建站新手必避的7个运维坑：第5个90%人忽略

　　跟老板拍桌子那天是去年二月，下午三点零七分——我盯着监控告警弹窗里那个飘红的 502，手边Lighthouse跑分截图发到群里三十七分钟，没人回。前端小王正蹲在茶水间换滤芯，说旧的堵了；PM老张在隔壁会议室讲“首屏情感化加载动效”，声音穿透两道玻璃门还带混响。我抄起键盘删掉第七次重试的 curl 命令，突然意识到：这根本不是 DNS 解析慢，是 certbot 每次 renew 都卡在 post-hook 里没触发 reload nginx ——可他们连 nginx -t 都没敲过，光盯着那串绿色的“Success”乐呵。

　　第5个坑？就是 HTTPS 自动续期不验证 reload 成功这件事。90%人忽略，不是因为他们蠢，是优胜劣汰筛得太狠——活下来的早把 certbot --dry-run 当成玄学仪式，续上了就敢关网页；挂了？那就等用户打电话来问“为啥点支付跳回登录页”。我原以为只是 cron 日志没写全，结果翻了三天日志才发现：post-hook 脚本里那行 systemctl reload nginx 实际上被一个错位的 && 给吞掉了，前一个 chmod 失败后整条链直接静音退出，而 certbot 就当它干完了。这个我敢打包票：你查 /var/log/letsencrypt/le.log，搜 “renewal:” 后面跟着的 “Hook command” 执行时间戳，再比对 nginx 的 access.log 里最后一条 200 时间——差四十八小时。不信你现在去翻。

　　桌面那个没关的录屏，从昨天凌晨两点十六分就开始了，还在录。背景音里有后端老李反复念叨“加个熔断吧加个熔断吧”，但没人理他，因为大家全在改 header 字段塞 X-Frame-Options。谁去倒水？是实习生小周，穿蓝卫衣那个，他刚把烧水壶拎走，我就看见他手机屏幕亮着——是淘宝页面，搜“nginx ssl_renegotiation on 还能买吗”。这种问题根本不该存在，可它存在了，还活了三个月。优胜劣汰，淘汰的从来不是技术，是那个敢问“reload 到底有没有生效”的人。

　　再说个细节：上周五我们查 CDN 账单，发现某台边缘节点每小时报三百七十二 KB 的 TLS handshake over head，不多，但持续八天。运维同事说“估计是爬虫试探”，我扒了 pcap，结果是客户自己写的微信小程序，每次冷启动都硬塞一套完整的 OCSP stapling 流程进去，连 cache-control 都没设。我说要不要给它加个 ocsp_stapling off，他说“怕影响其他域名”，于是我们在配置里用 map $host 来开关 stapling——现在那段 map 已经有十七行了，第七行还注释着“此处为兼容 v1.2.3 beta 版”，而 beta 版三个月前就下线了。这种东西留着，不是因为有用，是因为删它比修它风险大。所以啊，续期脚本不校验 reload，和 map 里养着死分支，本质都是同一块硬盘上的两个坏道。

文章配图，仅供参考

　　我上次见一个真正在意这个事的人，是上个月杭州那边外包团队的 QA，女的，姓陈。她提了个 PR，就在 post-hook 最后一行硬加了 nginx -t && nginx -s reload || echo "RELOAD FAILED" >> /tmp/certfail.log。PR 描述写的是：“别让证书续上了但服务还跪着，像去年十月那样。”——去年十月，我们整个支付链路崩了六分四十三秒，原因是证书确实续了，nginx 却还用着老私钥，因为 reload 前缺个 kill -USR2。这个我说不准，因为当时值班表显示是我，但我记得那天下午我在修打印机，墨盒卡住了，反复推拉三次才听见咔哒声。所以到底谁漏看了 reload 日志？不重要。重要的是，那个咔哒声之后，我点了两次重启，没点第三次。

　　对了，对面工程师换了一根充电线——Type-C 转 Lightning，银色那根，插进 MacBook 后风扇转速立刻降了两百 RPM。他说旧线电阻大，供电不稳。我信。就像我信，很多续期失败的 case，根本不是证书问题，是 crond 起不来、或者 /tmp 空间满了、或者 systemd 里 LimitNOFILE 设太小导致 certbot fork 失败……可没人看 systemctl status certbot.timer，只顾着重新跑 certbot certonly。这就是为什么我要说第5个坑最恶——它不显形，不报错，不打脸，它就静静躺在 reload 之后那半秒空白里，等某个周五晚九点用户准备付款时，把你的 SLA 值轻轻掰弯一点。优胜劣汰，淘汰的不是代码，是那个愿意多敲一次 nginx -s status 的人。

　　下一步？你现在立刻开终端，cd /etc/letsencrypt/renewal/，找任意一个 .conf，打开它，在 `post_hook = ` 后面补上这三行：
　　nginx -t && nginx -s reload || { echo "$(date): reload failed" >> /var/log/letsencrypt/reload_fail.log; exit 1; }
　　补完不要急着 reload cron，先看看 /var/log/letsencrypt/reload_fail.log 是否存在、是否可写、是否有权限写——对，就现在。别等下次续期。
　　（我手边这杯咖啡凉了，但还没喝。）

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!