行业新闻
-
高防CDN回源：real_ip递归CIDR回溯 + FCGI_PARAMS逐头writev，PHP-FPM每请求白多构造16个$_SERVER key
先把结论摆在前面 同一套 PHP-FPM 配置、同一份业务代码、同样的 20000 QPS，直连源站时 nginx worker 单核 usr% 是 55，挂上高防 CDN 之后涨到 78。带宽没变、QPS 没变、慢查询没变，多出来的 CPU 全部烧在三个你平时根本不会去看的地方： nginx ngx_http_realip_m...
-
高防CDN 用 Docker 部署：容器里 $remote_addr 永远 172.17.0.1、conntrack 比带宽先爆——host 网络 + nftables 前置限速的完整落地
一、别急着 docker run —— 默认 bridge 会把你的高防做废 先说一个我们踩过的坑。某次用 nginx:1.27-alpine 起了一个边缘缓存节点， -p 443:443 -p 80:80 打满，QPS 稍微冲上 3 万，后端日志里 $remote_addr 清一色是 172.17.0.1 。 原因不复杂： ...
-
裸金属批量装机 500 台，40% 卡在 60 秒 DHCP 超时：dhcpd 的租约 fsync 阻塞 recv 循环，212KB UDP 缓冲被 500 次磁盘同步打爆
一、现象：iPXE 那个令人窒息的 040ee119 去年冬天，一个做 AI 训练平台的客户把 500 台裸金属托管在轻云互联的机柜里，走 iPXE + TFTP 全自动装机。第一次冷启动只上了 50 台，一切顺利。第二次一次性把 500 台 BMC 全部 set power on，问题来了—— iPXE 1.21.1+ (g4bd0)...
-
美国服务器 Nginx/Apache 跨洋调优：HTTP/2 初始窗口被硬编码 64KB，180ms RTT 下单流吞吐卡在 2.8Mbps——ssl_buffer_size、H2WindowSize 与 OCSP 跨境超时的实测拆解
美国服务器做面向国内用户的站点，大家第一反应是"带宽够不够"，但真正把体验拖垮的往往不是带宽，是 RTT 与协议栈默认值之间的乘法 。同样一台 4 核 8G 的美国机器，裸带宽 1Gbps 打满毫无压力，可实测单连接下载一个 1MB 的 JS，耗时能到 5 秒以上。下面是我在一台洛杉矶节点的美国服务器上，用 Nginx 1.24 和 Apache ...
-
高防CDN的PHP高并发最佳性能实践 - 20261012
高防CDN 回源放大 3.7 倍：PHP 站被打穿的真凶是 session 锁 + fastcgi_next_upstream 先说结论：高防CDN 接入后源站 PHP-FPM 被打满，90% 的情况不是 CC 攻击流量穿透了清洗，而是 「一次用户请求被放大成 3~4 次回源请求，同时每次请求的持有时长被 session 文件锁拖长」 。前者放...
-
大带宽服务器 PHP 大响应单连接卡在 1.2Gbps：`tcp_wmem/RTT` 硬顶 + FastCGI 8KB 分帧的四次拷贝账
先说结论：10G 大带宽服务器上，PHP 接口返回一个 20MB 的 JSON，客户端跨区域拉，单连接吞吐大概率停在 1.1~1.4Gbps 之间，怎么调 Nginx worker 都不动。因为瓶颈根本不在带宽，在 发送缓冲区除以 RTT ，以及 PHP 到内核之间那条每次都按 8KB 切碎的写入路径。 本文用一台 10G 上行、PHP 8.2...
-
对象存储数据迁移避坑指南：mtime 被覆写成迁移时间、Content-Type 全变二进制、200 万个 part 碎片在后台计费
先说结论：对象存储迁移里，"对象数对得上、总大小对得上"是最没用的两个指标。我见过太多团队拿 rclone size 跑出一致的结果就拍胸脯上线，结果三天后业务方找上门——图片全变下载、增量同步又跑了一整夜、月底账单比预期多出四位数。 下面这七条，全是迁移 写入侧 造成的不可逆损失，跟校验算法没关系，属于迁完就晚了。 一、mtime ...
-
高防CDN回源PHP-FPM打满？别死磕max_children：somaxconn、upstream keepalive与fastcgi_keep_conn的联动封锁
一、先看现场：CDN清洗正常，源站PHP-FPM却“假死” 某客户高防CDN节点回源量只有 3Gbps，源站是 16C32G 的 PHP 业务，PHP-FPM 进程数肉眼可见打满，Nginx 大量 502/504。登录源站一看： ss -s # TCP: 12034 (estab 312, closed 11520, orphaned ...
-
裸金属固件层加固横评：IPMI 2.0 零凭据吐出管理员密码哈希、Redfish 会话 30 天不失效——从 BMC 隔离到 kernel lockdown 的 6 组实测
云主机的安全加固清单大家都背得出来：SSH 换端口禁 root、fail2ban、SELinux enforcing、一堆 sysctl。但裸金属物理机在操作系统下面还压着三层东西——BMC 固件、UEFI/引导链、PCIe DMA 路径。这三层在云主机上是厂商的责任边界，在裸金属上全是你的，而且出厂默认基本都是敞开状态。 我们拿一台双路 32...
-
10Gbps 大带宽服务器只跑出 3.8Gbps：Nginx sendfile 独占 worker、page cache 被 200GB 镜像包冲爆——aio threads + directio 对齐惩罚的 strace 实测
一、先说结论：瓶颈不在网卡，在 Nginx 的文件发送链路 一台 10G 单口的机器，NVMe RAID0，nginx 1.24.0，跑静态大文件分发（游戏更新包 + 镜像站）。压测 100 并发拉一个 8GB 的包， ifstat 稳定在 3.8Gbps ，上不去了。 先看进程状态，这里有个反直觉的现象： # mpstat ...