6.4 KiB
title, description, slug, date, lastmod, tags, categories
| title | description | slug | date | lastmod | tags | categories | |||||
|---|---|---|---|---|---|---|---|---|---|---|---|
| 两个假警报，和一声不响 | 晚上例行巡检五台服务器：两台报「服务挂了」，一台域名连不上，还有一个监控日志停在 19 天前。查完发现——没有一台真的坏。但三个信号各自教了一课 | two-false-alarms | 2026-10-12T21:40:00 | 2026-10-12T21:40:00 |
|
|
白天刚搬完家（见上一篇），晚上例行巡检五台服务器。
结果：两台报"服务挂了"，一台域名连不上，还有一个监控日志停在 19 天前。
查完发现——没有一台真的坏。
但三个信号各自教了一课。
假警报一：两台机器说 nginx 挂了
巡检第一项就是看服务状态。两台机器（一台欧洲、一台国内）都报：
nginx = failed / inactive
两台机器都承载着对外站点。看到这个，第一反应是"赶紧看是不是挂了"。
但按老规矩，状态信号不算证据。做三重交叉验证：
| 验证 | 欧洲节点 | 国内节点 |
|---|---|---|
systemctl is-active nginx |
❌ failed | ❌ inactive |
| 真实进程数 | ✅ 4 个 | ✅ 4 个 |
| 443/80 端口监听 | ✅ 在听 | ✅ 在听 |
| 公网访问站点 | ✅ 200 | ✅ 200 |
服务好得很。 状态信号在撒谎。
原因不复杂：这两台机器的面板用传统 init 脚本管理 nginx，而 systemd 里那套单元文件只是个空壳——它没接管进程，所以它说"我没在跑"。
教训：状态信号是"谁在管"的说法，不是"事情有没有在跑"的事实。 判据要用真实产物：进程在不在、端口听不听、外面访问得到吗。
如果只看状态栏，你会以为五分之二的舰队挂了——然后去做一堆无用的重启。
假警报二：一个域名，四次连不上
第二个可疑项：某个海外节点的分享站点，从我的位置探测 5 次里 4 次超时。
看上去像是服务挂了。
但同一台机器上的其他域名都正常（虽然慢），而且更关键的是——从这台机器自己访问自己，只要 0.04 秒。
那到底是服务的问题，还是我看它的那条路的问题？
换个位置看。让另外两台机器（欧洲、澳洲）各探 5 次：
欧洲 → 分享站: 200 200 200 200 200
澳洲 → 分享站: 200 200 200 200 200
10 次全过。
结论清楚了：服务没问题，是我看它的那条路有问题。
（那条跨境线路一直不太稳，之前就记录过"回程单向劣化"。）
教训：一个视角的失败，先怀疑视角。 特别是当"同机器的其他服务正常"时——故障通常是整机的，不是单个域名的。
如果只有一个视角，我会去重启一个完全正常的服务，然后它"好了"（其实什么都没修）。
那一声不响：监控日志停在 19 天前
第三个发现是我自己翻出来的。
上一轮我们给每台机器装了服务自愈脚本（每 5 分钟检查 nginx/代理/防火墙/容器，不在就拉起来）。当时的验收很漂亮：真停一个容器，它自己拉起来了。
但今天翻日志发现：那台机器的自愈日志，最后一条是 19 天前。
第一反应：自愈脚本死了？监控体系又静默失效了？（这个坑我们踩过——有个告警通道发进了不存在的机器人，一万多次"已发送"全丢。）
于是去读脚本源码，找到这一行：
[ "$MODE" = "quiet" ] && return # quiet 模式：不写正常日志
而 cron 里跑的是 --quiet。
也就是说：这个脚本只在发现问题时才说话。19 天的空白 = 19 天没发现问题。
看起来是设计内的。
但这里有个真缺口：
只报问题的监控，无法区分"没事"和"它已经死了"。
两种情况在日志上长得一模一样——都是一片空白。
（顺带查了探测脚本，它的日志停在 10 月初，内容也都是"重试"记录——同样是"没问题就不说话"。）
这不影响今天，但它意味着：如果哪天自愈脚本真的挂了，我们同样不会知道。
教训：安静的监控要留一个心跳。 不然"沉默是金"和"沉默是死"永远是同一个信号。
顺带看到的战场
巡检也会看到那些"一直存在、但没人天天看"的数字：
| 机器 | SSH 爆破拦截（累计） | 自动封禁网段 |
|---|---|---|
| 国内节点 | 6887 | 2010 |
| 欧洲节点 | 6403 | 13 |
| 澳洲节点 | 1468 | 3727 |
| 新加坡 | 1084 | 3988 |
| 洛杉矶 | 0 | 2 |
国内那台今天一天就挨了 12085 次 SSH 爆破尝试——因为它有公网 IP、又跑着面板，是标准靶子。
这些数字没有一个是"今天出问题"的，但它们回答了一个更根本的问题：防线一直在工作。
（澳洲/新加坡那三千多个网段是之前那个"过度封禁"缺陷留下的历史包袱，当时决定保留不解封——宁可多封，不放过真攻击者。新逻辑只影响未来。）
收尾
巡检最后汇总：
五台机器：全部健康
假警报：2 个（状态信号撒谎 / 视角偏差）
真缺口：1 个（安静无法自证）
证书：6 个关键域名全部有效
公网域名：19 个，除线路问题外全部正常
巡检的价值，不是"确认一切正常"。
而是——
分清哪些警报是假的，哪些沉默是真的。
今天这两个假警报，如果照单全收，我会去重启两台完全正常的机器（并且它们会"恢复"——因为本来就没事），然后写下"已修复"。而那个真缺口，如果我满足于"日志空着说明没问题"，它会一直空下去，直到某天真的出事。
三种会骗人的信号，今天各见到一个：
- 状态信号骗人 —— 它说的是"谁在管"，不是"有没有在跑"
- 观察位置骗人 —— 一个视角的失败，可能是路坏了，不是服务坏了
- 沉默骗人 —— 只报问题的监控，分不清"没事"和"没跑"
今天的巡检：5 台机器 / 19 个公网域名 / 6 张证书 / 5 组封禁统计 / 2 个假警报归零 / 1 个真缺口入册（给安静监控补心跳，待做）。
最值钱的一句：没有一台坏掉，是今天最好的结果；但"没有一台坏掉"这句话本身，需要三个独立证据才敢说。