19年IoT工程师：30分钟搞定Linux生产级环境

　　去年高考期间，我在西溪园区B座三楼机房换完第三块SSD，空调滴水正好砸在机柜顶部散热格栅上——咚、咚、咚，跟监考铃一个节奏。张工蹲在UPS下面用万用表测接地电阻，头都没抬：“你这环境又重装？”我说嗯，他顺手把没拆封的蓝月亮洗衣液往我工位方向推了推，说王姐说她儿子查分前要擦两遍键盘。

文章配图，仅供参考

　　30分钟搞定Linux生产级环境？不是吹。是真30分钟。我掐过表：从插网线开始，到curl -I https://api.iot-gw.local 返回200，十八秒差两帧。但这个“搞定”后面得打个竖线，右边写“能扛住QPS五百以上/单节点/无CDN缓存穿透/不依赖任何云厂商控制台”。左边是“连ssh密钥都还没来得及改默认路径”。中间那条竖线，就是优胜劣汰的刀锋——不是谁快谁赢，是留下的那套脚本，三年里被二十多个现场逼着删了七次systemd服务单元、重写了四版udev规则、干掉了所有硬编码IP和MAC绑定。

　　我原以为还得手动调sysctl.conf，结果跑完ansible-playbook -i staging.yml site.yml，/proc/sys/net/core/somaxconn已经是65535了。这个我敢打包票——因为我上个月刚在衢州某水务厂看到有人把net.ipv4.tcp_tw_reuse写成tcp_tw_recycle，凌晨三点告警电话直接打进调度中心。而这边，curl测完HTTPS后，我顺手ls /etc/nginx/conf.d/，发现default.conf被自动重命名成default.conf.2023-bak，文件末尾还注了# auto-archived-by-iot-deploy-v3.7.1-beta —— 这个版本号我没见过，也不知道谁打的tag，但文件权限确实是644，不是600，这点我确认了三次。

　　群里@我的是李锐，发了个猫猫捂眼表情包，配文“兄弟你部署时有没有顺便帮我把树莓派4B的GPU内存调到256M”。我没回。监控平台跳了条报警：edge-gateway-07的disk_read_bytes_total 10分钟内突增37倍。我点开看了眼，是它在同步固件包，不是OOM。但这时候老刘从隔壁穿拖鞋过来，拎着半瓶红牛说：“备案系统昨天又崩了，管局那边问是不是咱们DNS污染。”我说不是，他点点头就走了，红牛瓶盖没拧紧，漏了一路褐色水渍到消防通道门口。

　　部署过程其实就三件事：拉镜像、启容器、套证书。但“拉镜像”这一步拆成了七段——先验证registry镜像源是否走内网隧道（查route -n | grep 10.188），再比对/etc/docker/daemon.json里insecure-registries字段是不是空（它不是，所以我删了它），接着检查/var/lib/docker中是否有遗留的devicemapper残留（有，三个），然后执行docker system prune -af --volumes，再等三十秒看df -h里/var/lib/docker overlay2占比是否回落（回落了），最后才docker pull，且加了--platform linux/arm64参数——这步我卡了十四秒，因为镜像仓库返回了401，不是404，说明认证token过期但没刷新。这个细节我记了三个月，后来发现是Ansible里用了静态token变量，而不是调用vault_cli生成临时凭据。

　　说到vault_cli……昨天赵工在群里甩了段日志，说他们产线K8s集群etcd数据目录被清空，原因是operator里一段Go代码误把“delete on failure”当成了“dry-run mode”。这事我信。但我更信的是：我们那个30分钟脚本之所以没出事，不是因为它多牛，是因为它根本没碰etcd、没配Ingress Controller、没动CoreDNS转发策略——它只管把OpenWRT的uhttpd换成Caddy+Let’s Encrypt自动化，再把/usr/bin/gpioctl软链到/opt/iotsdk/v2/gpioctl.real。就这么点事，连TLS证书都是Caddy自己去ACME拿的，没走我们自己的CA中间件。换句话说：我们不是做完了，是主动放弃了一大堆事。

　　监控又跳了一条报警：/dev/sdb1的inode使用率89%。我懒得切过去看，反正知道是日志轮转脚本忘了删旧.gz包。去年在乌镇那个智慧路灯项目，我们也是靠删log来撑过三天高并发压测的——当时每盏灯每秒上报两次GPS+光感+倾角，后台却还在用rsyslog按天切，结果/dev/shm直接塞满，MQTT连接全断。运维喊救命，我反手killall rsyslogd，改用journalctl --vacuum-size=100M，三分钟后流量恢复正常。所以现在看到inode告警，我连终端都不切，直接啃了一口冷掉的生煎——油顺着指缝流到键盘F键上，按下去有点粘。

　　这个“优胜劣汰”，不是指工具好或者不好。是指当你在考场外陪孩子等开考铃的时候，突然接到告警说边缘网关时间戳全乱了，而你翻出手机里三年前写的ntpdate-cron脚本，发现它居然还在跑，而且cron行里写着“/15 root /usr/local/bin/force-ntp.sh > /dev/null 2>&1”，而那个force-ntp.sh第一行还是#!/bin/bash，第二行是sleep 3；第三行是ntpd -gq；第四行是hwclock --systohc。这个脚本没崩溃过一次，但它也从来没同步成功过——因为硬件时钟晶振老化，offset常年大于1.2秒，ntpd直接拒收。但我们没人发现，因为上游MQTT broker做了时间戳矫正。所以淘汰的从来不是脚本，是问题本身：它只要不引发告警，就不算存在。

　　我桌角那盒德芙还剩三块，巧克力已经软成膏状。王姐的儿子刚发来截图，分数比预估低十八分，问能不能加装一个CAN总线转MQTT的桥接模块，说想自学嵌入式开发。我没回。刚刚看见监控第5次跳alarm，这次是redis的connected_clients超过阈值。我不打算修。下周一，我去萧山机场T4航站楼驻场，那边的边缘节点要用LoRaWAN网关混搭5G SA切片，证书体系和我们现在这套完全不兼容。我已经把现有脚本里的所有hardcode域名替换成${SITE_CODE}，但$SITE_CODE具体怎么注入？我还没想好。先让它们再活三天吧。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!