简介面向IDC运维岗位求职者与初级运维人员的基础技能测试题及参考答案以单个PDF文档呈现。内容紧扣机房与服务器日常运维场景涵盖Windows远程桌面与Linux SSH登录、HTTP 80与MySQL 3306等常用端口、交换机与路由器的OSI层级、VLAN与NAT作用、RAID 0/1/5/10级别对比、NTFS与EXT4文件系统差异。同时涉及死亡之ping攻击原理、tracert排障命令、ARP与MAC绑定、Linux目录结构与虚拟内存、LAMP与WAMP架构、MBR与GRUB引导关系以及yum安装、系统信息查看等实操要点便于梳理知识盲区、模拟自测并复盘答题思路。资源包含1个PDF文件约323KB篇幅紧凑便于打印或随身翻阅。已有1463人学习下载适合面试前突击复习与查漏补缺。1. 一份 IDC 运维面试题暴露的是排查链条而不是背诵量拿到这份《IDC 运维工程师面试题及其答案.pdf》的人第一反应往往是「这题挺基础」。Windows 远程桌面走 3389、Linux 走 SSHMySQL 监听 3306、SQLServer 监听 1433交换机工作在 OSI 第二层——这些确实属于入门知识。但真正做过 IDC 机房运维的人会注意到这份题里藏着一条完整的排查链条从端口定位服务从 TTL 判断链路从 RAID 级别推断故障域从 ARP 表判断二层异常最后落到磁盘分区与挂载。它适合两类人准备初级运维工程师面试的求职者以及刚接手机房巡检、需要把零散知识点串成工作流的在职人员。PDF 本身是题目加答案的形态光背答案应付不了现场——面试官一句「你怎么确认是攻击还是硬件抖动」就把背诵型的候选人筛掉了。下面的内容按「网络层判断 → 系统层落地 → 安全事件与容灾」的顺序展开把每道题还原成可以敲的命令和可以复现的排错路径。2. 网络层基础TTL、ARP 与 VLAN 的实际判断方式2.1 从 TTL 反推对端系统与链路跳数题目第 25 问只问到 TTL 是「最大跳数」但运维现场用得更多的是从 TTL 初值反推对端操作系统。IP 包每经过一个路由器 TTL 减 1而不同系统的默认初值不同常见做法是按初值对齐判断。操作系统TTL 默认初值观察到的典型值Linux / Unix6464、63、62…Windows128128、127、125…部分网络设备255255、254…一条命令就能验证# -c 指定发包次数避免无限 ping 阻塞脚本 ping -c 4 192.168.1.1 # 若返回 ttl63说明初值 64 且中途经过 1 跳路由器基本可判定对端为 Linux参数说明-c控制次数Windows 下对应的是-n。如果是跨公网排查收到Request timed out时不要直接判定对端宕机先看tracertWindows或tracerouteLinux在哪一跳断掉。tracert依赖 ICMP 超时报文如果中间设备禁了 ICMP会出现连续的* * *这时换tcping或直接用nc -vz host port测端口反而更可靠。提示TTL 判断法只在没有中间设备改写 TTL 的前提下成立部分防火墙会重置 TTL别把它当成绝对证据。2.2 ARP 表与 IP-MAC 绑定的操作细节原题里给了arp -s 00-30-48-CB-F5-AC这样一行但这条命令本身是不完整的——arp -s的标准语法是「IP 在前、MAC 在后」题面把顺序写反了实测会直接报错或绑不上。Windows 下正确的静态绑定写法# 语法arp -s IP MAC arp -s 192.168.1.100 00-30-48-CB-F5-AC # 查看绑定结果 arp -a # 删除错误绑定 arp -d 192.168.1.100Linux 下没有arp -s这种持久化能力常见做法是用ip neigh临时添加sudo ip neigh add 192.168.1.100 lladdr 00:30:48:cb:f5:ac dev eth0 nud permanent ip neigh show注意nud permanent表示这条邻居表项不会老化但重启即失效。要持久化得写进网卡配置或开机脚本。ARP 攻击的判定也在这里如果arp -a里同一 MAC 对应了多个 IP或者网关的 MAC 突然变化基本可以确认局域网内有人在伪造 ARP 响应。原题第 27 问的答案是对的但现场处置要补一步——在接入交换机上查该 MAC 落在哪个端口# 交换机上根据 MAC 定位端口不同品牌命令不同以通用写法示意 show mac address-table address 00-30-48-CB-F5-AC拿到端口号才能拔线或关闭端口否则只在服务器上删 ARP 表项攻击流量下一轮又回来了。2.3 VLAN 划分与冲突域、广播域的对应关系第 15 问的标准答案是「VLAN 可以隔离冲突域和广播域」这句话需要拆开看交换机每个端口本身就是独立的冲突域VLAN 真正隔离的是广播域。所以更严谨的表述是「VLAN 划分广播域端口划分冲突域」。面试时按原答案说通常不会扣分但如果面试官追问答得准确是加分项。配置层面一个典型的接入端口划分# Cisco 风格Access 口加入指定 VLAN interface GigabitEthernet0/1 switchport mode access switchport access vlan 20mode access表示这个口只承载一个 VLAN 的流量接终端设备用如果要跑多个 VLAN 到另一台交换机或防火墙得用switchport mode trunk并允许 VLAN 列表通过。广播域小了ARP 广播和 DHCP 广播的影响面也跟着小——这也是为什么大二层机房出事时先查 VLAN 划分是否过宽比查单台服务器更有效。3. 系统层落地磁盘、分区与挂载的完整闭环3.1 从裸盘到可用目录fdisk、mkfs、mount 三步第 26 问给了/dev/sdb挂到/data的流程方向正确但有个细节值得商榷MBR 分区表最多 4 个主分区题目用「扩展分区 逻辑分区」的方式分出/dev/sdb5逻辑分区编号从 5 开始。实际生产里如果盘大于 2TBMBR 就不够用了得用 GPTparted或gdisk。小于 2TB 的场景下面的流程可以照抄# 1. 分区n 新建e 扩展l 逻辑w 写入 fdisk /dev/sdb # 2. 格式化ext4 是通用选择数据库盘通常另做考量 mkfs.ext4 /dev/sdb5 # 3. 建挂载点并挂载 mkdir -p /data mount /dev/sdb5 /data # 4. 验证 df -hT | grep /data lsblk参数说明mkfs.ext4的-F可以强制格式化已存在文件系统的设备慎用mount的-o noatime在日志类盘上能减少元数据写入。df -hT的-T会显示文件系统类型比单看df -h更直观。3.2 fstab 开机自动挂载与 UUID 写法题目第 4 步往/etc/fstab加/dev/sdb5 /data ext4 defaults 0 0这写法能用但设备名在增删磁盘后可能漂移sdb变成sdc一漂移开机就进 emergency mode。我一般用 UUID# 查出分区的 UUID blkid /dev/sdb5 # 输出示例/dev/sdb5: UUIDa1b2c3d4-... TYPEext4然后 fstab 里写成UUIDa1b2c3d4-... /data ext4 defaults,noatime 0 0最后两个字段第一个0是 dump 备份标志第二个0是 fsck 检查顺序根分区通常写1其他写2或0。改完 fstab 一定要先mount -a验证别等重启才发现写错那时候只能进单用户模式救。3.3 磁盘与 CPU、内存信息的采集命令第 21 问列了一串采集命令这些是机房巡检脚本的骨架值得整理成可复用的片段cat /etc/redhat-release # 发行版版本 uname -a # 内核版本与架构 free -m # 内存-m 以 MB 显示 fdisk -l # 磁盘与分区 cat /proc/cpuinfo | grep physical id | sort | uniq | wc -l # 物理 CPU 颗数 cat /proc/cpuinfo | grep cores | uniq # 每颗核心数逻辑说明/proc/cpuinfo里每个逻辑核都有一条记录physical id去重后是物理 CPU 颗数cpu cores是单颗的核心数两者相乘再乘以超线程系数才是nproc看到的逻辑核数量。为什么面试官爱问这几个命令——因为报了「CPU 8 核」但业务跑满你得快速判断是 8 颗单核还是 4 颗双核扩容和调优的方向不一样。注意lsblk比fdisk -l更适合快速看盘它不会因为分区表异常而卡住巡检脚本里优先用。4. 安全事件死亡之 ping、流量攻击与 CC 攻击的区分4.1 死亡之 ping 的协议层原理第 4 问把死亡之 ping 归为 DOS 攻击归类没问题原理可以讲得更准一点。早期 TCP/IP 实现允许 IP 分片重组后的总长度超过 65535 字节的上限攻击者发送大量分片接收端在重组缓冲区时溢出导致内核崩溃或重启。现代内核已经修复了这个溢出问题所以现在发死亡之 ping 更多是消耗带宽而不是直接打崩系统。这也解释了为什么原答案强调「多个 IP 同时发起内存多大都扛不住」——它描述的是流量耗尽的场景和早期的协议漏洞是两个层面。判定上服务器侧可以看有没有大量 ICMP 分片# 按协议统计流量观察 ICMP 占比是否异常 tcpdump -i eth0 -nn icmp and greater 1000 -c 100greater 1000过滤长度大于 1000 字节的包正常情况下 ping 的默认包是 56 或 64 字节出现大量大包基本不正常。4.2 流量攻击与 CC 攻击的资源消耗差异原题扩展部分把两者区别讲清楚了用一句运维现场的话概括流量攻击打的是带宽CC 攻击打的是 CPU 和连接数。对应的排查方向完全不同——前者看网卡出入流量后者看 Web 服务的连接状态和进程 CPU 占用。# 看实时带宽单位 bit/s sar -n DEV 1 5 # 看 Web 连接状态分布ESTABLISHED 突增常见于 CC ss -ant | awk {print $1} | sort | uniq -c | sort -rn # 按来源 IP 统计连接数找出单个 IP 的高频访问 ss -ant | awk NR1{print $5} | cut -d: -f1 | sort | uniq -c | sort -rn | head -20参数说明ss -ant的-a全部套接字-n不解析服务名-t只看 TCP。CC 攻击的特征是单个或少量 IP 保持大量长连接且请求的是动态页面MySQL 查询密集所以还得结合SHOW PROCESSLIST看数据库侧是否有大量慢查询堆积。4.3 代理与反向代理的适用场景边界原题扩展第 1 问涉及代理与反向代理这部分只讨论架构层面的用途正向代理隐藏的是客户端身份浏览器配置代理后服务端只看到代理的 IP反向代理隐藏的是服务端结构客户端只知道入口地址后端有多少台应用服务器由 Nginx 或类似组件转发同时可以叠加负载均衡和缓存。企业里常见的部署形态是 Nginx 做七层入口按location或 upstream 分发到 Tomcat 池静态资源直接由 Nginx 返回动态请求才落到后端。# Nginx 反向代理最小配置示意 location /api/ { proxy_pass http://backend_pool; # 指向 upstream 名称 proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; # 让后端拿到真实客户端 IP }X-Real-IP这个头很关键不设置的话后端应用日志里全是 Nginx 的内网 IP排查访问异常时会彻底失去线索。5. 云防护回源判定与一套可复用的应急排查顺序原题第 11 问用流量角度区分「开启云防护」和「开启回源」这个点在实际值班里比想象中重要。开启云防护时域名的解析结果指向防护节点流量先进清洗集群再回源源站看到的来源 IP 是防护节点的地址段开启回源时解析直接指向源站流量不经过防护源站直接承受全部请求。判断当前处于哪种状态最直接的办法是看解析# 查看域名当前解析 dig short example.com # 对比源站真实 IP若不一致说明走了防护节点 dig short origin.example.com如果解析结果是防护厂商的地址段而源站日志里出现了大量非防护段的来源 IP说明有攻击者绕过了防护直连源站——这时候要做的是在源站防火墙或安全组上只放行防护节点的网段把绕过路径堵掉而不是急着在源站上装一堆防护软件。这个判断顺序经常被倒过来做先装软件后看流量结果白忙半天。另一个容易被忽略的细节是回源状态的切换时机。业务做活动前把域名切到直连源站本想减少一层转发降低延迟结果源站带宽被打满。稳妥的做法是切之前先压测源站出口带宽和 Nginx 的worker_connections上限确认扛得住再切。至于应急排查顺序我在机房值班时一般按这个链条走先ping和tcping确认网络可达性再ss和netstat确认端口监听接着看top/vmstat判断是 CPU、内存还是 IO 瓶颈最后才去翻应用日志和数据库慢查询。把这套顺序和前面几章的 TTL、ARP、磁盘挂载命令接起来面试题里的每一条答案才真正变成能上手的东西。本文还有配套的精品资源点击获取
IDC运维面试题：从TTL、ARP到磁盘挂载与云防护回源排查
简介面向IDC运维岗位求职者与初级运维人员的基础技能测试题及参考答案以单个PDF文档呈现。内容紧扣机房与服务器日常运维场景涵盖Windows远程桌面与Linux SSH登录、HTTP 80与MySQL 3306等常用端口、交换机与路由器的OSI层级、VLAN与NAT作用、RAID 0/1/5/10级别对比、NTFS与EXT4文件系统差异。同时涉及死亡之ping攻击原理、tracert排障命令、ARP与MAC绑定、Linux目录结构与虚拟内存、LAMP与WAMP架构、MBR与GRUB引导关系以及yum安装、系统信息查看等实操要点便于梳理知识盲区、模拟自测并复盘答题思路。资源包含1个PDF文件约323KB篇幅紧凑便于打印或随身翻阅。已有1463人学习下载适合面试前突击复习与查漏补缺。1. 一份 IDC 运维面试题暴露的是排查链条而不是背诵量拿到这份《IDC 运维工程师面试题及其答案.pdf》的人第一反应往往是「这题挺基础」。Windows 远程桌面走 3389、Linux 走 SSHMySQL 监听 3306、SQLServer 监听 1433交换机工作在 OSI 第二层——这些确实属于入门知识。但真正做过 IDC 机房运维的人会注意到这份题里藏着一条完整的排查链条从端口定位服务从 TTL 判断链路从 RAID 级别推断故障域从 ARP 表判断二层异常最后落到磁盘分区与挂载。它适合两类人准备初级运维工程师面试的求职者以及刚接手机房巡检、需要把零散知识点串成工作流的在职人员。PDF 本身是题目加答案的形态光背答案应付不了现场——面试官一句「你怎么确认是攻击还是硬件抖动」就把背诵型的候选人筛掉了。下面的内容按「网络层判断 → 系统层落地 → 安全事件与容灾」的顺序展开把每道题还原成可以敲的命令和可以复现的排错路径。2. 网络层基础TTL、ARP 与 VLAN 的实际判断方式2.1 从 TTL 反推对端系统与链路跳数题目第 25 问只问到 TTL 是「最大跳数」但运维现场用得更多的是从 TTL 初值反推对端操作系统。IP 包每经过一个路由器 TTL 减 1而不同系统的默认初值不同常见做法是按初值对齐判断。操作系统TTL 默认初值观察到的典型值Linux / Unix6464、63、62…Windows128128、127、125…部分网络设备255255、254…一条命令就能验证# -c 指定发包次数避免无限 ping 阻塞脚本 ping -c 4 192.168.1.1 # 若返回 ttl63说明初值 64 且中途经过 1 跳路由器基本可判定对端为 Linux参数说明-c控制次数Windows 下对应的是-n。如果是跨公网排查收到Request timed out时不要直接判定对端宕机先看tracertWindows或tracerouteLinux在哪一跳断掉。tracert依赖 ICMP 超时报文如果中间设备禁了 ICMP会出现连续的* * *这时换tcping或直接用nc -vz host port测端口反而更可靠。提示TTL 判断法只在没有中间设备改写 TTL 的前提下成立部分防火墙会重置 TTL别把它当成绝对证据。2.2 ARP 表与 IP-MAC 绑定的操作细节原题里给了arp -s 00-30-48-CB-F5-AC这样一行但这条命令本身是不完整的——arp -s的标准语法是「IP 在前、MAC 在后」题面把顺序写反了实测会直接报错或绑不上。Windows 下正确的静态绑定写法# 语法arp -s IP MAC arp -s 192.168.1.100 00-30-48-CB-F5-AC # 查看绑定结果 arp -a # 删除错误绑定 arp -d 192.168.1.100Linux 下没有arp -s这种持久化能力常见做法是用ip neigh临时添加sudo ip neigh add 192.168.1.100 lladdr 00:30:48:cb:f5:ac dev eth0 nud permanent ip neigh show注意nud permanent表示这条邻居表项不会老化但重启即失效。要持久化得写进网卡配置或开机脚本。ARP 攻击的判定也在这里如果arp -a里同一 MAC 对应了多个 IP或者网关的 MAC 突然变化基本可以确认局域网内有人在伪造 ARP 响应。原题第 27 问的答案是对的但现场处置要补一步——在接入交换机上查该 MAC 落在哪个端口# 交换机上根据 MAC 定位端口不同品牌命令不同以通用写法示意 show mac address-table address 00-30-48-CB-F5-AC拿到端口号才能拔线或关闭端口否则只在服务器上删 ARP 表项攻击流量下一轮又回来了。2.3 VLAN 划分与冲突域、广播域的对应关系第 15 问的标准答案是「VLAN 可以隔离冲突域和广播域」这句话需要拆开看交换机每个端口本身就是独立的冲突域VLAN 真正隔离的是广播域。所以更严谨的表述是「VLAN 划分广播域端口划分冲突域」。面试时按原答案说通常不会扣分但如果面试官追问答得准确是加分项。配置层面一个典型的接入端口划分# Cisco 风格Access 口加入指定 VLAN interface GigabitEthernet0/1 switchport mode access switchport access vlan 20mode access表示这个口只承载一个 VLAN 的流量接终端设备用如果要跑多个 VLAN 到另一台交换机或防火墙得用switchport mode trunk并允许 VLAN 列表通过。广播域小了ARP 广播和 DHCP 广播的影响面也跟着小——这也是为什么大二层机房出事时先查 VLAN 划分是否过宽比查单台服务器更有效。3. 系统层落地磁盘、分区与挂载的完整闭环3.1 从裸盘到可用目录fdisk、mkfs、mount 三步第 26 问给了/dev/sdb挂到/data的流程方向正确但有个细节值得商榷MBR 分区表最多 4 个主分区题目用「扩展分区 逻辑分区」的方式分出/dev/sdb5逻辑分区编号从 5 开始。实际生产里如果盘大于 2TBMBR 就不够用了得用 GPTparted或gdisk。小于 2TB 的场景下面的流程可以照抄# 1. 分区n 新建e 扩展l 逻辑w 写入 fdisk /dev/sdb # 2. 格式化ext4 是通用选择数据库盘通常另做考量 mkfs.ext4 /dev/sdb5 # 3. 建挂载点并挂载 mkdir -p /data mount /dev/sdb5 /data # 4. 验证 df -hT | grep /data lsblk参数说明mkfs.ext4的-F可以强制格式化已存在文件系统的设备慎用mount的-o noatime在日志类盘上能减少元数据写入。df -hT的-T会显示文件系统类型比单看df -h更直观。3.2 fstab 开机自动挂载与 UUID 写法题目第 4 步往/etc/fstab加/dev/sdb5 /data ext4 defaults 0 0这写法能用但设备名在增删磁盘后可能漂移sdb变成sdc一漂移开机就进 emergency mode。我一般用 UUID# 查出分区的 UUID blkid /dev/sdb5 # 输出示例/dev/sdb5: UUIDa1b2c3d4-... TYPEext4然后 fstab 里写成UUIDa1b2c3d4-... /data ext4 defaults,noatime 0 0最后两个字段第一个0是 dump 备份标志第二个0是 fsck 检查顺序根分区通常写1其他写2或0。改完 fstab 一定要先mount -a验证别等重启才发现写错那时候只能进单用户模式救。3.3 磁盘与 CPU、内存信息的采集命令第 21 问列了一串采集命令这些是机房巡检脚本的骨架值得整理成可复用的片段cat /etc/redhat-release # 发行版版本 uname -a # 内核版本与架构 free -m # 内存-m 以 MB 显示 fdisk -l # 磁盘与分区 cat /proc/cpuinfo | grep physical id | sort | uniq | wc -l # 物理 CPU 颗数 cat /proc/cpuinfo | grep cores | uniq # 每颗核心数逻辑说明/proc/cpuinfo里每个逻辑核都有一条记录physical id去重后是物理 CPU 颗数cpu cores是单颗的核心数两者相乘再乘以超线程系数才是nproc看到的逻辑核数量。为什么面试官爱问这几个命令——因为报了「CPU 8 核」但业务跑满你得快速判断是 8 颗单核还是 4 颗双核扩容和调优的方向不一样。注意lsblk比fdisk -l更适合快速看盘它不会因为分区表异常而卡住巡检脚本里优先用。4. 安全事件死亡之 ping、流量攻击与 CC 攻击的区分4.1 死亡之 ping 的协议层原理第 4 问把死亡之 ping 归为 DOS 攻击归类没问题原理可以讲得更准一点。早期 TCP/IP 实现允许 IP 分片重组后的总长度超过 65535 字节的上限攻击者发送大量分片接收端在重组缓冲区时溢出导致内核崩溃或重启。现代内核已经修复了这个溢出问题所以现在发死亡之 ping 更多是消耗带宽而不是直接打崩系统。这也解释了为什么原答案强调「多个 IP 同时发起内存多大都扛不住」——它描述的是流量耗尽的场景和早期的协议漏洞是两个层面。判定上服务器侧可以看有没有大量 ICMP 分片# 按协议统计流量观察 ICMP 占比是否异常 tcpdump -i eth0 -nn icmp and greater 1000 -c 100greater 1000过滤长度大于 1000 字节的包正常情况下 ping 的默认包是 56 或 64 字节出现大量大包基本不正常。4.2 流量攻击与 CC 攻击的资源消耗差异原题扩展部分把两者区别讲清楚了用一句运维现场的话概括流量攻击打的是带宽CC 攻击打的是 CPU 和连接数。对应的排查方向完全不同——前者看网卡出入流量后者看 Web 服务的连接状态和进程 CPU 占用。# 看实时带宽单位 bit/s sar -n DEV 1 5 # 看 Web 连接状态分布ESTABLISHED 突增常见于 CC ss -ant | awk {print $1} | sort | uniq -c | sort -rn # 按来源 IP 统计连接数找出单个 IP 的高频访问 ss -ant | awk NR1{print $5} | cut -d: -f1 | sort | uniq -c | sort -rn | head -20参数说明ss -ant的-a全部套接字-n不解析服务名-t只看 TCP。CC 攻击的特征是单个或少量 IP 保持大量长连接且请求的是动态页面MySQL 查询密集所以还得结合SHOW PROCESSLIST看数据库侧是否有大量慢查询堆积。4.3 代理与反向代理的适用场景边界原题扩展第 1 问涉及代理与反向代理这部分只讨论架构层面的用途正向代理隐藏的是客户端身份浏览器配置代理后服务端只看到代理的 IP反向代理隐藏的是服务端结构客户端只知道入口地址后端有多少台应用服务器由 Nginx 或类似组件转发同时可以叠加负载均衡和缓存。企业里常见的部署形态是 Nginx 做七层入口按location或 upstream 分发到 Tomcat 池静态资源直接由 Nginx 返回动态请求才落到后端。# Nginx 反向代理最小配置示意 location /api/ { proxy_pass http://backend_pool; # 指向 upstream 名称 proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; # 让后端拿到真实客户端 IP }X-Real-IP这个头很关键不设置的话后端应用日志里全是 Nginx 的内网 IP排查访问异常时会彻底失去线索。5. 云防护回源判定与一套可复用的应急排查顺序原题第 11 问用流量角度区分「开启云防护」和「开启回源」这个点在实际值班里比想象中重要。开启云防护时域名的解析结果指向防护节点流量先进清洗集群再回源源站看到的来源 IP 是防护节点的地址段开启回源时解析直接指向源站流量不经过防护源站直接承受全部请求。判断当前处于哪种状态最直接的办法是看解析# 查看域名当前解析 dig short example.com # 对比源站真实 IP若不一致说明走了防护节点 dig short origin.example.com如果解析结果是防护厂商的地址段而源站日志里出现了大量非防护段的来源 IP说明有攻击者绕过了防护直连源站——这时候要做的是在源站防火墙或安全组上只放行防护节点的网段把绕过路径堵掉而不是急着在源站上装一堆防护软件。这个判断顺序经常被倒过来做先装软件后看流量结果白忙半天。另一个容易被忽略的细节是回源状态的切换时机。业务做活动前把域名切到直连源站本想减少一层转发降低延迟结果源站带宽被打满。稳妥的做法是切之前先压测源站出口带宽和 Nginx 的worker_connections上限确认扛得住再切。至于应急排查顺序我在机房值班时一般按这个链条走先ping和tcping确认网络可达性再ss和netstat确认端口监听接着看top/vmstat判断是 CPU、内存还是 IO 瓶颈最后才去翻应用日志和数据库慢查询。把这套顺序和前面几章的 TTL、ARP、磁盘挂载命令接起来面试题里的每一条答案才真正变成能上手的东西。本文还有配套的精品资源点击获取