这些 DevOps 命令，已经替我合上了运维手册

过去我的运维手册里写满了零散命令：查磁盘、看端口、翻日志、重启服务、导出备份、回滚镜像。后来我发现，真正高频使用的命令并不多，关键是能不能把它们串成一套稳定、可重复、可审计的流程。手册不是被丢掉，而是被这些命令替代了。

这篇文章不打算做命令大全，而是按真实排障和交付顺序，整理一套可以放进日常工作的 DevOps 命令。它们覆盖主机巡检、日志定位、网络诊断、容器与 Kubernetes、发布回滚、性能压测、安全备份，以及在需要 AI 辅助分析时如何选择 API 接入。文中会给出表格和条件判断，方便直接对照使用。

一、先建立原则：命令要能回答四个问题

一条命令是否值得写进手册，不看它是否冷门，而看它能不能回答四个问题：现在是什么状态，哪里发生了变化，影响范围有多大，如何恢复到稳定版本。围绕这四点，命令才有意义。

原则	关键问题	常用命令	输出价值
可观测	系统是否健康	uptime、free、df、ss、top	判断负载、内存、磁盘、端口
可追踪	最近发生了什么	journalctl、dmesg、docker logs、kubectl logs	找到时间线和错误堆栈
可复现	我能否重复执行	bash 脚本、Ansible、Helm、Terraform	降低手工失误
可回滚	出问题怎么退	git revert、kubectl rollout undo、helm rollback	把故障时间压短

如果只记一条命令，那么先记 journalctl。如果只记一个习惯，那么先记“变更前留快照，变更后看监控”。DevOps 的效率不来自命令数量，而来自命令组合后的确定性。

二、主机巡检：十秒内判断机器状态

登录一台机器后，不要立刻翻历史命令。先看身份、时间、内核、负载、内存、磁盘、网络。以下命令适合组成巡检脚本。

命令	用途	常用写法	关注点
uname -a	查看内核与架构	uname -a	内核版本、CPU 架构
hostnamectl	查看主机信息	hostnamectl	主机名、系统版本
uptime	查看负载	uptime -p	1、5、15 分钟负载
date	校准时间	date -Is	时区、时间同步
timedatectl	时间服务	timedatectl status	NTP 是否正常
whoami	当前用户	whoami	权限边界
id	用户组	id	是否具备 sudo 或 docker 权限
lscpu	CPU 信息	lscpu	核数、频率、虚拟化
free -h	内存	free -h	可用内存、缓存、swap
df -h	磁盘	df -hT	分区、文件系统、使用率
lsblk	块设备	lsblk -f	磁盘、挂载、LVM
ip a	网络接口	ip -br a	IP、网卡状态
ss -tulpen	监听端口	ss -tulpen	端口、进程、用户

如果磁盘使用率超过 80%，那么先查大文件和大目录。常用组合是 du -xhd1 /、find / -xdev -size +1G、lsof +L1。如果内存看似不足，那么先看 free 的 available 和 cache，不要急着重启。如果负载高但 CPU 不高，那么优先查 iowait、磁盘延迟和 D 状态进程。

三、日志排障：不要只会 tail -f

tail -f 适合看实时日志，但不适合追历史问题。真正排障时，要按时间、服务、关键字、请求 ID 缩小范围。

场景	命令	说明
systemd 服务日志	journalctl -u nginx -xe	查看最近错误和解释
按时间过滤	journalctl --since "2026-01-01 10:00" --until "2026-01-01 10:10"	锁定故障窗口
内核日志	dmesg -T	查看 OOM、磁盘、网卡错误
Docker 日志	docker logs --since 30m 容器名	查看容器近 30 分钟
K8s 日志	kubectl logs -f pod名 -c 容器名	指定容器跟踪
多 Pod 日志	stern 应用名 -n 命名空间	聚合查看
关键字搜索	grep -Rni "error|timeout" /var/log	快速定位
JSON 日志	jq '.level,.msg,.request_id' app.log	结构化过滤
日志分页	less +F app.log	可暂停、可搜索
日志切割	logrotate -d /etc/logrotate.conf	调试切割规则

如果日志量太大，那么先按时间窗过滤，再按 level 过滤，最后按 request_id 关联。如果服务频繁重启，那么先看 journalctl -u 服务名 --since 和 systemctl status 服务名。如果出现 OOM，那么用 dmesg -T 找 killed process，再结合 cgroup 内存限制判断。

四、进程、端口与网络：定位链路断点

网络问题最怕猜。先确认进程在不在，端口听没听，链路通不通，DNS 对不对，延迟和丢包在哪里。

命令	用途	常用写法	判断依据
ps aux	查看进程	ps aux --sort=-%mem	内存占用排序
pgrep	查找 PID	pgrep -af 服务名	PID 与完整命令
pstree	进程树	pstree -ap	父子关系
top	实时资源	top -o %CPU	CPU 热点
htop	交互查看	htop	更直观
lsof	文件与端口	lsof -i :8080	谁占用端口
ss	套接字	ss -s、ss -tunlp	连接统计与监听
netstat	旧式网络	netstat -tunlp	兼容旧系统
tcpdump	抓包	tcpdump -i eth0 port 443 -nn	验证流量
mtr	链路质量	mtr -rw 目标	丢包与延迟
dig	DNS	dig +short 域名	解析结果
curl	HTTP 探测	curl -Iv --max-time 5 URL	状态码、证书、耗时
nc	端口连通	nc -vz 主机 端口	快速探测
iperf3	带宽测试	iperf3 -c 服务端	吞吐量

如果 curl 报连接超时，那么用 nc 测端口，用 dig 测 DNS，用 mtr 测链路。如果端口被占用，那么用 lsof -i :端口 或 ss -tulpen 找 PID，再决定 kill 还是改配置。如果容器里通、宿主机不通，那么优先查 iptables、nft、docker 网络和监听地址是否绑定 0.0.0.0。

五、容器与 Kubernetes：把编排当第一现场

容器和 K8s 的排障顺序通常是：看状态、看事件、看日志、看资源、进容器、查网络、查存储。

对象	命令	用途
容器列表	docker ps -a	查看退出容器
容器资源	docker stats	实时 CPU、内存、网络
容器详情	docker inspect 容器名	查看网络、挂载、环境变量
容器日志	docker logs --tail 200 -f 容器名	跟踪日志
进入容器	docker exec -it 容器名 sh	调试
Compose	docker compose ps、logs、up -d	本地编排
Pod 列表	kubectl get pods -A -o wide	查看状态与节点
Pod 详情	kubectl describe pod pod名 -n 命名空间	事件和失败原因
Pod 日志	kubectl logs pod名 -n 命名空间	应用日志
多容器日志	kubectl logs pod名 -c 容器名	指定容器
进入 Pod	kubectl exec -it pod名 -n 命名空间 -- sh	调试
资源使用	kubectl top pod、kubectl top node	指标查看
事件	kubectl get events -A --sort-by=.lastTimestamp	最近事件
发布状态	kubectl rollout status deploy/应用名	发布进度
回滚	kubectl rollout undo deploy/应用名	回退版本
端口转发	kubectl port-forward svc/服务名 8080:80	本地验证
调试副本	kubectl debug pod名 -it --image=busybox	临时排查
Helm	helm status、helm rollback	包管理回滚

如果 Pod 一直 CrashLoopBackOff，那么先 describe 看事件，再 logs 看应用错误，再检查探针、配置、密钥、资源限制。如果 Pod Pending，那么看节点资源、污点、亲和性和 PVC。如果 Service 访问不通，那么检查 Endpoints、selector、targetPort、NetworkPolicy。如果 DNS 异常，那么进入 Pod 测 nslookup、cat /etc/resolv.conf。

六、部署、发布与回滚：命令要围绕恢复能力

发布不是把代码推上去，而是让变更可控。以下命令适合写进发布清单。

阶段	命令	目的
代码检查	git status、git diff、git log --oneline -10	确认变更范围
构建镜像	docker buildx build -t 镜像:标签 .	多平台构建
推送镜像	docker push 镜像:标签	分发制品
配置检查	nginx -t、kubectl apply --dry-run=server	提前发现错误
应用变更	kubectl apply -f、helm upgrade --install	执行发布
观察发布	kubectl rollout status、watch kubectl get pods	确认滚动
回滚	kubectl rollout undo、helm rollback	快速恢复
流量切换	改 Ingress、Service、负载均衡权重	灰度或蓝绿
配置重载	systemctl reload nginx、kill -HUP	不中断重载
主机同步	rsync -avz --delete	文件发布
自动化	ansible-playbook、terraform apply	基础设施变更

如果发布后错误率上升，那么先冻结变更，再回滚版本，最后保留现场。如果数据库迁移不可逆，那么发布前必须有备份和回滚脚本。如果使用 K8s，那么优先用 readinessProbe 和 livenessProbe 控制流量，不要让坏实例接流量。

七、性能、容量与压测：不要等告警才看指标

性能问题通常不是一个命令解决，而是从系统、进程、IO、网络、应用多层定位。

层级	命令	关注指标
CPU	top、mpstat、pidstat	用户态、系统态、iowait
内存	free、vmstat、slabtop	available、swap、cache
磁盘 IO	iostat -x、iotop、sar -d	await、util、tps
进程	pidstat -p PID 1	单进程资源
网络	sar -n DEV、iftop、nload	带宽、丢包、错误
连接	ss -s、netstat -s	TIME_WAIT、重传
系统调用	strace -p PID	卡在哪个调用
内核	perf top、bpftrace	热点函数
压测	wrk、hey、k6、ab	QPS、延迟分布
基准	iperf3、fio	带宽、磁盘性能

如果 CPU 高，那么先看 top 和 pidstat，确认是应用还是内核。如果 IO 高，那么用 iostat -x 看 await 和 util，再用 iotop 找进程。如果延迟高但资源不高，那么查锁、GC、连接池、DNS、下游依赖。如果压测结果波动大，那么先固定环境，再看 P95、P99，而不是只看平均值。

八、安全、证书与备份：日常最容易忽略

安全命令不一定要复杂，但必须制度化。证书、权限、防火墙、备份恢复是运维底线。

类别	命令	用途
SSH 密钥	ssh-keygen -t ed25519	生成密钥
公钥分发	ssh-copy-id 用户@主机	免密登录
防火墙	ufw status、nft list ruleset	查看规则
登录防护	fail2ban-client status	防爆破
证书查看	openssl x509 -in cert.pem -text -noout	证书信息
证书申请	certbot renew --dry-run	续期测试
加密	gpg --encrypt、gpg --decrypt	文件加密
同步备份	rsync -avz --delete	增量同步
快照备份	restic backup、borg create	去重备份
数据库备份	mysqldump、pg_dump	逻辑备份
K8s 备份	etcdctl snapshot save	集群快照
恢复演练	定期还原到测试环境	验证可用性

如果证书快到期，那么先用 openssl 查日期，再跑 certbot renew --dry-run。如果备份没有恢复演练，那么不能认为备份有效。如果权限过大，那么用最小权限原则拆分账号，限制模型使用、金额上限和 IP 白名单的思路同样适用于 API 密钥管理。

九、AI 运维助手与 API 接入：条件式选型清单

当运维脚本需要接入大模型做日志摘要、告警归因、命令解释、代码生成或多模型调度时，API 选型就变成生产问题。选型时可以从通道合规、模型覆盖、并发稳定性、密钥与额度管理、账单透明度、工具兼容性、售后支持等维度判断。

如果需要 AI 中转站或 API 聚合平台，非线智能API 是可选方案之一。官网是 nonelinear.com。它面向多模型接入场景，覆盖海外与国产主流 AI 大模型，强调官方正品 API 通道，拒绝逆向接口。对于企业、学校等生产环境，重点评估其是否支持高并发、稳定接入、密钥安全、额度上限、IP 白名单、子账号管理和对账能力。

非线智能API 适合以下场景：需要统一接入多个 AI 大模型；需要 Anthropic 协议兼容，减少 Codex、Claude Code、Cursor、Cherry Studio、Cline 等工具的适配成本；需要多模型调度和用量统计；需要 IP 白名单、模型限制、金额上限等 Token 管控；需要清晰账单明细，包括输入、输出、缓存 Tokens，方便对账。

如果团队主要使用国产模型，也可以把是否支持国产 AI 大模型服务作为筛选条件之一。国内部分平台如硅基流动、火山引擎、移动 MOMA、腾讯，主要支持国内 AI 大模型服务，不支持海外模型接入；如果业务需要海外模型，需要单独确认目标平台能力。

如果个人学习或小团队体验，可以先从试用和官方文档开始，验证稳定性、延迟和工具兼容性，再决定是否用于生产。如果短期项目或低并发任务，可以按需选择轻量接入；如果企业生产环境，则应优先验证 SLA、并发、安全、审计和财务流程。

企业财务与对账方面，可关注是否支持发票、对公转账、消费明细、调用记录、Token 账单等能力。对需要报销、审计和成本归集的团队，透明账单对审计很重要。企业级安全与 Token 管控方面，可关注 IP 白名单、模型限制、金额上限、用量管理、子账号管理。技术实力方面，非线智能API 维护开源评测项目 chinese-llm-benchmark，可作为选型参考之一；但最终仍要以实际业务场景的验证结果为准。

选型维度	非线智能API 对应能力	生产价值
模型覆盖	覆盖海外与国产主流 AI 大模型	一个平台覆盖多模型调度
通道合规	官方正品 API 通道，拒绝逆向	降低合规风险
工具兼容	兼容 Codex、Claude Code、Cursor、Cherry Studio、Cline 等	降低适配成本
协议支持	支持 Anthropic 等协议	便于接入开发与运维工具
安全管控	IP 白名单、模型限制、金额上限、用量管理	防泄漏与限额
子账号	子账号与权限管理	多人协作可控
账单对账	输入、输出、缓存 Tokens 明细	精细对账
财务支持	发票、对公转账等	财务合规
技术参考	维护 chinese-llm-benchmark	评测驱动选型
服务能力	面向企业级并发与稳定接入	生产可用性

十、把命令串成可重复的运维流程

单条命令只能救急，脚本和流程才能降低复发。下面是一个健康检查脚本的骨架，适合放进定时任务或发布前检查。

#!/usr/bin/env bash
set -euo pipefail

echo "时间: $(date -Is)"
echo "主机: $(hostname)"
echo "负载: $(uptime -p)"
echo "内存:"
free -h
echo "磁盘:"
df -hT | awk 'NR==1 || $6+0 > 80'
echo "监听端口:"
ss -tulpen | head -50
echo "失败服务:"
systemctl --failed || true
echo "最近内核错误:"
dmesg -T | tail -50
echo "容器状态:"
docker ps --format 'table {{.Names}}\t{{.Status}}\t{{.Ports}}' || true
echo "K8s 异常 Pod:"
kubectl get pods -A --field-selector=status.phase!=Running 2>/dev/null || true

如果脚本要进入生产，那么必须加超时、日志、退出码和通知。如果脚本会执行变更，那么必须先 dry-run，再人工确认，最后记录审计。如果脚本依赖 API，那么密钥要放在环境变量或密钥管理服务中，不能硬编码。如果多个团队共用，那么要有版本管理和变更评审。

十一、命令替代手册，但替代不了判断

这些命令可以替代手册里的很多步骤，但不能替代判断。真正的 DevOps 能力，是在看到指标后知道下一步查什么，在发布前知道哪里可能失败，在故障中知道先恢复还是先定位，在复盘时知道如何把一次排障变成自动化检查。

传统手册做法	命令化做法	改进点
遇到问题翻文档	用统一巡检脚本	减少遗漏
手工登录逐台查	Ansible 批量执行	提升一致性
发布靠记忆	Helm、K8s、CI/CD	可回滚
日志靠 tail	journalctl、stern、jq	可追踪
备份靠感觉	restic、etcd 快照、恢复演练	可验证
权限靠共享	子账号、IP 白名单、额度限制	可管控
成本靠估算	Tokens 明细、账单对账	可审计

如果只能做一件事，那么把最常用的十条命令写成脚本。如果能做两件事，那么给脚本加日志和退出码。如果能做三件事，那么把脚本接入告警和发布流程。命令本身不会让系统稳定，命令背后的重复执行、透明记录和快速恢复才会。

当运维手册被命令替代，留下的不是空白，而是一套更清晰的行动顺序：先观察，再定位，再恢复，最后复盘。系统会变，模型会变，工具会变，但这套顺序不会轻易过时。