שלוש שנים בסביבה מבצעית — טכנאי מערכות וראש צוות טכנאים, לצד ניהול תשתיות Windows ו־Linux: Active Directory, VMware vSphere, אחסון ארגוני ואבטחת קצה, בתמיכה במאות משתמשים תחת יעדי SLA. היום גם פיתוח Frontend במילואים, ובבית מעבדת Proxmox עם 15 שירותים ו־GPU במעבר ישיר. כמעט שש שנים במקביל של מידול והדפסת תלת־ממד לימדו אותי את אותו דבר שהתשתית מלמדת: לתכנן לסובלנות, ולצפות לכשל.
Terraform מקצה את הקונטיינרים ממפת דאטה אחת, Ansible מגדיר אותם, ו־exporter שכתבתי מפרסם את מצבם ל־Prometheus. שלושתם ביחד כי הם סוגרים לולאה: אותה מפה שיוצרת קונטיינר היא זו שה־exporter מתייג בה מטריקות.
סביבה שבניתי מאפס ואני מתחזק בפועל: כל שירות מבודד ב־LXC משלו, גיבוי מתוזמן, ניטור SMART, ו־reverse proxy. כאן אני מנסה דברים שאי אפשר לנסות בייצור.
כל אחת מאלה עלתה לי שעות. זה החלק שבו באמת למדתי משהו.
Ollama דיווח size_vram: 0 וההסקה זחלה. הכרטיס היה גלוי בקונטיינר, אז זו לא הייתה בעיית passthrough.
אי־התאמת גרסאות בין דרייבר הליבה במארח לבין ה־userland בקונטיינר. מאגר ההפצה פיגר אחרי המארח, ו־CUDA סירבה לאתחל בשקט.
מתקין היצרן בתוך הקונטיינר עם --no-kernel-module נעוץ לגרסת המארח.
0 → 34 tok/s
אחרי חוסר פעילות, הבקשה הראשונה חיכתה ~125 שניות. אחרי החימום — מהיר.
מערכת הקבצים של הקונטיינר ישבה על הדיסק המכני. קריאת 9.6GB משקלים בטעינה קרה נחסמה ע״י ה־I/O, לא ע״י ה־GPU.
העברת ה־rootfs ל־local-lvm על SSD.
125s → 22s
בדיקת התקינות התריעה שספריית ההורדות לא קיימת, וייבוא קבצים גדולים לקח נצח.
הנתיב נראה זהה משני הצדדים אך הצביע על נקודות עגינה שונות. hardlink בין מערכות קבצים שונות בלתי אפשרי — אז המערכת נפלה חזרה להעתקה מלאה.
יישור נקודות העגינה לנתיב אחד בין הקונטיינרים.
copy → hardlink
השירות עלה ומיד נפל: ״בסיס הנתונים לא נמצא״ — למרות שהוא ארוז בתוך האימג׳.
volume ריק עוגן בדיוק על הספרייה שהכילה את בסיס הנתונים המובנה והסתיר אותו. הרגל של ״תמיד לשמר דאטה״ — במקום הלא נכון.
הסרת העגינה המיותרת ויצירה מחדש של הקונטיינר.
crash-loop → healthy
ספק הזהות דחה את כתובת ההחזרה: הוא לא מקבל כתובות IP פרטיות ודורש HTTPS.
השירות בנה את כתובת ההחזרה מהשם המוגדר שלו. בנוסף, עוגיית ההתחברות הייתה קשורה למקור אחר מזה שאליו חזר ה־callback.
מנהור SSH כך שהממשק וה־callback ישבו על אותו מקור מקומי — בלי לחשוף פורט לאינטרנט.
0 ports exposed
כמעט שש שנים, ובלי הפסקה — גם לאורך כל השירות. זה לא תחביב של ״ללחוץ הדפס״: עיקר העומק שלי הוא בצד המכונה — קונפיגורציית קושחה, כיול, וניפוי כשלים חוזרים. אותה מתודולוגיה בדיוק שאני מפעיל על שרת.
להעביר את מה שבניתי בידיים לקוד מגורסה — כדי שהסביבה תהיה ניתנת לשחזור, לא לשחזור מהזיכרון.
אותם עקרונות — רשת, זהות, עמידות — בקנה מידה של ענן.
מדדים, התראות ופריסה אוטומטית. לדעת שמשהו נשבר לפני שמישהו מתלונן.
אני מתחזק את השרת וגם כותב את הממשק שמדבר איתו. בצוות קטן זה אומר פחות העברות ידיים.
מכללת איקום
המכללה הטכנולוגית מקיף א׳, אשדוד
מעבדות אלקטרוניקה · פרויקטי Arduino ו־Raspberry Pi
תיעוד טכני, ספקים ותמיכה באנגלית
DevOps, System Administration, NOC או תשתיות IT — צוות שבו אני יכול לבנות, לשבור בסביבה מבוקרת, ולתקן עד סיבת השורש. אשמח לדבר.