Команды Linux в Debian и Ubuntu: полное руководство от новичка до системного и сетевого администратора

Как устроен терминал и синтаксис команд

Терминал показывает текстовый интерфейс, а командная оболочка shell разбирает введенную строку и запускает программы. В Debian и Ubuntu обычно используется Bash. Пользователь может установить Zsh, Fish или другую оболочку, но базовые команды Linux от этого не меняются.

Общая форма:

команда [параметры] [аргументы]

Регистр имеет значение

File.txt, file.txt и FILE.TXT являются разными именами.

Абсолютные и относительные пути

cd /var/log
cd ../log
cd ~/Downloads

• /var/log - абсолютный путь от корня /.
• ../log - относительный путь от текущего каталога.
• ~/Downloads - путь от домашнего каталога.

Специальные обозначения

Кавычки

echo "Домашний каталог: $HOME"
echo 'Домашний каталог: $HOME'
touch "Новый файл.txt"

В двойных кавычках переменные раскрываются. В одинарных кавычках содержимое обычно передается буквально. Кавычки также защищают пробелы в именах файлов.

Полезные сочетания клавиш

История, переменные и псевдонимы

Как получать справку и находить команды

Администратор не обязан помнить все параметры. Важно быстро открыть правильную документацию.

В man поиск выполняется клавишей /, следующий результат - n, предыдущий - N, выход - q.

Одинаковое имя может встречаться в разных разделах. Например, passwd(1) - команда смены пароля, а passwd(5) - формат файла /etc/passwd.

man 1 passwd
man 5 passwd

Файловая система Linux и основные каталоги

Linux использует единое дерево каталогов с корнем /. Отдельный диск, сетевой ресурс или флешка подключаются в точку этого дерева.

Перед изменением системной конфигурации создавайте копию, проверяйте синтаксис штатной командой сервиса и держите открытой вторую SSH-сессию. Особенно это важно для сети, SSH и firewall.

Навигация, файлы и каталоги

Безопасное удаление:

rm -- file-with-strange-name
rm -i important-file
find /tmp/cache -type f -mtime +30 -print
# После проверки списка:
find /tmp/cache -type f -mtime +30 -delete

Двойной дефис -- завершает список параметров и защищает от имени файла, начинающегося с дефиса.

Просмотр и редактирование файлов

Минимум для Nano:

• Ctrl+O - сохранить.
• Ctrl+X - выйти.
• Ctrl+W - поиск.
• Alt+U - отменить.

Минимум для Vim:

• i - режим ввода.
• Esc - командный режим.
• :w - сохранить.
• :q - выйти.
• :wq - сохранить и выйти.
• :q! - выйти без сохранения.

Потоки, перенаправления и конвейеры

У команды обычно есть стандартный ввод stdin, обычный вывод stdout и поток ошибок stderr.

| Оператор | Действие | Пример | |---|---|---| | > | Записать stdout с перезаписью | ip route > routes.txt | | >> | Добавить stdout в конец | date >> events.log | | < | Передать файл во вход | sort < names.txt | | 2> | Записать stderr | find / -name test 2> errors.log | | 2>&1 | stderr туда же, куда stdout | command > all.log 2>&1 | | | | Передать вывод следующей программе | ps aux \| grep nginx | | tee | Показать и записать | ip -br a \| tee network.txt | | && | Следующая команда только при успехе | apt update && apt upgrade | | || | Следующая команда только при ошибке | ping -c 1 host || echo fail | | ; | Последовательное выполнение | date; uptime | | $() | Подставить вывод команды | echo "$(uname -r)" | | () | Группа в подоболочке | (cd /tmp && ls) | | {} | Группа в текущей оболочке | { date; uptime; } > report.txt |

Почему это не работает:

sudo echo "value" > /etc/example.conf

Перенаправление выполняет оболочка обычного пользователя. Правильный вариант:

echo "value" | sudo tee /etc/example.conf
echo "next line" | sudo tee -a /etc/example.conf

Поиск и обработка текста

| Команда | Назначение | Пример | |---|---|---| | find | Поиск по имени, типу, размеру и времени | find /var/log -type f -name '*.log' | | locate | Быстрый поиск по базе | locate sshd_config | | updatedb | Обновить базу locate | sudo updatedb | | grep | Поиск строк | grep 'error' app.log | | grep -R | Рекурсивный поиск | grep -Rni 'ListenAddress' /etc/ssh | | grep -E | Расширенные регулярные выражения | grep -E 'error|warning' app.log | | cut | Выбрать поля | cut -d: -f1 /etc/passwd | | sort | Сортировать строки | sort names.txt | | sort -n | Числовая сортировка | sort -n values.txt | | uniq | Убрать или посчитать соседние повторы | sort names \| uniq -c | | tr | Заменить или удалить символы | tr '[:lower:]' '[:upper:]' | | paste | Объединить файлы по столбцам | paste users.txt shells.txt | | sed | Потоковая замена и выбор строк | sed 's/old/new/g' file.txt | | awk | Обработка строк и столбцов | awk -F: '{print $1,$7}' /etc/passwd | | xargs | Превратить ввод в аргументы | find . -print0 \| xargs -0 command | | diff | Различия файлов | diff -u old.conf new.conf | | comm | Сравнить два отсортированных файла | comm -3 a b | | jq | Обработка JSON | curl -s URL \| jq '.' |

Практические примеры find:

find /etc -type f -name '*.conf'
find /var/log -type f -size +100M -print
find ~/Downloads -type f -mtime +30 -print
find . -type f -perm /o+w -print
find . -type f -name '*.tmp' -print0 | xargs -0 rm -f

Перед автоматическим удалением замените действие на -print и проверьте список. Только после этого используйте -delete или xargs rm.

Примеры grep, sed, awk:

grep -Rni --exclude-dir=.git 'password' .
journalctl -u ssh | grep -i 'failed'
sed -n '10,30p' file.txt
sed 's/[[:space:]]\+$//' file.txt
awk '{sum += $1} END {print sum}' numbers.txt
ss -lntp | awk 'NR==1 || /:22|:80|:443/'

Права, владельцы, пользователи и sudo

Каждый файл имеет владельца, группу и права для владельца, группы и остальных.

-rwxr-x--- 1 ivan admins 2048 Jul 15 12:00 script.sh

• r - чтение.
• w - запись.
• x - выполнение для файла или вход в каталог.

Числовая запись chmod

• 4 - чтение.
• 2 - запись.
• 1 - выполнение.

chmod 600 private.key
chmod 640 config.conf
chmod 644 public.txt
chmod 750 script.sh
chmod 755 directory

Символьная запись:

chmod u+x script.sh
chmod g-w file.txt
chmod o-rwx private-directory
chmod u=rw,g=r,o= config.conf

Не используйте chmod 777 как универсальное решение. Права 777 разрешают всем читать, изменять и выполнять объект. Обычно это скрывает неправильного владельца или группу и создает риск подмены данных.

Права на каталог:

• r позволяет увидеть список имен.
• w позволяет создавать и удалять записи при наличии x.
• x позволяет проходить через каталог и обращаться к известным именам.

Для поиска проблемы Permission denied:

id
ls -ld /path /path/to /path/to/file
namei -l /path/to/file
getfacl /path/to/file
findmnt -T /path/to/file

APT, dpkg и управление пакетами в Debian и Ubuntu

APT работает с репозиториями, версиями и зависимостями. dpkg является низкоуровневым инструментом для локальной базы пакетов и файлов DEB. Для обычной работы удобнее apt, для автоматизации чаще используют стабильные интерфейсы apt-get и apt-cache.

Безопасное ежедневное обновление

sudo apt update
apt list --upgradable
sudo apt upgrade
sudo apt autoremove

Команда apt autoremove сначала показывает список. Не подтверждайте удаление автоматически, пока не убедитесь, что среди пакетов нет нужного ядра, драйвера, metapackage или библиотеки, на которую опирается вручную установленное приложение.

Когда применять full-upgrade

apt full-upgrade разрешает APT удалить установленный пакет, если это необходимо для обновления системы в целом. Такой режим полезен при крупных изменениях зависимостей, переходах ядра и обновлении выпуска, но список удаления нужно проверить особенно внимательно.

sudo apt update
sudo apt -s full-upgrade
sudo apt full-upgrade

Параметр -s запускает симуляцию без изменения системы.

Если установка пакетов была прервана

sudo dpkg --audit
sudo dpkg --configure -a
sudo apt --fix-broken install
sudo apt update

Очистка кэша APT

Проверка репозиториев и происхождения пакета

grep -RhsE '^(deb|Types:|URIs:|Suites:|Components:|Signed-By:)'   /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null

apt-cache policy
apt policy package-name

apt для человека, apt-get для скрипта. Вывод apt рассчитан на интерактивный терминал. В автоматизированных сценариях используйте apt-get, проверяйте коды возврата и не добавляйте -y ко всем операциям без контроля списка изменений.

Репозитории Debian, DEB822, firmware и backports

Современный APT понимает традиционный формат sources.list и формат DEB822 с расширением .sources. На новой системе сначала посмотрите, какой формат уже используется, и продолжайте работать в нем.

Проверка версии и кодового имени Debian

cat /etc/os-release
cat /etc/debian_version
lsb_release -a 2>/dev/null || true

Пример Debian Stable в формате DEB822

Types: deb deb-src
URIs: https://deb.debian.org/debian
Suites: trixie trixie-updates
Components: main contrib non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

Types: deb deb-src
URIs: https://security.debian.org/debian-security
Suites: trixie-security
Components: main contrib non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

Компоненты подключайте только при необходимости. main содержит свободные пакеты Debian, contrib зависит от компонентов вне main, non-free-firmware нужен для части прошивок оборудования.

Debian Backports

Backports предоставляет более новые версии отдельных пакетов, перенесенные из следующей ветки и пересобранные для Stable. Не нужно обновлять всю систему из backports.

Types: deb
URIs: https://deb.debian.org/debian
Suites: trixie-backports
Components: main contrib non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

sudo apt update
apt policy package-name
sudo apt install -t trixie-backports package-name

Проверка pinning и приоритетов

apt-cache policy
grep -Rhs . /etc/apt/preferences /etc/apt/preferences.d/ 2>/dev/null

Не заменяйте trixie на testing или unstable ради одного пакета. Такой переход меняет модель всей системы. Для единичного нового пакета сначала рассмотрите backports, контейнер, Flatpak, Snap, официальный vendor-репозиторий или сборку в изолированной среде.

Ubuntu: APT, PPA, Snap и источники программ

Ubuntu использует APT и dpkg так же, как Debian, но имеет собственные репозитории, компоненты, PPA и систему пакетов Snap. Необходимо понимать, из какого источника установлена программа и кто отвечает за ее обновления.

Проверка выпуска Ubuntu

cat /etc/os-release
lsb_release -a
uname -r

Компоненты репозитория Ubuntu

• main - основной набор пакетов с поддержкой Canonical.
• restricted - важное программное обеспечение с ограничениями лицензии, включая часть драйверов.
• universe - большой набор пакетов, поддерживаемый сообществом.
• multiverse - пакеты с юридическими или лицензионными ограничениями.

PPA и сторонние репозитории

PPA не является частью официального архива Ubuntu. Перед подключением проверьте владельца, поддерживаемые выпуски, подпись, частоту обновлений и последствия удаления. Старый PPA часто мешает обновлению Ubuntu на следующий выпуск.

Основные команды Snap

Каналы Snap

snap info package
sudo snap refresh package --channel=latest/stable
sudo snap refresh package --channel=latest/candidate

Для рабочей системы обычно выбирают канал stable. Каналы candidate, beta и edge предназначены для тестирования.

Временная приостановка обновления Snap

sudo snap refresh --hold=24h package
sudo snap refresh --unhold package
snap refresh --time

APT и Snap обновляются независимо. Команда apt upgrade не обновляет snap-пакеты. Snapd выполняет refresh по собственному расписанию. При диагностике версии программы сначала определите способ установки через command -v, snap list и dpkg -S.

Обновление Debian и Ubuntu на новый выпуск

Обновление пакетов внутри текущего выпуска и переход на новый выпуск являются разными операциями. Перед major upgrade требуется актуальная резервная копия, проверка свободного места, сторонних репозиториев, дисков, SSH-доступа и release notes.

Debian: переход между стабильными выпусками

Для Debian нельзя ограничиваться заменой кодового имени в источниках и запуском одной команды. Порядок и известные проблемы меняются от выпуска к выпуску, поэтому основным документом являются Release Notes конкретной версии.

cat /etc/debian_version
cat /etc/os-release
sudo apt update
sudo apt full-upgrade
sudo dpkg --audit
systemctl --failed
df -hT

Ubuntu: do-release-upgrade

Подготовка Ubuntu к обновлению выпуска

sudo apt update
sudo apt full-upgrade
sudo apt autoremove
sudo dpkg --audit
systemctl --failed
df -hT
sudo do-release-upgrade -c

• Проверьте восстановление из резервной копии, а не только наличие backup.
• Отключите или документируйте сторонние PPA и vendor-репозитории.
• Проверьте свободное место в /, /boot и /var.
• На удаленном сервере выполняйте работу в tmux и держите консоль провайдера.
• Проверьте, не используется ли неподдерживаемый interim release.

LTS-to-LTS открывается не сразу. Ubuntu обычно предлагает обновление с одной LTS на следующую после выхода первого point release новой LTS. Параметр -d может обойти часть ограничений, но не рекомендуется для производственной системы.

Архивы, копирование и резервные копии

Правило слеша в rsync:

rsync -a source/ destination/   # содержимое source
rsync -a source destination/    # каталог destination/source

Резервная копия через SSH:

rsync -aHAX --numeric-ids --delete \
  -e ssh /srv/data/ backup@backup-server:/backups/data/

Сначала выполнить проверку:

rsync -aHAX --numeric-ids --delete --dry-run \
  -e ssh /srv/data/ backup@backup-server:/backups/data/

--delete удаляет на приемнике файлы, которых больше нет в источнике. Всегда начинайте с --dry-run.

Запись ISO на флешку:

lsblk -o NAME,SIZE,MODEL,TRAN,MOUNTPOINTS
sudo umount /dev/sdX1
sudo dd if=debian.iso of=/dev/sdX bs=4M status=progress conv=fsync
sync

dd не спрашивает подтверждения. Ошибка в имени устройства может перезаписать системный диск.

Процессы, задания и завершение программ

Сигналы:

Сначала:

kill -TERM 1234

Только если процесс не реагирует:

kill -KILL 1234

SIGKILL не дает процессу сохранить состояние и закрыть файлы.

Информация о системе и оборудовании

Три числа load average отражают среднюю нагрузку примерно за 1, 5 и 15 минут. Их сравнивают с количеством логических CPU, но высокая нагрузка может быть вызвана не только вычислениями, а также ожиданием непрерываемого ввода-вывода.

Диски, разделы, файловые системы и место

Поиск крупных данных:

df -hT
df -i
sudo du -xhd1 / | sort -h
sudo du -xhd1 /var | sort -h
sudo find /var -xdev -type f -size +500M -printf '%s %p\n' | sort -n
sudo lsof +L1

lsof +L1 показывает удаленные файлы, которые продолжают занимать место, пока процесс держит их открытыми.

Монтирование по UUID:

sudo blkid /dev/sdb1
sudo mkdir -p /mnt/data
sudo mount UUID=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx /mnt/data
findmnt /mnt/data

Пример /etc/fstab:

UUID=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx /srv/data ext4 defaults,nofail 0 2

Проверка до перезагрузки:

sudo findmnt --verify
sudo mount -a

Ошибка в /etc/fstab может задержать загрузку или перевести систему в аварийный режим.

Службы systemd и автозагрузка

systemd управляет загрузкой, службами, сокетами, таймерами, mount-объектами и другими unit-файлами.

Правильное изменение готовой службы:

sudo systemctl edit myservice.service

[Service]
Environment="APP_MODE=production"
Restart=on-failure
RestartSec=5s

sudo systemctl daemon-reload
sudo systemctl restart myservice
systemctl status myservice

Пример собственной службы:

[Unit]
Description=Example application
After=network-online.target
Wants=network-online.target

[Service]
Type=simple
User=appuser
Group=appuser
WorkingDirectory=/srv/example
ExecStart=/usr/bin/python3 /srv/example/app.py
Restart=on-failure
RestartSec=5
NoNewPrivileges=yes
PrivateTmp=yes

[Install]
WantedBy=multi-user.target

sudo systemctl daemon-reload
sudo systemctl enable --now example.service
systemctl status example.service
journalctl -u example.service -f

Не запускайте сервис от root без причины. Создайте отдельного пользователя и выдайте только нужные права.

Журналы и диагностика через journalctl

Диагностика службы:

systemctl status service-name --no-pager -l
sudo journalctl -u service-name -b --no-pager
sudo journalctl -u service-name --since '-30 min'
systemctl cat service-name
sudo ss -lntup

Не очищайте активные журналы командой rm. Удаленный открытый файл может продолжать занимать место. Используйте logrotate, настройки приложения или journalctl --vacuum-*.

cron и systemd timers

cron

Формат:

# минута час день_месяца месяц день_недели команда
15 3 * * * /usr/local/sbin/backup.sh >> /var/log/backup.log 2>&1
@reboot /usr/local/bin/start-task.sh

В cron окружение минимальное. Используйте абсолютные пути, явно задавайте PATH и записывайте вывод в журнал.

systemd timer

/etc/systemd/system/backup.service:

[Unit]
Description=Daily backup

[Service]
Type=oneshot
ExecStart=/usr/local/sbin/backup.sh

/etc/systemd/system/backup.timer:

[Unit]
Description=Run daily backup

[Timer]
OnCalendar=*-*-* 03:15:00
Persistent=true
RandomizedDelaySec=10m

[Install]
WantedBy=timers.target

sudo systemctl daemon-reload
sudo systemctl enable --now backup.timer
systemctl list-timers --all
systemctl status backup.timer
journalctl -u backup.service

Persistent=true позволяет выполнить пропущенный запуск после включения. Таймеры systemd удобны, когда нужны зависимости, журналирование и ограничения ресурсов.

Базовые сетевые команды

Четыре ключевые проверки:

ip -br a
ip route
ping -c 4 192.168.1.1
sudo ss -lntup

Временная настройка:

sudo ip link set dev eth0 up
sudo ip addr add 192.168.10.20/24 dev eth0
sudo ip route add default via 192.168.10.1

Команды ip обычно не сохраняются после перезагрузки. Для постоянной конфигурации используйте менеджер сети конкретной системы.

Проверка локальных портов:

sudo ss -lntup
sudo ss -lntp '( sport = :22 or sport = :80 or sport = :443 )'
sudo lsof -nP -iTCP -sTCP:LISTEN

NetworkManager, Wi-Fi и статический IP в Debian и Ubuntu Desktop

На настольных установках Debian и Ubuntu сеть часто управляется NetworkManager. Ubuntu Desktop при этом обычно получает декларативную конфигурацию через Netplan с renderer NetworkManager.

systemctl is-active NetworkManager
nmcli general status
nmcli device status

Подключение к Wi-Fi:

nmcli device wifi list
nmcli --ask device wifi connect "SSID"
nmcli connection show --active

Параметр --ask не оставляет пароль прямо в истории команд.

Ethernet с DHCP:

sudo nmcli connection add type ethernet ifname eth0 con-name lan-dhcp \
  ipv4.method auto ipv6.method auto
sudo nmcli connection up lan-dhcp

Статический IPv4:

sudo nmcli connection add type ethernet ifname eth0 con-name lan-static \
  ipv4.method manual \
  ipv4.addresses 192.168.10.20/24 \
  ipv4.gateway 192.168.10.1 \
  ipv4.dns "192.168.10.1 1.1.1.1" \
  ipv6.method disabled

sudo nmcli connection up lan-static
nmcli -p connection show lan-static
ip -br a
ip route

Изменение профиля:

sudo nmcli connection modify "Wired connection 1" \
  ipv4.method manual \
  ipv4.addresses 192.168.10.20/24 \
  ipv4.gateway 192.168.10.1 \
  ipv4.dns "192.168.10.1 1.1.1.1"

sudo nmcli connection down "Wired connection 1"
sudo nmcli connection up "Wired connection 1"

Изменение адреса, шлюза или профиля через SSH может немедленно оборвать соединение. Подготовьте консольный доступ или автоматический откат.

VLAN через NetworkManager:

sudo nmcli connection add type vlan con-name vlan100 \
  ifname eth0.100 dev eth0 id 100 \
  ipv4.method manual ipv4.addresses 192.168.100.2/24 \
  ipv6.method disabled
sudo nmcli connection up vlan100

Не настраивайте один интерфейс двумя системами. Если интерфейс одновременно описан в /etc/network/interfaces, Netplan, NetworkManager и systemd-networkd, возможны гонки, пропадание адреса и неожиданные маршруты. Сначала определите реального владельца интерфейса через systemctl, nmcli и networkctl.

Netplan, systemd-networkd и ifupdown: постоянная настройка сети

Низкоуровневые команды ip меняют состояние ядра временно. Постоянная конфигурация зависит от сетевого менеджера. В Ubuntu основным декларативным слоем является Netplan. В Debian могут применяться NetworkManager, ifupdown, systemd-networkd или Netplan в облачной среде.

Как определить, кто управляет сетью

systemctl is-active NetworkManager
systemctl is-active systemd-networkd
systemctl is-active networking
networkctl status 2>/dev/null
nmcli device status 2>/dev/null
ls -la /etc/netplan /etc/systemd/network /etc/network/interfaces 2>/dev/null

Ubuntu Netplan: основные команды

DHCP в Ubuntu Server

network:
  version: 2
  renderer: networkd
  ethernets:
    enp1s0:
      dhcp4: true
      dhcp6: true

Статический IPv4, DNS и маршрут по умолчанию

network:
  version: 2
  renderer: networkd
  ethernets:
    enp1s0:
      dhcp4: false
      addresses:
        - 192.168.10.20/24
      nameservers:
        addresses:
          - 192.168.10.1
          - 1.1.1.1
        search:
          - home.lan
      routes:
        - to: default
          via: 192.168.10.1

sudo cp -a /etc/netplan /root/netplan-backup
sudo netplan generate
sudo netplan try
sudo netplan apply
ip -br address
ip route
resolvectl status

VLAN через Netplan

network:
  version: 2
  renderer: networkd
  ethernets:
    enp1s0: {}
  vlans:
    vlan100:
      id: 100
      link: enp1s0
      addresses:
        - 192.168.100.2/24

Bridge через Netplan

network:
  version: 2
  renderer: networkd
  ethernets:
    enp1s0: {}
  bridges:
    br0:
      interfaces:
        - enp1s0
      dhcp4: true
      parameters:
        stp: true
        forward-delay: 4

Debian с systemd-networkd

# /etc/systemd/network/20-wired.network
[Match]
Name=enp1s0

[Network]
Address=192.168.10.30/24
Gateway=192.168.10.1
DNS=192.168.10.1
DNS=1.1.1.1

sudo systemctl enable --now systemd-networkd
networkctl status enp1s0
ip -br a
ip route

Debian с ifupdown

# /etc/network/interfaces
auto lo
iface lo inet loopback

auto enp1s0
iface enp1s0 inet static
    address 192.168.10.30/24
    gateway 192.168.10.1
    dns-nameservers 192.168.10.1 1.1.1.1

Удаленная смена IP. Netplan try снижает риск, но не заменяет консольный доступ. Ошибка в имени интерфейса, VLAN, gateway или firewall может немедленно оборвать SSH.

DNS и поиск проблем с именами

Как отличить DNS от маршрута:

ping -c 3 1.1.1.1
getent hosts example.com
resolvectl status
dig example.com
curl -I https://example.com

• IP доступен, имя нет - вероятна проблема DNS.
• Не доступен шлюз - интерфейс, VLAN, кабель, Wi-Fi или локальный маршрут.
• Шлюз доступен, внешний IP нет - маршрут, NAT, провайдер или firewall.
• DNS работает, HTTPS нет - время, TLS, proxy, MTU, firewall или сервис.

/etc/hosts:

127.0.0.1 localhost
192.168.10.10 nas.home.lan nas

Не делайте /etc/resolv.conf неизменяемым без понимания схемы. Сначала:

readlink -f /etc/resolv.conf
resolvectl status
nmcli connection show --active

Проверка, кто управляет /etc/resolv.conf

readlink -f /etc/resolv.conf
ls -l /etc/resolv.conf
systemctl is-active systemd-resolved
resolvectl status
nmcli dev show | grep -i dns

В Ubuntu systemd-resolved обычно является частью стандартной схемы. В Debian он может быть установлен и включен, но это зависит от выбранной конфигурации. Не заменяйте символическую ссылку /etc/resolv.conf обычным файлом, пока не понимаете, кто должен обновлять DNS.

SSH, ключи и безопасное удаленное управление

SSH обеспечивает зашифрованный вход, выполнение команд, передачу файлов и туннелирование.

Создание Ed25519:

ssh-keygen -t ed25519 -a 100 -C "admin@workstation"
ssh-copy-id user@server
ssh user@server

Закрытый ключ остается на клиенте. Файл .pub можно копировать на сервер. Закрытый ключ защищайте passphrase.

~/.ssh/config:

Host web-prod
    HostName 203.0.113.10
    User admin
    Port 22
    IdentityFile ~/.ssh/id_ed25519
    IdentitiesOnly yes
    ServerAliveInterval 30
    ServerAliveCountMax 3

ssh web-prod
scp backup.tar.gz web-prod:/tmp/

Установка сервера:

sudo apt update
sudo apt install openssh-server
sudo systemctl enable --now ssh
systemctl status ssh
sudo ss -lntp | grep ':22'

Безопасное изменение:

sudo cp -a /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sudo editor /etc/ssh/sshd_config
sudo sshd -t
sudo systemctl reload ssh

Базовые параметры усиления:

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
MaxAuthTries 4
X11Forwarding no

Сначала проверьте вход по ключу во второй независимой сессии. Только затем отключайте пароль. На удаленном сервере нужен резервный способ доступа.

При первом входе сверяйте отпечаток host key через доверенный канал. Не удаляйте запись known_hosts только ради исчезновения предупреждения.

Firewall: nftables в Debian и UFW в Ubuntu

nft управляет правилами Netfilter для фильтрации, NAT и классификации пакетов.

Минимальный firewall для одиночного сервера:

#!/usr/sbin/nft -f

flush ruleset

table inet filter {
    chain input {
        type filter hook input priority 0;
        policy drop;

        iifname "lo" accept
        ct state established,related accept
        ct state invalid drop

        ip protocol icmp accept
        ip6 nexthdr icmpv6 accept

        tcp dport 22 accept
    }

    chain forward {
        type filter hook forward priority 0;
        policy drop;
    }

    chain output {
        type filter hook output priority 0;
        policy accept;
    }
}

sudo cp -a /etc/nftables.conf /etc/nftables.conf.bak
sudo editor /etc/nftables.conf
sudo nft -c -f /etc/nftables.conf
sudo nft -f /etc/nftables.conf
sudo nft list ruleset
sudo systemctl enable --now nftables

До применения разрешите фактический SSH-порт и management-сеть. Firewall способен немедленно отрезать удаленный доступ.

Ограничение SSH подсетью:

ip saddr 192.168.10.0/24 tcp dport 22 accept

Пример NAT:

table ip nat {
    chain postrouting {
        type nat hook postrouting priority srcnat;
        oifname "wan0" ip saddr 192.168.50.0/24 masquerade
    }
}

Включение маршрутизации:

sudo sysctl -w net.ipv4.ip_forward=1
printf '%s\n' 'net.ipv4.ip_forward=1' | sudo tee /etc/sysctl.d/99-router.conf
sudo sysctl --system

Для полноценного маршрутизатора также нужны корректные правила forward.

UFW в Ubuntu

UFW является удобным frontend для host-based firewall. Он упрощает типовые правила, но администратор все равно должен понимать входящий, исходящий и транзитный трафик.

Безопасное включение UFW на удаленном сервере

sudo ufw status verbose
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw enable
sudo ufw status numbered

Сначала разрешите реальный SSH-порт. Профиль OpenSSH обычно разрешает порт 22. Если sshd слушает другой порт, создайте правило для него до ufw enable. Держите вторую SSH-сессию и консоль провайдера.

Можно ли одновременно редактировать UFW и nftables вручную

Технически правила могут сосуществовать, но ручные изменения способны конфликтовать с тем, что генерирует UFW. Выберите один основной способ управления firewall, документируйте исключения и после каждого изменения проверяйте итоговый ruleset.

sudo ufw status verbose
sudo nft list ruleset
sudo ss -lntup

Команды сетевого администратора

tcpdump

sudo tcpdump -i any -nn 'tcp port 443'
sudo tcpdump -i eth0 -nn 'udp port 53'
sudo tcpdump -i eth0 -nn 'host 192.168.10.25 and not port 22'
sudo tcpdump -i eth0 -nn -s 0 -c 500 -w problem.pcap

Nmap для инвентаризации своей сети

nmap -sn 192.168.10.0/24
nmap -sT -p 22,80,443 192.168.10.20
sudo nmap -sS -sV -p 1-1000 192.168.10.20
nmap --reason 192.168.10.20

Используйте Nmap, tcpdump и сетевые и диагностические инструменты только в собственной инфраструктуре или по явно оформленному разрешению.

netcat

nc -vz 192.168.10.20 22
nc -vz example.com 443
printf 'GET / HTTP/1.0\r\nHost: example.com\r\n\r\n' | nc example.com 80

Маршрутизация и policy routing

ip route get 8.8.8.8
ip rule show
ip route show table all
ip -s link show dev eth0
ip -s neigh show

VLAN и bridge через ip

sudo ip link add link eth0 name eth0.100 type vlan id 100
sudo ip link set eth0.100 up
sudo ip addr add 192.168.100.2/24 dev eth0.100

sudo ip link add br0 type bridge
sudo ip link set eth1 master br0
sudo ip link set br0 up
sudo bridge link

Эти изменения временные и обычно исчезают после перезагрузки.

Полезные счетчики:

ip -s link
ss -s
nstat
ethtool -S eth0
cat /proc/net/dev

Основы Bash-скриптов

Bash-скрипт автоматизирует последовательность команд. Начинайте с небольших сценариев, логируйте действия и проверяйте коды возврата.

#!/usr/bin/env bash
set -Eeuo pipefail

readonly BACKUP_DIR="/srv/backups"
readonly SOURCE_DIR="/srv/data"

log() {
    printf '%s %s\n' "$(date --iso-8601=seconds)" "$*"
}

cleanup() {
    log "Завершение скрипта"
}
trap cleanup EXIT

mkdir -p "$BACKUP_DIR"

archive="$BACKUP_DIR/data-$(date +%F-%H%M%S).tar.gz"
tar -czf "$archive" -C "$SOURCE_DIR" .

log "Создан архив: $archive"

• -e - завершиться при необработанной ошибке.
• -u - неизвестная переменная является ошибкой.
• pipefail - ошибка любой команды в конвейере важна.
• trap - обработчик выхода или сигнала.

Аргументы:

#!/usr/bin/env bash

if [[ $# -ne 1 ]]; then
    echo "Использование: $0 <имя-службы>" >&2
    exit 2
fi

service_name="$1"

if systemctl is-active --quiet "$service_name"; then
    echo "$service_name работает"
    exit 0
else
    echo "$service_name не работает" >&2
    exit 1
fi

Условия и циклы:

if [[ -f /etc/os-release ]]; then
    source /etc/os-release
    echo "$PRETTY_NAME"
fi

for file in /var/log/*.log; do
    [[ -e "$file" ]] || continue
    echo "$file"
done

while read -r user shell; do
    printf '%-20s %s\n' "$user" "$shell"
done < <(awk -F: '{print $1, $7}' /etc/passwd)

Проверка:

bash -n script.sh
shellcheck script.sh
chmod +x script.sh
./script.sh

Почти всегда пишите "$variable". Без кавычек пробелы, * и пустые значения способны изменить аргументы.

Особенности Ubuntu: драйверы, cloud-init, Pro, Desktop и Server

Ubuntu добавляет к общей базе Debian несколько собственных административных инструментов. Они особенно заметны на серверах, облачных образах и рабочих станциях с проприетарными драйверами.

ubuntu-drivers и драйверы оборудования

После установки драйвера проверьте сообщения ядра, загруженный модуль и необходимость перезагрузки.

sudo ubuntu-drivers devices
sudo ubuntu-drivers install
sudo reboot
lspci -nnk
sudo journalctl -k -b | grep -iE 'nvidia|amdgpu|firmware|error'

Не устанавливайте драйвер с сайта производителя поверх пакетов Ubuntu без причины. Ручной installer может конфликтовать с DKMS, Secure Boot, обновлениями ядра и пакетным менеджером. Для большинства систем сначала используйте ubuntu-drivers и официальные пакеты репозитория.

Cloud-init

Облачные образы Ubuntu часто получают пользователей, SSH-ключи, hostname, сеть и пакеты через cloud-init. Ручная правка файла может быть перезаписана источником данных при следующей загрузке.

cloud-init status --long
sudo journalctl -u cloud-init -u cloud-config -u cloud-final -b
sudo cat /var/log/cloud-init.log
sudo cat /var/log/cloud-init-output.log

Ubuntu Pro и состояние поддержки

pro status
pro security-status
apt list --upgradable

Наличие Ubuntu Pro зависит от выпуска, подписки и политики организации. Перед включением дополнительных сервисов определите, какие репозитории и обязательства по сопровождению нужны конкретной системе.

Ubuntu Desktop и Ubuntu Server

Команды, которые особенно часто встречаются в Ubuntu

AppArmor в Debian и Ubuntu

AppArmor дополняет обычные права Unix обязательным контролем доступа по профилям приложений. В Ubuntu AppArmor обычно установлен и загружен по умолчанию. В Debian его также можно применять, но фактический набор включенных профилей зависит от установки.

Диагностика отказа AppArmor

sudo aa-status
sudo journalctl -k -g apparmor --since '-30 min'
sudo journalctl | grep -i 'apparmor="DENIED"'
sudo aa-logprof

Права файла и AppArmor проверяются отдельно

Даже если chmod и chown разрешают доступ, AppArmor может его заблокировать. И наоборот, разрешение в профиле AppArmor не отменяет обычные права пользователя, ACL и read-only mount.

Не отключайте AppArmor ради быстрого исправления. Сначала найдите конкретный DENIED, проверьте путь, режим и профиль. Отключение всего LSM убирает дополнительный уровень защиты и обычно не устраняет ошибку конфигурации приложения.

Готовые алгоритмы диагностики

Нет доступа в интернет

ip -br a
ip link
ip route
ip route get 1.1.1.1
ping -c 3 <адрес_шлюза>
ping -c 3 1.1.1.1
getent hosts example.com
resolvectl status
curl -I --connect-timeout 10 https://example.com
sudo nft list ruleset

Порядок рассуждения:

1. Нет link или интерфейс DOWN - кабель, Wi-Fi, драйвер, rfkill, порт коммутатора.
2. Нет адреса - DHCP или профиль NetworkManager.
3. Нет default route - шлюз или policy routing.
4. Шлюз не отвечает - локальная сеть, VLAN, маска, ARP/NDP.
5. Внешний IP работает, имя нет - DNS.
6. DNS работает, TCP 443 нет - firewall, proxy, MTU, провайдер или сервис.

Служба не запускается

systemctl status service --no-pager -l
sudo journalctl -u service -b --no-pager
systemctl cat service
systemctl show service -p User -p Group -p ExecStart -p Environment
sudo ss -lntup
sudo name-of-daemon --test-config
sudo systemctl restart service

Команда проверки зависит от программы:

sudo sshd -t
sudo nginx -t
sudo apache2ctl configtest
sudo nft -c -f /etc/nftables.conf

Закончилось место

df -hT
df -i
sudo du -xhd1 / | sort -h
sudo du -xhd1 /var | sort -h
sudo journalctl --disk-usage
sudo lsof +L1
sudo find /var -xdev -type f -size +1G -printf '%s %p\n' | sort -n

Не удаляйте незнакомые файлы. Сначала определите владельца пакета через dpkg -S, процесс через lsof и штатный способ очистки.

Высокая нагрузка

uptime
top
ps -eo pid,ppid,user,stat,%cpu,%mem,etimes,cmd --sort=-%cpu | head -20
ps -eo pid,ppid,user,stat,%cpu,%mem,etimes,cmd --sort=-%mem | head -20
vmstat 1
free -h
sudo pidstat 1
sudo iostat -xz 1

pidstat и iostat входят в пакет sysstat. Отделяйте CPU, память, swap, дисковый ввод-вывод и сетевое ожидание.

Порт должен слушать, но подключения нет

systemctl status service
sudo ss -lntup
sudo ss -lntp 'sport = :443'
curl -vk https://127.0.0.1/
ip -br a
sudo nft list ruleset
nc -vz server-ip 443
sudo tcpdump -i any -nn 'tcp port 443'

• Порт не слушает - приложение не запущено или ошиблась конфигурация.
• Слушает только 127.0.0.1 - удаленные клиенты не подключатся.
• SYN приходит, ответа нет - локальный firewall или приложение.
• SYN не приходит - маршрут, внешний firewall, NAT, ACL или неверный адрес.

После изменения конфигурации пропал SSH

1. Использовать консоль провайдера, KVM, IPMI или локальный доступ.
2. Проверить ip -br a, ip route и ss -lntp.
3. Выполнить sshd -t.
4. Проверить journalctl -u ssh -b.
5. Проверить nftables и фактический порт.
6. Вернуть резервную копию и выполнить systemctl reload ssh.

Система долго загружается

systemd-analyze
systemd-analyze critical-chain
systemd-analyze blame
systemctl --failed
sudo journalctl -b -p warning..alert
sudo dmesg -T | grep -iE 'error|fail|timeout'

Не создаются файлы, хотя df показывает свободное место

df -hT
df -i
findmnt -T /path
mount | grep ' /path '
dmesg -T | tail -100

Возможные причины: закончились inode, файловая система стала read-only, исчерпана quota, нет прав или повреждена файловая система.

Не монтируется диск

lsblk -f
sudo blkid
sudo dmesg -T | tail -100
sudo fsck -N /dev/sdX1
sudo mount -v /dev/sdX1 /mnt/test

fsck -N показывает, что было бы запущено, но не выполняет проверку. Настоящий fsck обычно запускают на размонтированном разделе.

Опасные команды и типовые ошибки

rm -rf и широкие шаблоны

Рекурсивное удаление не имеет корзины. Опасны пустые переменные, неправильный текущий каталог и пробел в пути.

Плохо:

rm -rf "$DIR"/*

Если DIR неожиданно пуст, последствия могут быть критичными. До удаления проверяйте значение:

: "${DIR:?DIR is not set}"
realpath "$DIR"
find "$DIR" -mindepth 1 -maxdepth 1 -print

dd of=/dev/...

Перезаписывает блочное устройство без диалога. Всегда сверяйте lsblk, модель, размер и транспорт.

mkfs, fdisk, parted

Могут уничтожить структуру раздела. Перед изменением сохраните схему:

sudo sfdisk --dump /dev/sda > sda-partitions.txt
lsblk -f > lsblk-before.txt
sudo blkid > blkid-before.txt

chmod -R 777

Не исправляет архитектуру прав, а открывает запись всем пользователям.

chown -R не на тот каталог

Перед рекурсивным изменением:

pwd
realpath /target
find /target -maxdepth 2 -printf '%u:%g %m %p\n' | head -100

Правка SSH или firewall в единственной сессии

Нужны вторая сессия, проверка синтаксиса и резервный доступ.

curl URL | sh

Запускает удаленный код без предварительной проверки. Безопаснее:

curl -fL URL -o installer.sh
less installer.sh
sha256sum installer.sh
bash installer.sh

Контрольная сумма имеет смысл только при получении эталонного значения по доверенному каналу.

Безусловный apt autoremove -y

Сначала просмотрите список. Нужный пакет мог быть установлен как зависимость. При необходимости:

sudo apt-mark manual package-name

Постоянная работа в root

Одна ошибка в пути или переменной затронет всю систему. Используйте обычную учетную запись и sudo для конкретных действий.

Копирование команд без понимания

Проверяйте:

type command
command -v command
man command
command --help

Краткая шпаргалка

Частые вопросы о Debian, Ubuntu и командах Linux