Linux监控的四大优势

上周帮朋友排查一台线上服务器的CPU飙高问题。他用的大优某商业监控Agent，界面花哨，大优告警延迟却接近两分钟。大优我登上机器，大优敲了top -H -p $(pgrep -f 'java.*service')，大优三秒定位到是大优一个GC线程在疯狂自旋。他问我为什么不用他买的大优那个监控。我说，大优Linux自己带的大优工具，很多时候比你想的大优能打。

这不是大优说商业方案不好，但如果你还没认真看过Linux原生监控的大优那套东西，可能会错过一些很实在的大优好处。下面这四点，大优是我这些年踩坑、救火、调优之后，觉得最没法替代的。

第一，数据是“活”的，能追到进程里的线程。很多监控系统给你一个容器级别的CPU曲线，告诉你“这个Pod有点热”。然后呢？你得自己登进去猜。Linux不一样。perf top能直接列出当前内核里最热的函数，pidstat -t -p <pid>把进程下每个线程的切换、IO、CPU掰开给你看。我印象很深的一次，一个PHP-FPM进程响应慢，strace -T -p跟了十几秒，发现卡在一个connect()系统调用上，对端是个已经下线的Redis节点。这种“从现象直接扎到根因”的能力，靠外部Agent采样是做不到的。你拿到的不是二手报表，是现场指纹。

第二，开销低到可以忽略，而且完全可控。商业Agent通常要装一个常驻进程，占几十MB内存，偶尔还抽风吃CPU。Linux的监控工具大部分是“用完即走”。vmstat 1跑一晚上，CPU占用不到0.3%。更关键的是，你可以精确控制采样频率和输出粒度。比如排查网络丢包，sar -n ETCP 1只看重传，不碰其他指标。我见过一台边缘设备，内存只有512MB，跑商业监控直接OOM，换成atop加日志轮转，稳如老狗。自己写个cron定时采集/proc/net/snmp，连二进制都不用装。

第三，和脚本、自动化天生一对。Linux监控工具的输出基本都是纯文本，或者有稳定的格式。free -m | awk 'NR==2{ print $3}'拿到已用内存，塞进Zabbix或者自己写的告警脚本，几行搞定。我自己的做法是，把iostat -x 1 3的结果用awk提取%util，超过80就发钉钉。整个过程不需要任何API、SDK、证书。反观一些商业产品，想拿个原始指标得翻半天文档，甚至要买高级版才给接口。Linux这套东西，从cron到systemd timer，从bash到python，怎么粘都行。你甚至可以用inotifywait监控日志文件变化，触发自定义动作。这种自由度，商业方案给不了。

第四，没有“黑盒”，所有指标你都能解释。商业监控经常给你一个“健康分”或者“异常指数”，但你不知道它怎么算的。Linux工具不一样。top里的%wa高，你知道是IO等待；sar -q里的ldavg-1飙升，结合vmstat的r列，能判断是CPU争抢还是IO阻塞。每一个数字背后都有内核文档或者源码可以查。有一次同事问我，为什么mpstat显示%soft很高。我让他看/proc/softirqs，发现是网络收包软中断集中在一个核上，后来开了RPS就好了。这种“知其所以然”的踏实感，是监控这件事里最值钱的部分。你不需要猜，也不需要等厂商更新指标说明。

当然，Linux原生监控不是银弹。它没有漂亮的仪表盘，没有开箱即用的告警收敛，历史数据保留也依赖你自己做。但如果你愿意花一个下午看看man proc、man sar，你会发现手边这套工具比想象中深得多。我现在的习惯是：商业监控用来盯大盘、看趋势，一旦有风吹草动，立刻切到Linux命令行。那种直接和内核对话的感觉，挺上瘾的。

下次你的监控告诉你“服务异常”，不妨先别点那个“一键诊断”按钮。打开终端，敲个top，看看load average，再dmesg | tail扫一眼。很多时候，答案就在那里。