-
最可靠、生产可用的方式是用cgroupsv2的cpu.max文件；cgroupsv1的cpu.cfs_quota_us+cpu.cfs_period_us仍可工作，但权限混乱、路径分散、易被systemd覆盖，不建议新系统使用。
-
服务器“不支持IPv6”通常因内核模块未加载、协议栈被禁用或云环境未开通IPv6子网；需先检查sysctlnet.ipv6.conf.all.disable_ipv6值是否为0、ipv6模块是否加载、云平台子网及安全组是否配置IPv6。
-
NFSv4虽默认仅用2049端口，但mountd、nlockmgr、rquotad、status等辅助服务仍依赖RPC机制并默认注册随机端口，导致防火墙策略失效；必须通过/etc/sysconfig/nfs固定各服务端口，并在/etc/modprobe.d/lockd.conf中显式配置lockd模块参数，同时放行rpcbind（111）及所有固定端口。
-
ss比netstat更准更快，因其直接读取内核socket子系统数据，而netstat需解析/proc/net/tcp文本，开销大且易受格式影响；新系统默认不装net-tools，ss是现代首选。
-
Vector安装成功不等于可用，必须正确配置sources与sinks配对，并解决权限、路径、编码等细节问题；推荐apt/dnf用于生产环境，curl脚本适合测试，离线包适用于无网场景。
-
Linux系统DNS配置有五种方法：一、修改/etc/resolv.conf；二、通过NetworkManager配置；三、配置systemd-resolved服务；四、临时设置DNS；五、注意发行版差异、端口冲突、容器及防火墙限制。
-
最稳妥的安装方式是直接用dockerrun启动，因其不依赖系统环境、不污染本地Node/Python版本，且规避了源码构建中常见的lernabootstrap失败、node-gyp编译报错、yarninstall卡死等问题。
-
Linux系统SYN洪水攻击防护需启用tcp_syncookies并调大tcp_max_syn_backlog和somaxconn至65535，缩短tcp_synack_retries至3，禁用危险的tcp_tw_recycle，配合iptables限速及conntrack表容量管控。
-
推荐使用docker-compose部署Umami，因其预编译镜像规避了Prisma引擎下载失败、MySQL8.0认证插件兼容性及Node.js构建依赖等问题，且天然集成数据库、健康检查与服务隔离，启动即用。
-
df和du结果不一致并非bug，因df读取文件系统超级块的已分配块总数，而du逐个遍历文件统计实际占用空间；常见原因包括：1.进程持有已删除文件句柄；2.挂载点独立导致du不跨文件系统统计；3.文件系统预留空间、元数据开销及inode耗尽等。
-
改SSH端口本身不提升安全，仅降低自动化扫描命中率；真正有效的是配合密钥登录、禁用密码认证、防火墙白名单等措施。
-
BBR是Google设计的TCP拥塞控制算法，可提升高带宽高延迟网络性能；需内核≥4.9，通过临时命令、sysctl配置或teddysun脚本启用，并用ss和tc命令验证生效。
-
1.ifconfig用于查看网络接口的基础配置与流量统计，2.ethtool用于检查物理层连接状态与驱动信息，3.结合ip、netstat、sar等工具可获取更全面的网络状态。判断网络接口是否正常需检查链路状态（Linkdetected:yes）、速度与双工模式匹配、错误包数低、丢弃包数低、冲突为0等指标。常见异常包括链路断开、高错误率、速度/双工不匹配、接口DOWN、无IP或IP错误。自动化监控可通过Shell脚本定时检查关键指标并告警，或集成Prometheus+Grafana、Zabbix、ELK等
-
Directus在Linux上需通过npm或Docker启动，不可传统安装；npm方式需Node.jsv18.17+、初始化项目、配置.env（必填ADMIN_EMAIL、ADMIN_PASSWORD、TOKEN_SECRET）后运行npmrunstart；Docker方式推荐生产环境，须显式传入数据库环境变量并确保SQLite文件可写或PostgreSQL数据库已手动创建。
-
Bash内置参数扩展${#string}取长度、${string#pattern}删前缀、${string:offset:length}截取最高效安全：无需fork进程，不惧特殊字符，但变量须已定义，否则作空字符串处理。
