工程笔记
云成本治理、可观测性、自建部署的一些实践记录。多数文章来自真实环境里的排障与复盘。
-
把 FinOps 拆成两台:分体部署的取舍
数据库与计算分离能降低单点风险,但会把运维复杂度从"一台机器"变成"两台机器 + 一条私网链路"。这里记录我们怎么拆、踩了哪些坑。
-
灰云还是橙云:anycast 路由把你的用户送去了地球另一端
同一台服务器、同一条宽带,访问不同 CDN 域名的耗时能差 20 倍。问题不在网站,在 Cloudflare 分配给你的那一段 anycast IP 被运营商路由到了哪个 PoP。
-
限流键取错:一个被"网络太慢"掩盖的全局额度桶
应用明明按客户端 IP 限流,日志里却只有一个地址。因为请求经过容器端口转发后,TCP 对端永远是网关。链路一快,问题就暴露了。
-
Zabbix trapper 暴露面治理:用白名单替代 AllowKey
10051 端口对全网开放时,每天有近百个 IP 在扫。先把真实的 agent 来源和扫描器区分开,再决定要不要上 PSK。