是什么导致我的重新启动导致非正常关机？

Question

日志行换行以提高可读性：

Jul 15 03:08:04 xxxxxxxxxx python: ansible-ansible.legacy.command Invoked with creates=None \
    executable=None _uses_shell=False strip_empty_ends=True _raw_params=/sbin/shutdown -r +1 \
    removes=None argv=None warn=False chdir=None stdin_add_newline=True stdin=None

这看起来像是某人或某物正在shutdown -r +1使用 Ansible 进行调用。

关闭前的最后一条消息是：

Jul 15 03:09:04 xxxxxxxxxx systemd: Stopping LSB: Starts and stops IHS...
Jul 15 03:09:04 xxxxxxxxxx systemd: Stopping ACPI Event Daemon...
Jul 15 03:09:04 xxxxxxxxxx systemd: Stopped Resets System Activity Logs.
Jul 15 03:09:04 xxxxxxxxxx systemd: Stopping Zabbix Agent...
Jul 15 03:09:04 xxxxxxxxxx systemd: Stopping System Logging Service...

...这意味着受控关闭已经取得了很大进展。系统日志服务停止后，显然在重新启动之前不会有任何进一步的日志条目/var/log/messages。如果您启用了持久性 systemd 日志（通过创建/var/log/journal目录），您可能会在关闭之前看到更多条目，可以使用journalctl.

在关闭作业之前，似乎有一个 Ansible 作业正在运行yum：

Jul 15 03:01:53 xxxxxxxxxx python: ansible-ansible.legacy.yum Invoked with lock_timeout=30 \
    update_cache=False conf_file=None exclude=[] allow_downgrade=False disable_gpg_check=False \
    disable_excludes=None use_backend=auto state=latest disablerepo=[] skip_broken=False \
    releasever=None autoremove=False download_dir=None enable_plugin=[] installroot=/ \
    install_weak_deps=True name=['*'] download_only=False bugfix=False list=None \
    install_repoquery=True update_only=False disable_plugin=[] enablerepo=[] security=True \
    validate_certs=True

最好查看此yum操作是否带来了任何内核更新，如果带来了，请验证 initramfs 创建是否成功。我想我以前见过 RHEL 7.x 的 initramfs 创建失败的情况，因为例如文件系统由于yum包缓存而已满，然后使用新内核的引导将失败，有时甚至在它可以挂载根之前文件系统处于读/写模式，这显然意味着该引导尝试不会写入任何日志。

由于这是一个 VMware 虚拟机，虚拟化管理程序（和/或 vSphere 管理，如果可用）的日志可能会详细说明系统崩溃后发生的情况；也许当时有一个预定的虚拟机管理程序服务中断，并且 VMware 管理员阻止虚拟机启动，直到他们的服务中断部分完成为止？

另外，我不会在重新启动后立即盲目相信记录的时间值，直到系统开始联网并启用 NTP 时间同步。在混合 Windows/Linux VMware 环境中，可能会忘记禁用 VMware 时间同步。如果环境以 Windows 虚拟机为主，则 VMware 主机可能会以本地时间运行其系统时钟...并且虚拟机虚拟时钟在启动时也会默认为该时间。

如果确实如此，那么当 NTP 同步服务启动时，您会在启动时看到时间跳跃，可能大致等于您站点当前的 UTC/DST 偏移量。如果启动后时间戳后来从 Jul 15 08:3x:xx 跳到大约 Jul 15 03:xx:xx，则表明您的 VM 配置为（错误地）假设其虚拟硬件时钟为 UTC，并且您正在运行以 Windows 为中心的 VMware 环境，位于 UTC+4（+DST，北半球）或 UTC+5（无 DST）时区。

您的非正常关机发生在系统于 15/07/2022 08:38:48.151:6 启动和下次启动于 18/07/2022 06:17:40.034:6 之间的某个时间。您的/var/log/messages摘录不涵盖该时间间隔。

要弄清楚非正常关闭发生了什么，您需要找到时间 18/07/2022 06:17:40 之前的最后日志条目。

如果有/var/log/messages7 月 15 日 08:38:30 之后不再登录，然后我会考虑虚拟机可能已被黑客攻击并（不熟练地）被 rootkit 的可能性。如果事实证明这是真的，那么关机时的任何崩溃都可能是虚拟机中 Rootkit 和/或其他恶意软件的副作用，但这可能是您此时最不需要担心的......

Answer 1