行业新闻
-
裸金属跑 LVS-DR 的 5 个静默坑：bond0 的 arp_ignore 在 sysctl -p 时压根没写进去、ip_vs 默认 4096 个哈希桶把 25G 网卡锁在 3 万 PPS
先说清楚场景，不然下面全是空谈：两台裸金属物理机做 DS（Director Server），Keepalived 主备，LVS 走 DR 模式，后端是几十台物理机 RS 跑 nginx/PHP-FPM。25G 双口 bond4 接交换机，VIP 是公网段。 这个架构的问题在于—— 它在你压测到 30% 负载之前，看起来是完全正常的 。ipvsa...
-
高防CDN边缘节点抗SYN Flood：nftables synproxy 的三个静默失效点（timestamp 不匹配、notrack 位置写错、MSS 写死踩 GRE 降级）与 XDP 前置替换实测
一、现场：15Mpps 的 SYN 打进来，nginx 一个请求都接不到 边缘节点，单机 20Gbps 上联，跑 nginx 做 L7 反代，正常业务 8k QPS。攻击开始后带宽只涨了 1.2Gbps，但 pps 直接冲到 9Mpps，全是 60 字节 SYN，源 IP 全随机。现象： ss -lnti 'sport = :443' ...
-
大带宽服务器的加固死角全在出向：`-m owner` 白名单栽在 SCM_RIGHTS，nftables `cgroupv2 level` 写错直接静默失效——三层出向围栏落地实录
先说结论：入向加固在 10G 口上基本是心理安慰 我们手里的机器一旦上了 10G 甚至 25G 上行，你 `iptables -A INPUT -j DROP` 写得再花，被打的时候流量早就灌进上游交换机了，你 DROP 掉的只是你自己网卡的 softirq 预算。入向那套东西的正确归属是上游清洗，不是主机。 真正属于你自己的加固面是 出...
-
云服务器跑 MySQL：O_DIRECT 反而慢 18%，把 doublewrite 挪到独立盘 QPS 直接翻倍——12 组 fio+sysbench 实测与写路径拆解
一、先钉变量：两台靶机，同一份数据 网上抄来的 my.cnf 在云上翻车，八成不是参数写错了，是 你压根不知道脚下这块盘的瓶颈在带宽还是在 IOPS 。云盘的 IOPS 和带宽是两条独立上限，谁先撞上，决定了你该用 fsync 还是 O_DIRECT。 测试环境，两台配置完全一致的云服务器（16C / 64G / MySQL 8.0.36...
-
云数据库容器化架构：cgroup v2 回收不了 InnoDB 的匿名内存，预算偏差如何引发 OOM-Kill 风暴与在线缩池设计
先摆结论：容器内存限制和数据库实例规格，是两个不能互相代替的东西 把 MySQL / PostgreSQL 塞进 Docker 做云数据库多租户，最常见的错误设计是： 把 docker run --memory=16g 当成"这个实例是 16G 规格" 。这在 Web 服务上是成立的，在数据库上是灾难性的，因为内核对两类内存的态度完全不同。...
-
高防CDN回源：real_ip递归CIDR回溯 + FCGI_PARAMS逐头writev，PHP-FPM每请求白多构造16个$_SERVER key
先把结论摆在前面 同一套 PHP-FPM 配置、同一份业务代码、同样的 20000 QPS，直连源站时 nginx worker 单核 usr% 是 55，挂上高防 CDN 之后涨到 78。带宽没变、QPS 没变、慢查询没变，多出来的 CPU 全部烧在三个你平时根本不会去看的地方： nginx ngx_http_realip_m...
-
高防CDN 用 Docker 部署：容器里 $remote_addr 永远 172.17.0.1、conntrack 比带宽先爆——host 网络 + nftables 前置限速的完整落地
一、别急着 docker run —— 默认 bridge 会把你的高防做废 先说一个我们踩过的坑。某次用 nginx:1.27-alpine 起了一个边缘缓存节点， -p 443:443 -p 80:80 打满，QPS 稍微冲上 3 万，后端日志里 $remote_addr 清一色是 172.17.0.1 。 原因不复杂： ...
-
裸金属批量装机 500 台，40% 卡在 60 秒 DHCP 超时：dhcpd 的租约 fsync 阻塞 recv 循环，212KB UDP 缓冲被 500 次磁盘同步打爆
一、现象：iPXE 那个令人窒息的 040ee119 去年冬天，一个做 AI 训练平台的客户把 500 台裸金属托管在轻云互联的机柜里，走 iPXE + TFTP 全自动装机。第一次冷启动只上了 50 台，一切顺利。第二次一次性把 500 台 BMC 全部 set power on，问题来了—— iPXE 1.21.1+ (g4bd0)...
-
美国服务器 Nginx/Apache 跨洋调优：HTTP/2 初始窗口被硬编码 64KB，180ms RTT 下单流吞吐卡在 2.8Mbps——ssl_buffer_size、H2WindowSize 与 OCSP 跨境超时的实测拆解
美国服务器做面向国内用户的站点，大家第一反应是"带宽够不够"，但真正把体验拖垮的往往不是带宽，是 RTT 与协议栈默认值之间的乘法 。同样一台 4 核 8G 的美国机器，裸带宽 1Gbps 打满毫无压力，可实测单连接下载一个 1MB 的 JS，耗时能到 5 秒以上。下面是我在一台洛杉矶节点的美国服务器上，用 Nginx 1.24 和 Apache ...
-
高防CDN的PHP高并发最佳性能实践 - 20261012
高防CDN 回源放大 3.7 倍：PHP 站被打穿的真凶是 session 锁 + fastcgi_next_upstream 先说结论：高防CDN 接入后源站 PHP-FPM 被打满，90% 的情况不是 CC 攻击流量穿透了清洗，而是 「一次用户请求被放大成 3~4 次回源请求，同时每次请求的持有时长被 session 文件锁拖长」 。前者放...