如何跟踪不确定的httpd/mysqld活动

Question

我正在Fedora 15上运行一个相当标准的灯栈，主要是为了支持一些Drupal站点。事情似乎运行正常，但偶尔机器上的磁盘会比通常情况下更难工作。我有限的系统调试技能发现：

• “‘top”报告说httpd和mysqld确实是活动的，占了其他大部分空闲机器的3-4%。
• httpd日志文件中没有任何更改，其他系统日志上也没有异常显示。所以“有人在攻击你的网站，傻瓜”的明显答案似乎不是这样的。
• 用"apachectl优美“重置httpd没有任何效果。然而，"apachectl停止“和"apachectl start”通常会使机器平静下来--磁盘搅动停止。
• 我相信这台机器是安全的，我没有理由相信有任何黑客活动在进行。(当然，我想通常是这样的.)

我会很惊讶(但是很高兴！)如果这足以让人告诉我发生了什么，但对于我如何进一步挖掘机器并弄清楚到底发生了什么，有什么建议吗？谢谢!

Answer 1

什么是偶尔？您应该设置一个cron作业来访问/cron.php，后者负责Drupal内务管理。

检查crontab -l中的根用户或apache (或www-data)用户，看看是否存在与磁盘活动相关的cron作业。cron作业也可以位于/etc/cron.d/drapal.cron(或类似的文件)下面。您应该在Apache中看到这些/cron.php请求，所以我认为“httpd日志文件中没有任何更改”意味着没有外部请求，而不是字面上没有任何更改。

将来，您应该在服务器上收集度量标准(例如Cacti、Munin)，这样您就可以知道什么是正常的，什么是不正常的。

Answer 2

因此，这种行为可能与耗尽物理内存和内核的结果是一致的。检查下列各项的输出：

free -g
free -m

如果您在增加的活动发生时运行此操作，并且它显示正在使用交换(即在使用的列中超过0)，那么我非常肯定，添加更多的内存将有所帮助。

尽管如果您的内存小于1GB，我仍然会升级内存。

此外，考虑安装sysstat包( debian和redhat中以这种方式命名)，"sar“命令在查找瓶颈方面非常有用。

Answer 3

找到了--毕竟是和Drupal cron有关的。这个站点是新的，有大量的东西需要通过cron (索引大量的节点)来处理。由于某种(未知的)原因，索引过程陷入了困境，并反复地重新开始。结果，索引器疯狂地运行(因此是磁盘活动)，但是没有证据表明日志文件中有任何问题，因为crontab对cron.php的调用(最终)将完成并显示在日志中。

不管怎么说，一旦我在索引过程中碰到了一些问题，并控制住了它，cron正在愉快地运行，而且一切看起来都很好。感谢大家的建议！