Что спрашивают на собеседованиях

inode хранит метаданные и адреса блоков файла, но не хранит его имя. Имя находится в записи каталога и указывает на номер inode.

Hard link указывает на тот же inode, а symbolic link хранит путь к цели. Symlink может стать битой, hard link продолжает обращаться к данным.

Для каталога x означает traverse: можно пройти через каталог и обратиться к объекту внутри по известному имени.

chmod 755 задает rwx владельцу и r-x группе и остальным: 7 = 4 + 2 + 1, 5 = 4 + 1.

chown user:group file меняет числовые UID владельца и GID группы, записанные в метаданных файла.

> создает файл заново или обнуляет существующий, а >> добавляет данные в конец.

Unit — декларативное описание ресурса, которым управляет systemd: сервиса, сокета, таймера, точки монтирования или другой сущности.

Это среднее число задач, которые выполняются или ждут CPU/непрерываемого I/O, за 1, 5 и 15 минут. Значение нужно сравнивать с количеством CPU, смотреть динамику и дополнять метриками CPU, iowait и очередей: высокий load сам по себе еще не называет причину.

df считает занятые блоки файловой системы, du — доступные по именам файлы. Частая причина расхождения — удаленный файл, который процесс продолжает держать открытым.

Частая причина — закончились inode: проверить df -i. Также возможны квоты, зарезервированные блоки, переполненный tmpfs или другой раздел. Если df и du сильно расходятся, ищут удаленные, но все еще открытые процессом файлы через lsof +L1.

available оценивает память, которую можно отдать приложениям без swap с учетом освобождаемого page cache; это полезнее, чем поле free.

Задачи могут ждать непрерываемый дисковый I/O. Тогда растут load и iowait, а пользовательское CPU остается низким.

Это завершившийся процесс, чей родитель еще не забрал exit status через wait. Он не выполняется, но занимает запись в таблице процессов.

SIGTERM просит процесс корректно завершиться: приложение может обработать сигнал, закрыть соединения и сохранить состояние. SIGKILL немедленно завершает процесс силами ядра, его нельзя перехватить. Обычно сначала отправляют TERM и только после таймаута используют KILL.

Он показывает открытые процессами файлы и сокеты. lsof +L1 помогает найти удаленные, но еще занимающие диск файлы.

shebang в первой строке указывает ядру, какой программой открыть исполняемый текстовый файл.

Клиент доказывает владение приватным ключом, а сервер сверяет подпись с публичным ключом в authorized_keys. Приватный ключ не передается.

journalctl -u service показывает журнал unit, -f следит за новыми строками, --since ограничивает период.

В одинарных строка остается буквальной. В двойных раскрываются переменные и подстановка команд, но пробелы сохраняются одним аргументом.

Функция получает собственные позиционные параметры, но переменные по умолчанию остаются глобальными без local.

Круглые скобки создают subshell, фигурные выполняют группу в текущем shell.

cron запускает команды по расписанию в ограниченном окружении. Вывод нужно направлять в лог, а ошибки запуска искать в системном журнале cron.

Браузер определяет URL, проверяет кэши и резолвит DNS. Затем устанавливает TCP-соединение, для HTTPS проводит TLS handshake, отправляет HTTP-запрос, получает ответ и ресурсы страницы, строит DOM/CSSOM и рендерит результат. На пути могут участвовать прокси, CDN и балансировщик.

Префикс CIDR показывает, сколько старших бит адреса относится к сети. Для IPv4 /24 соответствует маске 255.255.255.0: остается 8 бит под адреса узлов, всего 256 адресов, обычно 254 пригодны для хостов в классической подсети.

С клиента: проверить DNS, маршрут и соединение через curl -v, nc -vz или openssl s_client для TLS. На сервере: ss -lntup, состояние процесса и логи. Затем проверить адрес bind, firewall/security groups, NAT, маршрутизацию и ответный путь пакетов.

TCP устанавливает соединение, гарантирует порядок и повторную доставку. UDP отправляет датаграммы без таких гарантий и с меньшими накладными расходами.

Шифрование канала, контроль целостности и проверку подлинности сервера сертификатом; при mTLS проверяется и клиент.

1xx — информация, 2xx — успех, 3xx — перенаправление, 4xx — ошибка запроса клиента, 5xx — ошибка сервера или upstream.

Маршрут 0.0.0.0/0 используется, когда более точного маршрута нет, и отправляет пакет следующему маршрутизатору.

Правила выбора следующего hop и интерфейса по адресу назначения. Выигрывает наиболее специфичный совпавший префикс.

MTU — максимальный размер L3-пакета на канале. Проблема может давать зависающие крупные запросы при работающем ping из-за фрагментации или blocked ICMP.

Она помогает идти по слоям: физика, канал, IP, транспорт, приложение, не смешивая причины и проверки.

Он меняет адреса и иногда порты пакетов, позволяя частным узлам выходить через публичный адрес и публиковать внутренние сервисы.

По умолчанию round robin; также least_conn, ip_hash, hash и веса серверов. Выбор зависит от длительности запросов и требований к affinity.

Сначала nginx -t, затем nginx -s reload или systemctl reload nginx. Master перечитывает конфигурацию и запускает новые worker-процессы, а старые завершают активные запросы. Restart для обычного изменения конфигурации не нужен.

В server/location задают proxy_pass на upstream, передают Host и X-Forwarded-* заголовки, настраивают таймауты и при необходимости WebSocket. Backend лучше держать во внутренней сети, а TLS завершать на Nginx. После изменений конфиг проверяют nginx -t.

Сначала учитывает точное совпадение, затем наиболее длинный префикс и регулярные выражения по правилам приоритета.

listen 443 ssl, ssl_certificate и ssl_certificate_key; также настраивают современные протоколы, шифры и редирект с HTTP.

Прокси добавляет X-Real-IP и X-Forwarded-For, например proxy_set_header X-Real-IP $remote_addr и proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for. Backend должен доверять этим заголовкам только от известного прокси, иначе клиент сможет подделать адрес.

Host, X-Real-IP, X-Forwarded-For и X-Forwarded-Proto, чтобы backend знал исходный хост, клиента и схему.

limit_req_zone хранит состояние по ключу, а limit_req применяет скорость и burst в location. Это защита ресурса, а не полноценный DDoS-фильтр.

Группу backend-серверов и параметры балансировки, веса, fail timeout и keepalive, на которую ссылается proxy_pass.

Берет изменение выбранного коммита и создает эквивалентный новый коммит поверх текущей ветки.

Merge объединяет две истории новым merge-коммитом и не переписывает существующие коммиты. Rebase переносит коммиты на новую базу, создавая их заново и делая историю линейной. Публичную общую историю без согласования rebase-ить опасно.

Посмотреть git status и конфликтующие файлы, понять обе версии, вручную собрать корректный результат и проверить его тестами. Затем git add и завершить merge-коммит или git rebase --continue. При сомнениях операцию можно отменить через --abort.

Fetch только загружает новые объекты и обновляет remote-tracking ветки, не меняя рабочую ветку. Pull выполняет fetch, а затем merge или rebase по настройке. Для контролируемого обновления часто сначала делают fetch и изучают diff.

fetch только обновляет remote-tracking refs. pull выполняет fetch и затем merge или rebase в текущую ветку.

Заменяет последний коммит новым с измененным snapshot или сообщением, поэтому хеш меняется. Уже опубликованную историю правят осторожно.

Короткоживущие ветки и частая интеграция в основную ветку. Незавершенное поведение скрывают feature flags и поддерживают быстрыми тестами.

ENTRYPOINT задает основную исполняемую команду, CMD — ее аргументы по умолчанию или команду, если ENTRYPOINT нет.

Namespaces разделяют процессы, сеть, mounts и другие представления, cgroups ограничивают и учитывают ресурсы.

Сборщик, компилятор и зависимости остаются в промежуточном stage, а в финальный образ копируется только готовый артефакт и runtime. Это уменьшает размер и поверхность атаки, ускоряет доставку и не требует хранить build-инструменты в production.

Слой — неизменяемый diff файловой системы, созданный инструкцией сборки. Следующий слой может скрыть файл, но не переписать предыдущий, поэтому его байты останутся в истории образа. Создание и удаление временных данных объединяют в один RUN или используют multi-stage.

Образ — неизменяемый шаблон из read-only слоев. Контейнер — запущенный экземпляр образа с собственным writable-слоем, процессами и runtime-настройками. Из одного образа можно создать много независимых контейнеров.

Компрометация процесса получает меньше прав внутри контейнера и снижает последствия ошибок конфигурации runtime.

Порт 8080 хоста публикуется и направляет трафик на порт 80 контейнера. EXPOSE сам по себе порт не публикует.

Volume управляется Docker и удобен для данных приложения; bind mount напрямую связывает конкретный путь хоста с контейнером.

ARG доступен во время build, ENV сохраняется в образе и окружении контейнера. Ни один механизм не подходит для постоянного хранения секретов.

Основные драйверы: bridge для контейнеров на одном хосте, host без отдельного network namespace, none без сети, overlay для нескольких узлов. Пользовательская bridge-сеть дает встроенный DNS по именам сервисов и изоляцию от других сетей.

Подключить named volume к каталогу данных. Обычный down сохраняет volume, а down -v удаляет его.

При обычном restart writable-слой сохраняется, но при удалении и пересоздании контейнера он пропадает. Постоянные данные хранят в named volume или внешнем хранилище. Конфигурацию и секреты не следует запекать в writable-слой.

У сервиса описывают healthcheck, а зависимость связывают с condition: service_healthy, если версия Compose это поддерживает. Само приложение все равно должно уметь повторять подключение с backoff: оркестратор не заменяет устойчивую логику клиента.

Минимальный маршрут: быстрые проверки и lint, unit/integration tests, сборка один раз, security checks, публикация версионированного артефакта, deploy по окружениям и smoke-проверка. Между production-деплоем и предыдущими стадиями нужны правила, approvals и понятный rollback.

В защищенном secret manager или masked/protected CI variables с минимальной областью доступа. Секреты передают только нужным job и окружениям, не печатают в лог, регулярно ротируют и по возможности используют короткоживущую федеративную авторизацию вместо постоянных ключей.

Желаемое состояние хранится в Git, изменения проходят review, а controller сверяет и приводит окружение к этому состоянию.

Общие job и шаблоны выносят в отдельный проект или файл и подключают через include. Поведение параметризуют variables, а локальные job наследуют шаблоны через extends. Версию общего шаблона фиксируют ref/tag, чтобы изменение не сломало все сервисы одновременно.

SAST анализирует исходный код, DAST тестирует работающее приложение снаружи, SCA ищет известные уязвимости зависимостей.

CI проверяет и собирает изменение в версионированный артефакт. Delivery или deployment доставляет этот артефакт по окружениям вручную или автоматически.

Получает подходящую job, подготавливает executor и окружение, выполняет script, передает логи, artifacts и итоговый status.

Она связывает deployment с dev/stage/prod, URL, историей версий, правами и операциями stop или rollback.

Одно имя может быть задано в defaults, inventory, play, role и extra vars; более приоритетный источник переопределяет значение.

Handler запускается по notify только если задача действительно изменила состояние, например перезапускает сервис после изменения шаблона. По умолчанию handlers выполняются в конце play; при необходимости их можно вызвать раньше через meta: flush_handlers.

Собранные сведения о целевом хосте: ОС, интерфейсы, память и другое. Они доступны через ansible_facts и используются в условиях и шаблонах.

Playbook связывает хосты, роли и задачи в сценарий выполнения. Role — переиспользуемая структура с tasks, handlers, templates, files, defaults и vars. Хорошая роль решает одну область ответственности и настраивается через переменные.

Он шифрует variables или файлы в Git. Пароль или vault identity нужно хранить отдельно и выдавать по минимальным правам.

Повторный запуск с теми же входными данными приводит систему к тому же состоянию и не делает лишних изменений. Поэтому предпочтительны декларативные модули package, user, file, template, а shell/command используют только с явными условиями changed_when, creates или removes.

defaults имеет очень низкий приоритет и предназначен для переопределяемых настроек; vars роли переопределить значительно сложнее.

State связывает ресурсы из конфигурации с реальными объектами провайдера и хранит их известные атрибуты. По нему Terraform строит diff и планирует изменения. State может содержать чувствительные данные, поэтому его защищают, версионируют и не коммитят в Git.

Фактический ресурс изменился вне Terraform и больше не совпадает с configuration/state. Plan обнаруживает разницу и предлагает действие.

Плагин, который через API управляет ресурсами конкретной платформы и предоставляет resources и data sources.

Используют удаленный backend с шифрованием, версионированием и locking. Все участники и CI работают с одним источником истины, а блокировка не позволяет двум apply одновременно повредить состояние. Доступ выдается по минимальным правам.

Добавить moved block from/to или выполнить state mv, затем проверить plan, что адрес изменился без destroy/create.

Terraform в первую очередь управляет жизненным циклом инфраструктурных ресурсов через plan/state: сети, VM, кластеры. Ansible настраивает ОС и приложения внутри уже доступных машин. Они дополняют друг друга, хотя зоны возможностей частично пересекаются.

Когда экземпляры имеют стабильные строковые ключи. Удаление элемента списка не сдвинет адреса остальных ресурсов.

Он показывает предполагаемые create, update и destroy до применения, позволяя review и обнаружение опасных изменений.

Control plane: API Server принимает запросы, etcd хранит состояние, Scheduler выбирает node, Controller Manager приводит фактическое состояние к желаемому. На worker-node kubelet управляет Pod через container runtime, а kube-proxy или eBPF-реализация обеспечивает сетевые правила сервисов.

Deployment управляет взаимозаменяемыми stateless Pod и rolling update. StatefulSet дает Pod стабильные имена, порядок запуска и отдельные PVC. DaemonSet гарантирует Pod на каждой подходящей node — например агент логов или мониторинга.

Логически разделяет namespaced-ресурсы, имена, quotas и policies внутри одного кластера, но сам по себе не является полной границей безопасности.

ClusterIP доступен только внутри кластера и используется по умолчанию. NodePort открывает одинаковый порт на node. LoadBalancer просит инфраструктуру создать внешний балансировщик. ExternalName возвращает DNS CNAME и не создает обычный proxy endpoint.

Запрос проходит authn/authz/admission в API Server, состояние пишется в etcd, controllers создают Pod, Scheduler выбирает node, kubelet запускает контейнеры.

Минимальная единица запуска Kubernetes: один или несколько контейнеров с общей сетью, localhost и подключаемыми volumes.

Открывает один порт на каждой node и направляет его в Service. Для production-входа обычно используют LoadBalancer или Ingress.

Для несекретной конфигурации, которую Pod получает как environment или файлы volume. Изменение не всегда автоматически перезапускает приложение.

Фильтрует nodes по requests, constraints, taints и affinity, затем ранжирует подходящие. Сам контейнер он не запускает.

Декларативные rollout и rollback, стратегию обновления и управление последовательностью ReplicaSet версий.

Readiness отвечает, можно ли направлять трафик в Pod: при ошибке endpoint убирается из Service. Liveness определяет, завис ли контейнер: после серии ошибок kubelet перезапускает его. Startup probe защищает медленно стартующее приложение от преждевременной liveness-проверки.

Requests участвуют в планировании и гарантируют зарезервированный объем ресурса. Limit ограничивает максимум: превышение memory limit приводит к OOMKill, CPU limit — к throttling. Без limit Pod может использовать больше request, если на node есть свободный ресурс.

Стабильные имена Pod, упорядоченные операции и отдельные PVC по template. Репликация данных остается задачей самого приложения.

Ingress — декларативный объект с правилами HTTP-маршрутизации. Сам по себе он ничего не проксирует. Ingress Controller наблюдает за этими объектами и настраивает реальный data plane, например Nginx, Traefik или облачный балансировщик.

Периодически сравнивает текущую метрику с target и меняет replicas workload в пределах min/max; нужны корректные requests и источник метрик.

PVC запрашивает хранилище, controller связывает его с PV или динамически создает через StorageClass.

Taint отталкивает Pod от node, toleration разрешает планирование, но не гарантирует его без дополнительных constraints.

Affinity притягивает Pod к nodes или другим Pod, anti-affinity разводит их для отказоустойчивости; правила бывают required и preferred.

Чтобы запустить Pod на каждой подходящей node, например агент логов, мониторинга или сетевой компонент.

Chart содержит Chart.yaml с метаданными, values.yaml со значениями, templates с Kubernetes-манифестами и при необходимости dependencies и helpers. Он позволяет версионировать, параметризовать и повторяемо устанавливать набор связанных ресурсов как один release.

Обычно в Secrets namespace. helm rollback рендерит и применяет manifest выбранной предыдущей revision.

Ограничивает добровольные disruptions, например drain, требуя minimum available или maximum unavailable; аварийное падение node не предотвращает.

Посмотреть describe/events, logs --previous, command/args, config/secrets, probes и exit code; BackOff лишь сообщает о повторных падениях.

Ограничивает ingress/egress Pod по selectors и портам при поддержке CNI. Без policy трафик обычно разрешен.