开门见山说个事。奇安信2020年运维工程师一这套题我在网上刷到过不少人在求答案、求解析但真正把这套题背后的考察逻辑讲透的文章很少。大部分人都盯着“这题选A还是选B”去背结果背完换套题又不会了。我当年备考运维岗的时候吃过这个亏后来面了几家安全厂商的运维岗才慢慢摸清楚这类笔试的出题套路。这套题表面考的是Linux、网络、数据库、脚本这些基本功实际上考的是你有没有“安全运维”的思维。奇安信是做什么的安全公司。它的运维团队维护的不只是服务器的稳定运行还要盯住安全事件、应急响应、日志审计、合规整改这些事情。所以它出题的时候重点看的不是你会不会敲命令而是你遇到问题的时候能不能带着安全视角去分析。这篇文章我就从这套题出发把运维工程师笔试里最高频的几个方向拆开讲。每个方向我会结合2020年前后的技术环境和奇安信这类安全厂商的实际业务场景讲清楚考察重点、做题思路、实操注意点。文章比较长建议先收藏再慢慢看文末我会给一套可以直接照做的复习路线。1. 2020年运维笔试的考察重心从岗位JD反推复习主线先说一个很多人容易忽略的问题。拿到一套题不要急着做题先想清楚一件事出题人想招什么样的人这个想清楚了整张试卷的考点分布你就能猜个七八成。奇安信2020年前后的运维工程师岗位JD一般会写这么几项负责服务器日常运维、故障排查、性能优化负责监控系统搭建和维护配合安全团队做安全加固、漏洞修复参与自动化运维平台建设。把这些JD倒推回笔试题考察主线其实很清晰Linux系统管理、网络基础、Shell脚本能力、常用服务运维、监控与自动化、安全加固和应急响应。这套题之所以被很多人标记为“有难度”恰恰是因为它把安全和运维揉在了一起。普通的互联网公司运维题考到“Nginx 502是什么原因”基本就到头了。但奇安信的题会继续追问“这种情况日志里能看到什么特征”“如果用户反馈的数据包含敏感信息你怎么处理”。这个差异决定了你不能只背命令要理解命令背后的判断逻辑。再补充一个细节。2020年这个时间点很特殊。那一两年容器化已经在运维圈普及了但还没完全覆盖到所有传统企业等保2.0在2019年底正式施行带火了一大批安全合规需求。所以那一两年的运维笔试题有一个明显特点传统Linux运维内容占大头同时开始掺入容器、CI/CD、安全合规的新题。做这套题的时候如果你只盯着老八股不关注新趋势很容易在最后几道大题上丢分。还有个实用的复习技巧。拿到题以后按“基础能力题”“场景排查题”“安全加分题”三类去归类。基础能力题大概占60%左右考的是命令和配置属于送分题要求全对场景排查题占30%考的是思路需要写出排查链路安全加分题占10%左右答对一道就能拉开明显差距。下面我按这个分类逻辑逐块展开。2. Linux系统与Shell脚本笔试里占比最重的拉分项2.1 系统管理高频考点进程、文件、权限一个都不能漏Linux系统管理是运维笔试的绝对主力奇安信这套题也不例外。我见过的版本里Linux相关的题目大概能占到35%到40%核心高频考点集中在进程管理、文件系统、权限控制和系统性能排查这几块。进程管理这块2020年前后的笔试题最喜欢考的是ps和top的配合使用。给你一个线上服务器CPU飙升的场景问你第一步怎么查。标准答案不是直接杀进程而是先用top按CPU占用排序拿到PID再用ps -fp PID查看进程的详细信息确认这个进程是不是预期内的业务进程。如果是个来路不明的进程名运维的第一反应应该是先检查有没有被入侵的迹象而不是急着kill。这个思路在安全厂商的题目里特别吃香因为它的出题人默认你具备“先判断安全性再处理故障”的职业素养。文件系统这块考点集中在df和inode上。很多人处理磁盘满只知道df -h实际上还有一个非常隐蔽的坑inode耗尽。磁盘还有空间但文件创建不出来df -h显示使用率只有60%这时候要去看df -i。2020年那会儿容器产生的大量小文件就是这个问题的典型来源。笔试题如果给了这个场景答题的时候要把“先df -h确认空间再df -i确认inode最后find / -xdev -type f -size 1M定位大文件清理”这条链路写全才是满分答案。权限控制也是必考。除了基础的chmod数字权限、chown属主属组之外建议把setfacl和getfacl也看一眼。2020年前后的笔试题已经开始出现“某个目录需要给多个用户分配不同权限”的场景传统的chmod搞不定这种细粒度控制ACL就是正解。另外umask的作用和临时修改方式也是高频填空记住默认022对应的文件权限是644、目录权限是755即可。2.2 Shell笔试常见陷阱文本处理三剑客是拿分关键Shell脚本能力在笔试题里主要呈现在两类题一类是看脚本写输出一类是给需求写脚本。前者考语法细节后者考逻辑能力想拿高分grep、sed、awk这三样必须玩熟。先说grep2020年那会儿的考题还特别喜欢搭配-E扩展正则来考。给你一个日志文件要求过滤出所有IP地址。正则写grep -Eo ([0-9]{1,3}\.){3}[0-9]{1,3} access.log这个-o参数很重要它只输出匹配的部分而不是整行。很多人知道grep会过滤但不知道-o的存在结果导出的内容里多出一堆无关字段这就是没实操过的表现。sed在这里主要考点是行定位和替换。比如“把配置文件中第5行以#开头的注释去掉”用的是sed -i 5s/^#//。注意-i参数是先备份再替换还是直接原地修改不同版本的sed表现有差异题目如果纠结这点那就是在考GNU sed和BSD sed的区别Linux环境默认GNU版本直接改。面试实战里我习惯先写sed -i.bak再改避免误操作没得回退。awk是这三兄弟里分值最重的也是失分最多的。基本格式awk {print $1}要烂熟于心进阶一点要会用awk -F:指定分隔符。考得最多的是拿awk统计日志里每个IP的访问次数awk {count[$1]} END {for (ip in count) print ip, count[ip]} access.log | sort -k2 -rn | head -10。这道题基本是运维笔试的常青树换着花样考但核心永远是“用数组做统计用sort做排序”。2.3 一段可以直接背下来的监控脚本框架笔试的脚本大题里经常出现“写一个脚本监控系统状态异常时报警”类似题目。这种题分值高但不难答得好不好取决于细节。核心框架是先定义阈值再写检测逻辑最后做报警动作。#!/bin/bash # 简单的CPU负载监控脚本 threshold2.0 monitor_time$(date %Y-%m-%d %H:%M:%S) load$(uptime | awk -Faverage: {print $2} | awk -F, {print $1}) if [ $(echo $load $threshold | bc) -eq 1 ]; then echo $monitor_time 负载异常: $load /var/log/load_monitor.log # 报警动作可以换成mail或者curl触发webhook curl -X POST http://your-monitor-api/alert -d 负载$load fi这段脚本的考点很细。第一bc参与浮点数比较因为[ $load -gt $threshold ]只能比整数第二uptime的load average后面是三个值用awk取第一个第三日志一定要带时间戳否则排查问题的时候对不上时间线第四报警方式别只写一个echo要体现“接入告警系统”的思路。这道题如果是我来做我还会在脚本里加上对top -bn1提取CPU空闲率的判断再配合一条双向判断逻辑避免单指标误报。2019年之后监控告警的潮流是“多指标联动判断”笔试答题时主动体现这个思路就是明显的加分项。3. 网络基础与HTTP排查解决问题的“第一性原理”3.1 网络分层模型在笔试里的考法网络部分是运维笔试的另一个大户占比大概在20%左右。2020年这类题目的典型特征是把网络协议和生产故障场景糅在一起考。单纯背七层模型没有意义要理解“一个请求从用户到服务器每一层发生了什么”。拿最常见的“用户访问网站很慢”这个场景来说。笔试答题的正确姿势是沿着网络分层逐层排查。先从应用层看curl -w里面有个time_starttransfer字段能从客户端角度看到“请求发出去到开始返回内容”的时间这个时间太长说明后端处理慢。接着从传输层看telnet 目标IP 80能不能通、握手时延多少不通就是网络问题通就是服务问题。再从网络层看ping和traceroute能定位是不是跨网络延迟、丢包。2020年常见的坑是云服务器“安全组”规则没放行导致端口不通telnet一下就现原形。这几个命令配合使用就是一套完整的分层排查链路。答题的时候建议按照“先连通性、再时延、再服务状态”的顺序写不要一上来就猜是Nginx配置问题。运维排障最忌讳跳过证据直接猜笔试阅卷人看的就是这个逻辑链是否完整。3.2 curl工具链一条请求背后的全栈信息curl是运维笔试里的神仙工具。一个curl命令能拿到的信息远超想象如果你只拿它来curl -v看一眼就太可惜了。笔试最高频的考法是给你一个接口让你判断为什么返回502。正常思路是先用curl -I拿响应头里的状态码再用curl -v看详细交互过程。如果curl -v显示“connect to upstream failed”问题在后端服务如果显示“Recv failure: Connection reset by peer”多半是后端超时被杀。这些报错信息在笔试里作为选项出现时能不能一眼认出含义差别就是在实操里有没有真的见过。2019年前后HTTP/2逐渐普及2020年部分题目里会问到curl --http2是否启用、HTTP/2多路复用怎么排查。这个问题在运维笔试里算进阶题不会做不代表基础不行但会做就很加分说明你关注协议层更新。我的建议是日常就加个别名alias http2curl --http2 -sI用顺手了自然有感觉。网络排查“第一性原理”说起来很简单数据没到、到了没被处理、处理了没返回每一个节点都有对应的命令和日志。把这句话刻在脑子里笔试遇到的网络场景题基本不会跑偏。4. 高频服务故障题解析Nginx、MySQL、Redis在笔试题里的出题套路4.1 Nginx反向代理、负载均衡的考点锚点奇安信2020运维题里服务类最常考的是Nginx。场景通常是“后端服务正常但通过Nginx访问返回502”问你从哪几个方向排查。标准排查链路是先看Nginx错误日志/var/log/nginx/error.log确认upstream报错信息再确认后端服务进程是否存活、监听端口是否正确最后检查nginx配置里proxy_pass的地址是否能通。这里有一个2020年前后出现频率特别高的坑proxy_pass末尾的斜杠。proxy_pass http://backend和proxy_pass http://backend/行为完全不同后者会把匹配部分的URI替换掉。这个题考查的不是你会不会配而是你知不知道语法差异背后的请求转发逻辑。很多人线上配错了没查出来都是因为对“URI替换规则”理解不到位。另一个高频考点是负载均衡算法。笔试题问“weight加权轮询”“ip_hashIP哈希”“least_conn最少连接”这三种的选择场景标准答案是分发到不同性能的服务器用weight需要会话保持且不想引入Redis的方案用ip_hash但要注意服务器变更会大面积失效长短连接混合场景用least_conn能更好利用后端资源。2020年之前的互联网公司经常把ip_hash作为会话保持的土办法出题人青睐这个考点就是看你了不了解它的弊端。4.2 MySQL备份恢复和慢查询优化占半壁江山MySQL在运维笔试里考两件事数据安全备份与恢复和性能问题慢查询。2020年笔试题还特别喜欢结合一个场景某天凌晨数据库误删了数据你作为运维怎么恢复。这道题的核心是考察你是否理解binlog在恢复链路里的作用。常规回答是先看有没有全量备份用mysqldump或xtrabackup恢复最近一次全备然后利用binlog做时间点恢复Point-in-Time RecoveryPITR。如果出题人再追问“恢复到误删除前1分钟的binlog怎么找”你要会回答用mysqlbinlog --stop-datetime或--stop-position配合--start-position做范围截取而不是把整个binlog一股脑导进去。慢查询的考点分布在慢查询日志的开启和参数上。slow_query_log、long_query_time、slow_query_log_file这三个参数的名字和含义基本是填空送分题。进阶玩法是拿到一条慢SQL问怎么着手优化标准链路是先用EXPLAIN看执行计划重点检查type列和rows列全表扫描的ALL要留意再看key列确认索引是否生效。答题时只要把“explain→看type→看key→加索引→复测”这条链路写清楚基本就是满分。2020年MySQL 8.0已经在生产普及如果笔试提到底层存储引擎记得InnoDB是默认、支持事务和行级锁MyISAM已不是主流。4.3 Redis缓存三兄弟是笔试题的钉子户Redis放在整个运维技能树里笔试题考得最多的就是缓存穿透、缓存击穿、缓存雪崩。这三个概念年年考年年有人分不清。缓存穿透是查一个一定不存在的数据缓存和数据库都没有请求直接打到数据库。解决方案有布隆过滤器、缓存空值。缓存击穿是某个热点key在过期瞬间同时在线的请求全部打向数据库。解决方案是互斥锁、热点key永不过期加逻辑过期时间。缓存雪崩是大量key同一时间过期或Redis服务挂了导致数据库被压垮。解决方案是过期时间加随机值、集群高可用、降级熔断。这三个概念在笔试里通常以场景题出现比如“大促活动前某热点商品突然大量请求同时打到数据库你怎么定位和解决”。答题的时候先说判断依据key过期、大量并发、数据库压力骤增再给解决方案。我自己的经验是回答这类题最重要的一点是“别只给方案要给出落地动作”。比如“用互斥锁”太笼统要说“setnx加锁加锁失败的请求直接返回默认值或等待重试”才具体。5. 监控告警与日志分析从“能用”到“好用”的分水岭5.1 监控系统选型Zabbix还是Prometheus2020年那阵的运维笔试监控类题目的出题方向正在发生明显变化。Zabbix和Prometheus是两个最高频的选项出题人考的不是你只会配哪个而是你有没有分清它们的适用场景。Zabbix适合设备监控有自带的服务发现、模板体系监控网络设备、服务器硬件、温度这些更顺手传统企业用得非常多。Prometheus则是面向云的监控方案它的数据模型是时间序列配合exporter可以监控各种应用层指标跟Kubernetes的结合更是天然优势。2020年容器化加速普及Prometheus的曝光率越来越高笔试里出现“Kubernetes集群监控选哪个方案”的时候答案基本都是Prometheus。答题踩分点在于不要只写“选Prometheus”要把生态组件写出来。Prometheus Grafana做可视化node_exporter收机器指标cAdvisor收容器指标Alertmanager做告警。这套组合写出来阅卷人一眼就知道你是真做过监控体系的不是背概念。5.2 日志排查方法论带着几个“为什么”去看日志日志分析的基础是“从海量信息里定位关键事件”这个能力在笔试题里通常用“日志内容归纳”和“日志分析命令”来考察。排查思路可以总结为“前中后”三段。前是“何时”、定位异常发生的时间窗口中是“何种”、从时间窗口内抓出异常特征错误码、超时、断连、延迟升高后是“为何”、顺着异常特征回溯关联模块的日志。很多人在笔试里写“看错误日志”四个字就完事正确的写法是“先从access.log找高延迟的请求再用grep追踪同一个request_id对应的后端日志最后定位到具体SQL或接口”。2020年那会儿分布式链路追踪正在普及日志里出现trace_id、request_id的次数越来越多。笔试题如果给了多段日志记得顺着同一个ID去串联上下文——这就是“链路追踪”的早期面试形态。另外要顺手掌握几个命令组合grep | sort | uniq -c | sort -rn做频次统计awk {print $NF}截取最后一列时间或状态码tail -f观察实时日志并用grep过滤未知噪音。5.3 自动化运维Ansible的“无代理”优势自动化运维题目在2020年的笔试题里占比明显提升入口基本都是Ansible。它和SaltStack、Puppet最大的区别是无代理架构不需要在目标机器上装agent走SSH即可执行。这个特性决定了它对运维入门很友好也是笔试最喜欢问的知识点。高频考点是Inventory主机清单和Playbook剧本的写法。Inventory里定义一个主机组[web] web1 ansible_host192.168.1.10 web2 ansible_host192.168.1.11 [web:vars] ansible_userroot ansible_ssh_private_key_file/root/.ssh/id_rsaPlaybook里定义“在web组执行nginx重启”这种任务--- - hosts: web tasks: - name: restart nginx service: name: nginx state: restarted笔试如果考“批量修改50台服务器的主机名”回答用Ansible写Playbook完全是高分方向。2020年左右海量云主机管理越来越普遍会自动化批量操作和纯手工一台台登录在运维效率上是两个时代的人。6. 安全加固与等保合规安全厂商运维岗位的差异化加分项6.1 等保2.0给运维带了的硬性要求这部分是奇安信这类安全厂商必考的方向。2019年12月1日等保2.0正式实施合规要求直接和运维工作挂上了钩。运维笔试在出安全题时大概率会考到等保2.0对主机和运维层面的要求。等保2.0对应的标准是GB/T 22239-2019考核关注点包括身份鉴别双因素认证、访问控制最小权限、安全审计日志留存不少于6个月、入侵防范部署HIDS、及时修复漏洞、恶意代码防范防病毒等。和运维最直接相关的动作有服务器密码复杂度策略和登录失败锁定策略、禁用root远程登录或限制登录时间窗口、修改SSH默认端口虽然效果有限、安装主机安全Agent等。2020年各云厂商的主机安全产品就是在等保2.0的驱动下快速普及的。奇安信本身就是做安全的厂商它的运维同学在服务器上部署自家HIDS产品属于常规操作对这块的原理和效应应有更深入的理解。6.2 基础安全加固清单笔试里的“默认动作”安全加固题目在笔试里常以“给一台新上线的CentOS 7服务器做安全加固你会做哪些操作”这种形式出现。如果让我按优先级排这个顺序基本是标准答案。第一账号与认证。设置密码策略vim /etc/login.defs和/etc/security/pwquality.conf设置登录失败锁定/etc/pam.d/system-auth里的pam_tally2模块。重点是密码策略和锁定策略双管齐下缺了一个另一个的作用直接打折扣。第二SSH安全。修改Port、PermitRootLogin no、Protocol 2、禁用空密码、改用密钥登录这几项是2020年前后所有安全运维的“标准动作”也是现在云上服务器的基线要求。第三主机防火墙。直接用firewalld或iptables控制只放行业务端口和管理端口其余全部DROP。第四系统更新与补丁。yum update -y打好安全补丁还要注意禁用不用的服务。第五日志审计。确保rsyslog正常采集日志持久化保存最好对接远程日志服务器防止攻击者清理本机日志。这个清单其实不只在笔试里就是生产环境一把梭的常规操作也是我日常在做的加固流程。写答案的时候加一句“按加固清单逐项完成后还要自查防火墙规则和SSH配置避免加固把自己锁在外面”这句话会让阅卷人觉得你实操过。6.3 安全厂商的运维面试题还可能追问什么作为安全厂商的运维笔试在常规运维题之后一般还会追加几道安全方向的题。常见的有服务器被上传了webshell怎么排查、如何定位异常登录、日志被删了怎么办、发现挖矿进程如何处理。这些题不会太深但能有效区分“有安全意识”和“纯业务运维”两种人。拿“服务器CPU飙高怀疑挖矿”来说我给出的标准解析链路如下。先用top -c查看CPU占用最高的进程拿PID接着ls -l /proc/PID/exe看进程的可执行文件路径能直接在文件系统层面找到它的落脚点然后cat /proc/PID/cmdline和cat /proc/PID/environ能看到启动参数和上下文再检查这个进程的启动项crontab -l、/etc/rc.local、systemctl list-unit-files确认是否是开机自启最后看网络连接ss -antlp确认它在向哪个地址回连。把这条链路作为应急响应处理思路面试题里基本不会出大问题。做安全厂商的运维日常面对的攻击面比普通公司大很多。攻击者拿到任意一台机器的权限后会迅速做内网横向移动而运维的第一个任务就是阻断“立足点”。这个背景下“你的处置动作是不是符合安全流程”比“你能不能解决这个小故障”更重要。这套题的出题人想看的恰恰就是你是不是一个“懂得按安全流程做事的人”。7. 复习路线与实操经验给你一套直接能用的备考计划这是这篇文章最后一块干货。如果你正在备战奇安信或同类安全厂商的运维岗位下面这套复习顺序是我实测有效的按优先级排。系统层面把《鸟哥的Linux私房菜》服务器篇重点章节过一遍尤其是进程、账号、权限、日志、SELinux。不用背整本能熟悉常用命令和错误日志就够。基本功练扎实选择题基本不会丢分。网络层面重点熟悉七层模型的排障映射和curl、telnet、traceroute的日常使用。服务层面按“Nginx → MySQL → Redis → Docker”的顺序搭一遍实验环境把今天提到的故障场景都亲手复现一遍。脚本层面每天手写一个包含grep/sed/awk的小脚本坚持两周Shell部分基本无大碍。安全层面把等保2.0的基本条款和常见安全加固动作过一遍尤其注意“日志留存”与“访问控制”相关的运维对接面。笔试做题的时候有几个注意点。第一审题要看清“线上还是测试环境”线上环境先做限制再处置测试环境快速验证即可。第二多选题拿不准的宁缺毋滥少选不全的得分概率大于选了错误选项。第三大题一定要写流程和命令不要只写给结论。比如问“怎么排查502”你写“重启Nginx”得不了多少分写“先看error.log再确认upstream最后检查后端端口”才是制胜答法。最后分享一个面试之后的小建议。笔试通过的候选人面试时如果有机会尽量多问一句“咱们这边的告警值班流程是几级响应”“安全事件和运维故障怎么划分优先级”。这些问题一方面体现你的主动性另一方面也能让你判断这家公司的运维体系成熟度。投递运维岗位之前尽量做一次“模拟排障练习”——给自己一台干净的Linux机器人为制造几个常见的故障端口占用、磁盘满、服务假死然后用一套完整的排查思路去恢复它。真题做了很多遍之后模拟题的价值大于一切因为真实故障一旦靠链路处理面对新题你会自然带出排查体感而不是硬背答案。这套题的完整解析其实早就超出“答题”的范畴它就是2020年网络安全厂商对运维工程师的一次全面体检。把这套知识体系吃透了再去看任何一家安全厂商的运维岗心里都有底。