行业新闻
-
40TB 裸金属迁移验收全绿、切业务 3 小时就回滚——应用把 mtime 改回去了，全公司只有 ctime 抓得住
去年底给一家做日志归档分析的客户搬数据，源端是一台服役 4 年的老双路，目的端是轻云互联的裸金属（25G 双口直连、本地 NVMe、IPMI 和 BIOS 全套权限在手）。40TB，两百多万个文件，rsync 两轮同步，dry-run 校验输出为空，凌晨 2 点切流量。 3 小时后，业务侧的统计任务报了 1.1 万条主键冲突——目的端的文件比源...
-
25G 大带宽服务器卡在 17.3Gbps：ethtool 与 ip -s link 全是零丢包，softnet_stat 第二列却在偷偷涨
一、故障现场 客户是视频切片回源业务，用的是轻云互联一台 25G 口的大带宽独服。8 个 RX/TX 队列，MTU 1500，跑的是纯 TCP 出向分发。上线第三天报障： 带宽上不去，17.3Gbps 就横住了 ，客户端看速度曲线是"能跑但封顶"，没有尖刺、没有超时、没有 5xx。 第一反应的战场一定在网络栈。 sar -n DEV 1 ...
-
裸金属跑 LVS-DR 的 5 个静默坑：bond0 的 arp_ignore 在 sysctl -p 时压根没写进去、ip_vs 默认 4096 个哈希桶把 25G 网卡锁在 3 万 PPS
先说清楚场景，不然下面全是空谈：两台裸金属物理机做 DS（Director Server），Keepalived 主备，LVS 走 DR 模式，后端是几十台物理机 RS 跑 nginx/PHP-FPM。25G 双口 bond4 接交换机，VIP 是公网段。 这个架构的问题在于—— 它在你压测到 30% 负载之前，看起来是完全正常的 。ipvsa...
-
高防CDN边缘节点抗SYN Flood：nftables synproxy 的三个静默失效点（timestamp 不匹配、notrack 位置写错、MSS 写死踩 GRE 降级）与 XDP 前置替换实测
一、现场：15Mpps 的 SYN 打进来，nginx 一个请求都接不到 边缘节点，单机 20Gbps 上联，跑 nginx 做 L7 反代，正常业务 8k QPS。攻击开始后带宽只涨了 1.2Gbps，但 pps 直接冲到 9Mpps，全是 60 字节 SYN，源 IP 全随机。现象： ss -lnti 'sport = :443' ...
-
大带宽服务器的加固死角全在出向：`-m owner` 白名单栽在 SCM_RIGHTS，nftables `cgroupv2 level` 写错直接静默失效——三层出向围栏落地实录
先说结论：入向加固在 10G 口上基本是心理安慰 我们手里的机器一旦上了 10G 甚至 25G 上行，你 `iptables -A INPUT -j DROP` 写得再花，被打的时候流量早就灌进上游交换机了，你 DROP 掉的只是你自己网卡的 softirq 预算。入向那套东西的正确归属是上游清洗，不是主机。 真正属于你自己的加固面是 出...
-
云服务器跑 MySQL：O_DIRECT 反而慢 18%，把 doublewrite 挪到独立盘 QPS 直接翻倍——12 组 fio+sysbench 实测与写路径拆解
一、先钉变量：两台靶机，同一份数据 网上抄来的 my.cnf 在云上翻车，八成不是参数写错了，是 你压根不知道脚下这块盘的瓶颈在带宽还是在 IOPS 。云盘的 IOPS 和带宽是两条独立上限，谁先撞上，决定了你该用 fsync 还是 O_DIRECT。 测试环境，两台配置完全一致的云服务器（16C / 64G / MySQL 8.0.36...
-
云数据库容器化架构：cgroup v2 回收不了 InnoDB 的匿名内存，预算偏差如何引发 OOM-Kill 风暴与在线缩池设计
先摆结论：容器内存限制和数据库实例规格，是两个不能互相代替的东西 把 MySQL / PostgreSQL 塞进 Docker 做云数据库多租户，最常见的错误设计是： 把 docker run --memory=16g 当成"这个实例是 16G 规格" 。这在 Web 服务上是成立的，在数据库上是灾难性的，因为内核对两类内存的态度完全不同。...
-
高防CDN回源：real_ip递归CIDR回溯 + FCGI_PARAMS逐头writev，PHP-FPM每请求白多构造16个$_SERVER key
先把结论摆在前面 同一套 PHP-FPM 配置、同一份业务代码、同样的 20000 QPS，直连源站时 nginx worker 单核 usr% 是 55，挂上高防 CDN 之后涨到 78。带宽没变、QPS 没变、慢查询没变，多出来的 CPU 全部烧在三个你平时根本不会去看的地方： nginx ngx_http_realip_m...
-
高防CDN 用 Docker 部署：容器里 $remote_addr 永远 172.17.0.1、conntrack 比带宽先爆——host 网络 + nftables 前置限速的完整落地
一、别急着 docker run —— 默认 bridge 会把你的高防做废 先说一个我们踩过的坑。某次用 nginx:1.27-alpine 起了一个边缘缓存节点， -p 443:443 -p 80:80 打满，QPS 稍微冲上 3 万，后端日志里 $remote_addr 清一色是 172.17.0.1 。 原因不复杂： ...
-
裸金属批量装机 500 台，40% 卡在 60 秒 DHCP 超时：dhcpd 的租约 fsync 阻塞 recv 循环，212KB UDP 缓冲被 500 次磁盘同步打爆
一、现象：iPXE 那个令人窒息的 040ee119 去年冬天，一个做 AI 训练平台的客户把 500 台裸金属托管在轻云互联的机柜里，走 iPXE + TFTP 全自动装机。第一次冷启动只上了 50 台，一切顺利。第二次一次性把 500 台 BMC 全部 set power on，问题来了—— iPXE 1.21.1+ (g4bd0)...