу службу Print Spooler в services.msc. Если не помогло, остановлю службу, удалю файлы из папки spool\PRINTERS (саму папку не трогаю) и запущу службу снова. Затем проверю драйвер и попробую встроенный драйвер Windows, потому что спулер чаще роняют сторонние драйверы.

Идемпотентная операция при повторном применении даёт тот же результат, что и после первого запуска. Плейбук, то есть сценарий Ansible, из идемпотентных модулей можно запускать повторно, потому что он изменит только то, что отличается от описанного состояния. Режим --check покажет, что изменилось бы, и ничего не тронет на серверах.

Поставлю на мониторинг доступность сервисов и ресурсы, то есть сеть, диск, память, процессор и ключевые службы, например в Zabbix. Оповещения строю по симптомам, которые видит пользователь, и оставляю только те, что требуют действия. Например, диск, который подходит к лимиту, требует действия заранее, а из-за одиночного сбоя, который обходится без вмешательства, дежурного будить не нужно.

Правило 3-2-1 требует хранить три копии данных, рабочую и две резервные, на двух разных типах носителей, причём одну копию держать вне площадки.

Раз в месяц восстанавливаю контрольный файл, раз в квартал поднимаю систему целиком в изолированной среде и записываю, сколько ушло времени.

Логическая копия — это выгрузка в виде SQL или архива, которую делают pg_dump в PostgreSQL и «mysqldump --single-transaction» в MySQL, где этот ключ даёт согласованную копию таблиц InnoDB. Физическая копия состоит из файлов данных. Её делают pg_basebackup и Percona XtraBackup, а вместе с непрерывной архивацией журнала WAL pg_basebackup позволяет вернуть базу на нужный момент. На больших объёмах XtraBackup восстанавливается быстрее логической копии.

Оставлю вход только по ключам и отключу пароли (PasswordAuthentication no). Запрещу вход под root (PermitRootLogin no), перечислю разрешённых пользователей в AllowUsers, а доступ к порту закрою от посторонних файрволом.

Спрошу простыми словами: «Что вы нажали перед этим?», «Что сейчас на экране?», «Когда это началось?». Если получится, воспроизведу проблему сам. Говорить буду спокойно и без терминов.

«В понедельник утром у всех перестала открываться 1С. Я проверил, что сервер отвечает и сеть в порядке, и нашёл в журнале, что на диске закончилось место из-за разросшегося журнала транзакций. Освободил место и убедился, что база снова доступна. После этого настроил резервное копирование журнала и оповещение о заполнении диска».

Скажу прямо, что причину не нашёл, передам задачу дальше вместе с тем, что уже проверил, и сохраню журналы и другие данные, чтобы коллегам не начинать с нуля. Придумывать причину не буду.

«Мне интереснее автоматизация, потому что хочется, чтобы рутина вроде заведения учётных записей новых сотрудников выполнялась скриптом, а не руками. Поддержка пользователей меня тоже не пугает».