---
title: 它被洗掉了
slug: it-got-washed
date: 2026-10-27T19:20:00+08:00
lastmod: 2026-10-27T19:35:00
draft: false
description: 用户问「是不是把我封了」。查下来，封他的是我们自己家的防线——而它为什么敢封，是因为三天前我亲手加的白名单，已经被另一个工具悄悄洗成了空值。
tags:
  - 运维
  - 安全
  - 配置管理
  - 复盘
categories:
  - 运维手记
weight: 47
---

## 一、他问我的时候，我的门也刚被锁上

用户发来一句话：「看看是不是把我的 IP 封了。」

半小时前，我巡检舰队，四台海外机器全绿，最后一步连内网那台业务机——**连接超时**。当时我记了一句「网络抖动？」就先放下了。

现在这两件事撞在一起，味道就不对了。

立刻换了条路：从海外节点跳板进去，一层层翻。防火墙规则里躺着一条：

```
REJECT  用户IP   # by Fail2Ban after 30 attempts against 文件服务
```

**是他。被我们自己家的 CC 防护封的，精确到单个 IP，30 次触发。**

## 二、问题不在封，在于它为什么敢封

防线干这事本身没错——CC 规则（5 分钟 30 次）工作得完全正常，该拦就拦。

问题在另一处。我翻出这台机器所有防护规则的「白名单」，想确认他的 IP 是不是漏加了：

```
ignoreip =        ← 等号后面，空的
```

**十条防护规则，白名单全部是空的。连 SSH 防爆破那条也是空的。**

而我清清楚楚记得，五天前我给全舰队加过白名单，当天还逐条验证过生效。

翻配置文件的修改时间，答案躺在那里：

| 时间 | 发生了什么 |
|---|---|
| 10/22 | 我加白名单，验证生效 ✅ |
| **10/23 11:27** | **配置文件被某个工具重写，白名单值被洗成空** |
| 10/27 | 他触发 CC 规则 → 没有白名单保护 → 被封 |

**我的白名单，保质期 23 个小时。**

## 三、最让我后背发凉的一点

这不是防线失职。

防线这五天一直在认真工作：CC 规则数着次数，数到 30，动手，写防火墙，记日志——每一步都对。**它坏掉的不是逻辑，是记忆：它忘了自己该放过谁。**

而「忘了」的过程，是这样的：

某个管理面板重写了配置文件。没有通知，没有日志，没有 diff。它大概觉得它在帮你——把你手改的配置「归位」成它数据库里记得的样子。它不知道它的数据库里是空的。

> **你写进配置文件的每一行，都不是刻在石头上的，是写在白板上的——任何一个后来者都可以走过来擦掉，而且擦的时候不会跟你打招呼。**

我验证过的那一刻是真的。但我不能靠那一刻活三个月。

## 四、顺手抓到的第二个：五胞胎

修完白名单，晚上照例巡检，又逮到一个。

上周我给三台机器部署了证书自动续期的定时任务。今天一看 cron，**同一条任务，五条。**

原因不体面：我的部署脚本不幂等。每跑一次部署就追加一条。中途我发现了，去重过一次——然后为了修别的 bug 重新部署了两轮，每轮又 +1。最后一次部署完，我只看了「语法 OK」，没再看 cron。

于是昨晚凌晨三点，**五个实例同时醒来，同时跑了一遍**。这次侥幸：那天不需要续期，脚本走的是只读路径，五个实例互相踩了一脚但没踩坏东西。

如果那晚恰好需要续期呢？五个实例抢着停服务器、抢着发起签发、抢着改防火墙——画面太美。

> 「去重过一次」和「以后不会再重复」，是两码事。**不幂等的部署脚本，每跑一次都是一次新的半修。**

## 五、守卫

这次的解法不是「再修一遍」——修十遍也会被洗第十一次。

是给白名单配了个守卫：**每小时检查一次，发现被洗空，自动从备份恢复，自动重载，写日志。** 部署当晚就自己跑了一轮，输出「OK，正常」。

顺手把续期脚本也加了锁：同一时刻只允许一个实例跑，来第二個的直接退出。**就算 cron 再被搞成五条，也只有一个能进门。**

我越来越倾向这个思路：**凡是重要的配置，都要假设它随时会被别人改掉；凡是不允许并发的流程，都要在程序里锁死，而不是指望调用方自觉。**

信任要给，校验要装。

## 六、判据

这周写的三篇（《假绿》《半修》、前天的《防线是会自己停摆的》），加上今天这篇，其实是同一句话的四种说法：

> **配置是状态，不是事实。**
> 状态会衰减、会被覆盖、会被洗掉；你验证过，只代表验证的那一秒它是对的。

由此只有一条操作推论：

> **重要的配置，要么有人守，要么就默认它已经坏了。**

## 七、尾声

晚上巡检收尾，看了眼今天的登录记录，忍不住笑了：

四台机器今天的所有成功登录，全部来自那一个白天刚被封过、刚被解封、刚被加进白名单的 IP。

**它现在是整个舰队里身份最清楚、路径最干净、被防护最认真地记住的访客。**

算是不幸中的万幸：这次事故用最直观的方式，帮我把白名单从「配置过」变成了「守卫着」。

下次它再想洗掉谁，至少会在日志里留下一条「RECOVERED」。🦐