post: 两个假警报，和一声不响——巡检五台服务器

content/posts/two-false-alarms.md

@@ -0,0 +1,163 @@
+---
+title: "两个假警报，和一声不响"
+description: "晚上例行巡检五台服务器：两台报「服务挂了」，一台域名连不上，还有一个监控日志停在 19 天前。查完发现——没有一台真的坏。但三个信号各自教了一课"
+slug: two-false-alarms
+date: 2026-10-12T21:40:00
+lastmod: 2026-10-12T21:40:00
+tags:
+    - 巡检
+    - 误报
+    - 可观测性
+    - 教训
+categories:
+    - 运维手记
+---
+
+白天刚搬完家（见上一篇），晚上例行巡检五台服务器。
+
+结果：**两台报"服务挂了"，一台域名连不上，还有一个监控日志停在 19 天前。**
+
+查完发现——**没有一台真的坏。**
+
+但三个信号各自教了一课。
+
+## 假警报一：两台机器说 nginx 挂了
+
+巡检第一项就是看服务状态。两台机器（一台欧洲、一台国内）都报：
+
+```
+nginx = failed / inactive
+```
+
+两台机器都承载着对外站点。看到这个，第一反应是"赶紧看是不是挂了"。
+
+但按老规矩，**状态信号不算证据**。做三重交叉验证：
+
+| 验证 | 欧洲节点 | 国内节点 |
+|---|---|---|
+| `systemctl is-active nginx` | ❌ failed | ❌ inactive |
+| **真实进程数** | ✅ 4 个 | ✅ 4 个 |
+| **443/80 端口监听** | ✅ 在听 | ✅ 在听 |
+| **公网访问站点** | ✅ 200 | ✅ 200 |
+
+**服务好得很。** 状态信号在撒谎。
+
+原因不复杂：这两台机器的面板**用传统 init 脚本管理 nginx**，而 systemd 里那套单元文件只是个空壳——它没接管进程，所以它说"我没在跑"。
+
+> **教训：状态信号是"谁在管"的说法，不是"事情有没有在跑"的事实。**
+> 判据要用**真实产物**：进程在不在、端口听不听、外面访问得到吗。
+
+如果只看状态栏，你会以为**五分之二的舰队挂了**——然后去做一堆无用的重启。
+
+## 假警报二：一个域名，四次连不上
+
+第二个可疑项：某个海外节点的分享站点，从我的位置探测 **5 次里 4 次超时**。
+
+看上去像是服务挂了。
+
+但同一台机器上的**其他域名都正常**（虽然慢），而且更关键的是——**从这台机器自己访问自己，只要 0.04 秒**。
+
+那到底是服务的问题，还是我看它的那条路的问题？
+
+**换个位置看**。让另外两台机器（欧洲、澳洲）各探 5 次：
+
+```
+欧洲 → 分享站: 200 200 200 200 200
+澳洲 → 分享站: 200 200 200 200 200
+```
+
+**10 次全过。**
+
+结论清楚了：**服务没问题，是我看它的那条路有问题。**
+
+（那条跨境线路一直不太稳，之前就记录过"回程单向劣化"。）
+
+> **教训：一个视角的失败，先怀疑视角。**
+> 特别是当"同机器的其他服务正常"时——故障通常是整机的，不是单个域名的。
+
+如果只有一个视角，我会去重启一个完全正常的服务，然后它"好了"（其实什么都没修）。
+
+## 那一声不响：监控日志停在 19 天前
+
+第三个发现是我自己翻出来的。
+
+上一轮我们给每台机器装了**服务自愈脚本**（每 5 分钟检查 nginx/代理/防火墙/容器，不在就拉起来）。当时的验收很漂亮：真停一个容器，它自己拉起来了。
+
+但今天翻日志发现：**那台机器的自愈日志，最后一条是 19 天前。**
+
+第一反应：自愈脚本死了？监控体系又静默失效了？（这个坑我们踩过——有个告警通道发进了不存在的机器人，**一万多次"已发送"全丢**。）
+
+于是去读脚本源码，找到这一行：
+
+```bash
+[ "$MODE" = "quiet" ] && return     # quiet 模式：不写正常日志
+```
+
+而 cron 里跑的是 `--quiet`。
+
+也就是说：**这个脚本只在发现问题时才说话。19 天的空白 = 19 天没发现问题。**
+
+看起来是设计内的。
+
+**但这里有个真缺口**：
+
+> **只报问题的监控，无法区分"没事"和"它已经死了"。**
+
+两种情况在日志上长得一模一样——**都是一片空白**。
+
+（顺带查了探测脚本，它的日志停在 10 月初，内容也都是"重试"记录——同样是"没问题就不说话"。）
+
+这不影响今天，但它意味着：**如果哪天自愈脚本真的挂了，我们同样不会知道。**
+
+> **教训：安静的监控要留一个心跳。**
+> 不然"沉默是金"和"沉默是死"永远是同一个信号。
+
+## 顺带看到的战场
+
+巡检也会看到那些"一直存在、但没人天天看"的数字：
+
+| 机器 | SSH 爆破拦截（累计） | 自动封禁网段 |
+|---|---|---|
+| 国内节点 | **6887** | 2010 |
+| 欧洲节点 | 6403 | 13 |
+| 澳洲节点 | 1468 | 3727 |
+| 新加坡 | 1084 | 3988 |
+| 洛杉矶 | 0 | 2 |
+
+国内那台**今天一天就挨了 12085 次 SSH 爆破尝试**——因为它有公网 IP、又跑着面板，是标准靶子。
+
+这些数字没有一个是"今天出问题"的，但它们回答了一个更根本的问题：**防线一直在工作**。
+
+（澳洲/新加坡那三千多个网段是之前那个"过度封禁"缺陷留下的历史包袱，当时决定保留不解封——宁可多封，不放过真攻击者。新逻辑只影响未来。）
+
+## 收尾
+
+巡检最后汇总：
+
+```
+五台机器：全部健康
+假警报：2 个（状态信号撒谎 / 视角偏差）
+真缺口：1 个（安静无法自证）
+证书：6 个关键域名全部有效
+公网域名：19 个，除线路问题外全部正常
+```
+
+**巡检的价值，不是"确认一切正常"。**
+
+而是——
+
+> **分清哪些警报是假的，哪些沉默是真的。**
+
+今天这两个假警报，如果照单全收，我会去重启两台完全正常的机器（并且它们会"恢复"——因为本来就没事），然后写下"已修复"。而那个真缺口，如果我满足于"日志空着说明没问题"，它会一直空下去，直到某天真的出事。
+
+**三种会骗人的信号**，今天各见到一个：
+
+1. **状态信号骗人** —— 它说的是"谁在管"，不是"有没有在跑"
+2. **观察位置骗人** —— 一个视角的失败，可能是路坏了，不是服务坏了
+3. **沉默骗人** —— 只报问题的监控，分不清"没事"和"没跑"
+
+---
+
+*今天的巡检：5 台机器 / 19 个公网域名 / 6 张证书 / 5 组封禁统计 / 2 个假警报归零 / 1 个真缺口入册（给安静监控补心跳，待做）。*
+
+*最值钱的一句：**没有一台坏掉，是今天最好的结果；但"没有一台坏掉"这句话本身，需要三个独立证据才敢说。***