信创系统运维速查
麒麟 / 统信 UOS / openEuler 命令与软件源、服务运维、安全加固、迁移适配与常见问题：信创环境运维速查。
系统与安装65 条
版本体系、安装流程与初始配置
银河麒麟 V10 版本查看与产品体系
银河麒麟服务器版走 rpm/dnf 生态、桌面版走 deb/apt 生态；先确认产品线、补丁级别与 CPU 架构，再选教程和软件包，是信创运维的开场动作。
nmcli 配置网络（NetworkManager）
信创桌面与服务器普遍由 NetworkManager 管理网络：nmcli 可查连接、配静态 IP、改 DNS，配置即时生效且持久化。
/etc/os-release 系统识别与脚本适配
各信创发行版都在 /etc/os-release 暴露标准字段（ID、VERSION_ID、PRETTY_NAME），跨发行版脚本应基于它做分支判断，而不是解析 lsb_release 或猜发行版。
银河麒麟 V10 安装流程要点
服务器版与桌面版安装向导略有差异，但流程一致：引导 → 语言/时区 → 安装位置与分区 → 网络/主机名 → 软件选择 → 开始安装并设置 root 口令。
统信 UOS 版本查看
统信 UOS 桌面版与服务器版均可用 /etc/os-release 与 hostnamectl 查版本；桌面版还可从控制中心系统信息确认版本与激活状态，排障时先对齐版本口径。
安装时启用 LVM 并扩容
LVM 把物理卷、卷组、逻辑卷分层管理：扩容时先扩 PV/LV 再扩文件系统，是服务器推荐的分区方式，openEuler/Kylin 安装器均内置。
时间同步 chrony 初始配置
信创系统默认时间服务为 chrony：配置可用 NTP 源、启动 chronyd 并校验同步状态；集群认证、日志时间线都依赖准确时间。
openEuler 版本体系与信息查看
openEuler 采用 LTS 发布模式（20.03 LTS、22.03 LTS、24.03 LTS），以 SP 补丁集持续更新；查看版本、内核与仓库状态是评估环境的起点。
统信 UOS 安装流程要点
桌面版安装向导图形化程度高：选择语言 → 硬盘分区（全盘或手动）→ 创建账户 → 等待复制完成；服务器版流程与常规 Linux 安装一致。
Kickstart 无人值守安装
把应答文件（ks.cfg）随安装启动：分区、网络、账户、软件包一次性预设，适合批量装机；Kylin/UOS/openEuler 的 Anaconda 均支持。
sysctl 内核参数配置与持久化
运行时调整内核参数用 sysctl -w，持久化写 /etc/sysctl.d/*.conf；网络、文件句柄、内存等调优都走这套机制。
UOS Server 20 初上手要点
UOS Server 20 基于 openEuler 系构建，命令、包管理与服务框架延续 dnf+systemd 体系；从 CentOS 迁移的习惯可复用，差异集中在软件源与安全组件。
UEFI 与 Legacy 引导模式
安装与排障都需先确认固件引导模式：UEFI 用 GPT+EFI 分区，Legacy 用 MBR 引导扇区；模式不匹配会出现装完找不到引导的典型问题。
ifcfg 网卡配置文件静态 IP
部分信创服务器保留 /etc/sysconfig/network-scripts/ifcfg-* 传统写法：关键字段 BOOTPROTO/ONBOOT/IPADDR 等，改后让网络管理器重读生效。
GRUB2 引导配置（BIOS/UEFI）
GRUB2 配置分两层：/etc/default/grub 与 /etc/grub.d/ 生成最终 grub.cfg；改默认项后必须重新生成配置才生效。
制作信创系统安装 U 盘
把 Kylin/UOS/openEuler 的 ISO 写入 U 盘制作启动盘；Linux 下用 dd 直写（主流 ISO 已支持 isohybrid），Windows 下用 Rufus 或 balenaEtcher。
openEuler 安装流程要点
openEuler 使用 Anaconda 安装器：软件选择（minimal/standard）、分区、网络配置、root 口令一站完成，支持 kickstart 与 PXE 自动化。
服务器分区规划参考
生产服务器建议拆独立分区：/boot、/、/var、/data、swap 分开，避免日志或业务数据写满根分区；容器与数据库场景进一步细分。
内核版本查看与含义
uname -r 输出主版本.次版本.补丁加发行版后缀（如 5.10.0-xx.ky10、5.10.0-xx.oe2203）；对接驱动与安全公告时必须区分主线版本与厂商补丁号。
安装后启用 SSH 服务
服务器交付标配：启用 sshd 开机自启、防火墙放行 ssh、验证登录；加固策略在启用后按安全基线收紧。
文件系统选择：XFS 与 ext4
服务器默认文件系统多为 XFS（大文件与并发写入场景成熟），ext4 在兼容性与缩容需求场景仍有价值；两者扩容与修复工具不同。
中文语言环境（locale）配置
服务器常遇中文乱码或程序报 locale 警告：检查已生成语言包与变量设置；桌面版安装时选中文，服务器需手动补充 zh_CN.UTF-8。
内核启动参数修改
临时在 GRUB 菜单按 e 编辑启动项（本次生效），永久写入 /etc/default/grub 的 GRUB_CMDLINE_LINUX 再重生成；排障常用参数如 nomodeset、console。
硬件信息查看（CPU/内存/主板）
信创服务器适配核查先采集硬件信息：lscpu 看架构与型号，dmidecode 看整机，lsmem/lspci 看内存与板卡。
时区设置与检查（timedatectl）
服务器统一使用 Asia/Shanghai：timedatectl 查看与设置时区、校准硬件时钟，日志与数据库时间口径都与它相关。
PXE 网络批量安装
服务器网卡 PXE 引导 → DHCP 分配地址与引导文件 → TFTP 传内核与 initrd → 加载安装源完成安装，适合批量部署信创终端与服务器。
swap 规划与 swapfile 配置
交换空间按内存与业务定：经验值为内存的 1-2 倍（大内存服务器可减小），也可用 swapfile 增加交换空间；注意磁盘类型与性能取舍。
主机名设置与管理（hostnamectl）
装机时设置或装后修改主机名：hostnamectl set-hostname 即改即生效并持久化；注意只影响本地，集群内互相解析还需 hosts 或 DNS。
麒麟系统离线源搭建
内网不能连外网时用离线源：从官方渠道获取离线仓库包或完整 ISO，挂载后配置 file:// 或内网 HTTP 源，dnf 即可正常装包。
忘记 root 密码的重置流程
有物理/控制台权限时重置 root 口令：GRUB 追加 rd.break，进入 initramfs 后重挂根分区、chroot、passwd，SELinux 系统补执行 relabel。
系统交付初始化清单
新装服务器交付前跑一遍标准清单：时区时间、网络、软件源、SSH、防火墙、日志、磁盘、安全基线，避免带病上线。
ISO 完整性校验（sha256sum）
安装前校验 ISO 的 SHA256 与官方公示值一致，可排除下载损坏导致的安装中途报错与介质校验失败。
网卡绑定（bond）配置
双网卡绑定实现冗余或聚合：mode=1 主备提供故障切换，mode=4（802.3ad）需交换机 LACP 配合；信创服务器可用 nmcli 或传统脚本配置。
银河麒麟授权与激活状态管理
银河麒麟商用版本需要授权激活：图形化激活工具或随系统提供的命令行工具完成，激活状态影响系统更新与技术支持，交付前统一核查。
安装选项：最小化与完整版取舍
服务器安装建议选最小化再按需补装：减少攻击面与补丁量；桌面办公场景用完整安装保证开箱可用，二者后续都可增删组件。
引导修复（重装 GRUB）
系统更新或磁盘操作后引导丢失：从救援环境 chroot 进原系统，BIOS 场景重装 MBR 引导，UEFI 场景重建 EFI 引导文件与菜单。
fstab 挂载配置要点
/etc/fstab 决定开机挂载：用 UUID 更稳、写完先 mount -a 演练，数据盘建议加 nofail 防止单盘故障拖垮启动。
LUKS 磁盘加密安装与使用
对数据分区做 LUKS 加密：安装器支持勾选加密，也可装机后对空白分区用 cryptsetup 加密；开机需输入口令解锁，口令遗失不可恢复。
nmtui 图形化网络配置
纯文本图形界面配置网络，适合不熟悉 nmcli 语法的运维人员：编辑连接、启用禁用网卡、设置主机名一站式完成。
银河麒麟桌面首次启动配置
桌面版首次进入系统需完成键盘布局、时区、账户与网络等初始化向导；企业环境建议先按基线完成更新与安全配置再交付使用。
openEuler 内网软件源配置
openEuler 离线/内网环境：把官方 repo 完整同步到内网 HTTP 服务器，或使用官方提供的 everything 镜像，再让客户端指向内网地址。
救援模式进入与系统修复
系统起不来时用安装介质的 Rescue 模式：挂载原系统到 /mnt/sysroot，chroot 进去修复引导、包、配置；修复完退出重启。
光盘/ISO 本地源配置（通用）
无网环境用安装光盘或 ISO 作 dnf 源：挂载到 /mnt，写 file:// 的 repo 文件，初始化缓存后即可安装介质内全部包。
初始 DNS 配置方式
信创系统的 DNS 由网络管理器下发：正确位置是连接的 ipv4.dns；直接改 /etc/resolv.conf 会被覆盖，理解两层关系少踩坑。
安装阶段常见失败原因
装到一半报错、引导后黑屏、找不到硬盘：多为 Secure Boot、RAID 卡驱动、介质损坏、内存不足与固件设置五类原因，按序排查。
Secure Boot 与信创系统安装
部分机型开启 Secure Boot 时无法从国产发行版安装介质引导或加载未签名驱动；安装前在固件设置中关闭，装完按安全基线评估是否开启。
软 RAID（mdadm）安装配置
用多块盘做软 RAID 提升冗余：RAID1 镜像、RAID5/6 条带加校验；安装器可创建，也可装后 mdadm 手工建，注意云盘与单盘场景不适用。
统信 UOS 激活方式与检查
UOS 桌面版在控制中心完成激活（联网或离线方式），服务器版使用随系统提供的激活工具；激活状态与系统更新通道相关，交付前需确认。
单用户/救援目标模式
排障常用入口：GRUB 编辑启动项加 single 或 systemd.unit=rescue.target（需 root 口令）进入单用户，做密码重置与最小化修复。
硬件兼容性查询方法
上信创项目前核对兼容性清单：取整机/网卡/显卡的 PCI ID 与型号，对照麒麟、统信、鲲鹏/飞腾官方适配清单确认支持状态。
装机后基础工具补齐清单
最小化安装后的信创服务器按此清单补齐常用工具：编辑、下载、网络诊断、监控、解压一应俱全，后续排障不抓瞎。
输入法框架安装与配置（fcitx 系）
信创桌面输入法以 fcitx/fcitx5 框架为主（随发行版版本不同）；安装输入法与中文引擎后需配置 IM 环境变量并注销重登生效。
统信 UOS 首次启动设置
UOS 首次启动进入设置向导（语言、账户、网络、激活）；完成激活与更新后按企业基线配置安全策略与外设权限。
串口控制台安装与登录
服务器无显卡时通过串口装系统与看日志：内核参数加 console=ttyS0,115200n8，配好后用串口线或 BMC 的 Serial over LAN 连接。
initramfs 重建（dracut）
改内核参数、调换存储控制器或驱动缺失导致启动卡住时，重建 initramfs：rpm 系用 dracut，deb 系用 update-initramfs。
安装日志定位与排错
安装失败时日志就是答案：安装过程中日志在 /tmp/ 下（anaconda 系），装完系统后归档在 /var/log/anaconda/，配合控制台切换查看。
默认启动模式设置
服务器默认命令模式、桌面默认图形模式：systemctl get-default 查询，set-default 切换；改错模式会出现装完进不了桌面的问题。
信创桌面环境识别（UKUI/DDE）
麒麟桌面使用 UKUI、统信 UOS 使用 DDE；排障时区分桌面组件与底层系统，避免把桌面问题当系统故障处理。
VNC 远程图形安装
无显示器机房用 VNC 完成图形安装：内核参数加 inst.vnc（Anaconda 系），安装机与客户端网络互通后用 VNC Viewer 连接继续操作。
国产化虚拟机上安装增强工具
信创虚机（KVM/VMware/超融合）建议装增强工具：open-vm-tools 或 QEMU Guest Agent，提供关机、快照一致性、时钟同步与状态上报。
Live 模式修复系统盘
用 Live 启动盘挂载原系统分区做离线修复：备份数据、chroot 修包、重置配置；比救援模式更灵活，可图形化操作。
硬件时钟 UTC/本地时间设置
Linux 默认按 UTC 管理硬件时钟；与 Windows 双系统或带 BMC 的环境按规范设置 local-rtc，避免差 8 小时的经典问题。
Kdump 崩溃转储配置
服务器建议启用 Kdump：内核崩溃时自动转储内存镜像，便于定位宕机原因；需要预留 crashkernel 内存并启用 kdump 服务。
信创云镜像导入与规格化
云平台常用 qcow2 镜像：导入前用 qemu-img 检查格式与虚拟大小，导入后用 cloud-init 完成主机名、网络、密钥的首次规格化。
QEMU Guest Agent 状态自查
KVM/信创超融合环境依赖 guest agent 与平台通信：确认服务、virtio 串口设备与握手状态，排查平台操作（关机、改密）不生效问题。
命令与包管理65 条
麒麟/UOS/openEuler 命令与软件源
dnf 基础命令（安装与查询）
dnf 是 rpm 系发行版（Kylin/UOS 服务器版、openEuler）的包管理器，取代 yum 但兼容其命令习惯；日常就是装、删、查、更新四类操作。
rpm 查询包信息（-q 系列）
已装世界的查询工具：-qa 全量、-qi 详情、-ql 文件、-qf 归属、-qR 依赖、-qc 配置，排障时首选。
tar 打包与解包
归档事实标准：-c 创建、-x 解包、-t 列表，配合 z/xz 压缩；备份脚本里用 -C 切目录、--exclude 排除缓存目录。
dnf 安装指定版本与本地包
安装特定版本、降级到旧版、从本地 rpm 文件装：install 加版本号、downgrade 降级、install ./pkg.rpm 装本地包三种常见路径。
apt 基础用法（deb 系）
麒麟桌面、UOS 桌面走 deb 体系：apt update 刷新索引、apt install 安装、apt upgrade 升级；概念与 dnf 一一对应。
find 文件查找与批量处理
按名称、类型、时间、大小、权限检索文件，并可直接接 -exec/-delete 做批量处理；清理与审计都靠它。
grep 文本搜索
在文件与目录中做正则搜索：-r 递归、-E 扩展正则、-i 忽略大小写、-v 反向过滤，-A/-B/-C 看上下文；排障查配置与日志的日常工具。
rsync 增量同步与备份
同步与备份的标准工具：增量传输、断点续传、--delete 保持镜像一致；首次全量、之后只传变化部分。
dnf 系统更新与安全补丁
dnf upgrade 升级全部可更新包（含内核），updateinfo 查看安全公告状态；信创环境常按安全补丁类型单点更新，而非整机升级。
软件源 .repo 文件格式
/etc/yum.repos.d/*.repo 定义仓库：中括号内是 repo id，baseurl 指地址，enabled/gpgcheck 控制开关与校验；改源核心就是改这里。
curl 下载与接口调试
curl 既能下载文件（-O/-o），也是排查 HTTP 问题的听诊器：看状态码、响应头、重定向与证书细节。
磁盘空间查看（df/du）
空间排查成对使用：df 看文件系统整体用量与 inode，du 看目录级占用找大块头，配合排序快速定位增长来源。
dnf 离线下载与离线安装
内网离线环境标准做法：在联网机器用 dnf download 把 rpm 及依赖拉到本地，拷贝进内网再用 dnf 本地安装。
vim 基础操作速查
服务器编辑器的通用选择：模式切换、保存退出、查找替换、跳转行号是日常四件事；改配置离不开它。
ss 查看端口与连接
netstat 的现代替代：ss -tulnp 看监听端口与所属进程，-s 看连接统计，按状态过滤定位异常连接。
连通性排查（ping/traceroute/mtr）
网络排障起手式：ping 测 ICMP 连通与延迟、traceroute 看路径、mtr 持续观测丢包节点；端口级验证用 nc 或 curl。
SSH 密钥生成与分发
密钥登录替代口令：ssh-keygen 生成密钥对，ssh-copy-id 分发公钥，私钥加口令短语保护；服务器批量管理的基本功。
chmod 权限管理
权限模型的核心命令：u/g/o 与 r/w/x、数字法 644/755/600；目录需要 x 才能进入，脚本要 x 才能执行。
dnf 卸载与依赖清理
卸载软件包并检查残留：dnf remove 自动处理依赖关系，remove 后用 autoremove 清理孤儿依赖，注意别误删系统基础组件。
dnf config-manager 管理软件源
用命令增删启停仓库：--add-repo 添加、--set-enabled/--set-disabled 开关、--setopt 临时改参数，比手改 .repo 文件更规范。
源码编译安装三步
官方没提供 rpm/deb 包时的通用方案：安装开发工具链，./configure 生成 Makefile，make 编译，make install 安装到指定前缀。
sed 批量替换与行编辑
流编辑器：s 替换是常用动作，-i 原地修改（先备份）、按行号或正则定位；批量改配置的标准工具。
进程查看（ps/pgrep）
进程排查基础：ps aux 与 ps -ef 看全量与父子关系，按内存/CPU 排序找资源大户，pgrep 按名称精确定位 PID。
ip 命令网络管理
替换 ifconfig/route 的新一代网络工具：ip addr 看地址、ip route 看路由、ip link 管理接口，临时排障与脚本自动化都常用。
dnf 事务历史与回滚
每次安装/升级/卸载都是可查的事务：dnf history 列出、info 看明细、undo/rollback 回滚，是误操作后的优先处理手段。
dnf provides 按文件/能力找包
系统报缺某个命令或 .so 文件、不知道装哪个包：dnf provides 按路径或能力反查包名；已装文件反查用 rpm -qf。
dpkg 本地包管理与查询
deb 体系的底层工具：-i 装本地 deb、-l 列已装、-L 查文件、-S 反查归属、-r/-P 卸载；apt 负责依赖，dpkg 直接干活。
top 实时资源监控
实时看 CPU、内存、负载与进程：理解 load average 含义、按 P/M 排序、按 1 展开多核，现场定位卡顿。
scp 远程文件传输
基于 SSH 的快速复制：本地上传下载、-r 传目录、-P 指定非标准端口；小批量文件交换的直接选择。
dnf repoquery 包查询详解
repoquery 面向仓库元数据做精细查询：按文件反查所属包、查依赖树、查更新来源，比 dnf search 更精确。
rpm 本地安装与常用参数
rpm -ivh 装但不管依赖、-Uvh 升级安装；能联源时优先用 dnf 装本地包，--nodeps --force 属高危参数要慎用。
apt 软件源 sources.list 格式
deb 系源文件：/etc/apt/sources.list 或 /etc/apt/sources.list.d/*.list，一行等于类型加地址加发行版代号加组件；代号写错是报错高发点。
awk 字段提取与统计
按列处理文本：-F 指定分隔符，$1..$n 取列，NR/NF 做行号与列数控制，可以一行完成过滤加统计。
date 时间命令
时间相关操作的总入口：格式化输出、解析时间戳、计算相对日期；写脚本做时间戳命名与日志切片时高频使用。
chown 属主与属组修改
调整文件归属：chown user:group、-R 递归、--reference 参照复制属性；部署后目录归属不对是服务起不来的常见原因。
dnf 缓存维护（makecache/clean）
源元数据缓存过期会导致“找不到包”：makecache 刷新元数据、clean all 清掉损坏缓存重建，是 dnf 异常的常用处置组合。
制作内网本地 RPM 仓库
离线内网标准组件：收集 rpm 到目录 → createrepo_c 生成元数据 → HTTP 或 file:// 发布，客户端配 .repo 即可使用。
openEuler 官方源配置
openEuler 源文件为 /etc/yum.repos.d/openEuler.repo，指向 repo.openeuler.org；内网环境换成镜像站地址后清理缓存再验证。
wget 下载与断点续传
wget 适合长文件与弱网：-c 断点续传、--limit-rate 限速、-r 镜像站点；脚本里配合 -q -O 组合使用。
软链接与硬链接
ln -s 建软链（跨文件系统、指向路径），硬链接共享 inode 只能同文件系统；发布目录切换与版本管理常用软链。
环境变量与 profile 配置
环境变量持久化位置要分清：/etc/profile.d 全局、~/.bashrc 交互 shell、~/.bash_profile 登录 shell；放错位置是“命令在面板里生效、SSH 里没有”的根因。
dnf list 与已装包核查
核查系统已装软件版本：list installed 看全量、list 指定包看仓库与已装两态、配合过滤做资产盘点与版本合规检查。
rpm 校验文件完整性（-V）
怀疑系统文件被改坏或篡改时：rpm -V 比对文件大小、权限、校验和与元数据记录值，输出哪类不一致一目了然。
软件源 GPG 签名校验
官方源都做 GPG 校验保证包未被篡改：gpgcheck=1 加 gpgkey 指定公钥；导入新源公钥用 rpm --import，报 NOKEY 时才需要处理。
软件源镜像站切换方法
官方源慢或不可达时切换到内网镜像：改 baseurl 指向镜像站、清理缓存、验证可用；变更前先备份原 repo 文件。
apt 依赖修复（-f install）
装到一半失败、dpkg 中断、依赖破损：apt --fix-broken install 是标准修复入口；先修好依赖再继续其他操作。
UOS 桌面版软件源配置
UOS 桌面版软件源在 /etc/apt/sources.list 及 sources.list.d/ 下：企业内网通常指向 UOS 内网镜像；改前备份、改后 update 验证。
zip/unzip 与 7z 压缩包
与 Windows 交换文件的常见格式：zip -r 打包目录，unzip -l 查看、-d 指定目录；7z 处理多格式与文件名编码更省心。
系统信息快查组合
接待排障与交接时的快速体检：内核版本、运行时长、最近启动时间、CPU 与内存概况，一组命令 30 秒摸清底数。
校验和工具（md5/sha256）
校验文件一致性与完整性：sha256sum 生成摘要、-c 批量校验清单文件；下载分发与迁移比对都用它。
dnf 软件组安装（group）
按组批量装软件（开发工具、桌面环境等）：dnf group list 查看、group install 安装、group info 看组内明细，适合装机后补齐组件。
RPM 依赖机制与常见冲突
理解 requires/provides 模型：缺依赖报 Failed dependencies、文件冲突报 conflict；处理哲学是补源找包，而不是无脑 --force。
apt-cache 包查询与版本策略
查包三件套：apt search 找名字、apt show 看详情、apt policy 看候选版本与来源优先级，装前必查避免装错来源。
麒麟桌面版软件源配置
麒麟桌面版走 deb/apt 体系：源文件为 /etc/apt/sources.list，版本升级与内网交付都从这里改；跨版本拷源是装不上包的高频原因。
man 手册查阅
系统自带权威参考：man 段落编号区分命令与配置文件（如 man 5 sshd_config），-k 关键字搜索快速定位。
管道、tee 与 xargs 组合
把命令串起来干活：tee 边看边存日志，xargs 把列表变成批量参数；掌握 -0 与干跑习惯可安全处理大量文件。
yum 与 dnf 的关系
CentOS 时代教程里 yum 遍地，新信创系统实际由 dnf 承接：yum 保留为兼容命令，参数基本互通，开发了解差异可少踩坑。
EPEL 仓库的适用与安装
EPEL 提供 RHEL 系生态的补充开源软件包；信创发行版与 RHEL 同源度越高兼容性越好，启用前必须评估基线与支持责任。
apt 锁定包版本（hold）
生产不允许某软件被自动升级：apt-mark hold 锁住、unhold 解锁、showhold 查看；升级期保护内核与数据库的常用手段。
file 识别文件类型与架构
拿到一个不明文件先 file：识别文本/脚本/ELF/压缩包，还能读出二进制目标架构（x86-64、ARM aarch64），检查跨平台拷贝的关键一步。
base64 编解码
处理二进制转文本的场景：证书、图片随配置传递，或排查接口参数编码问题；只是编码不是加密，不可用于保密。
命令历史检索
复用与追溯历史命令：history 列表、Ctrl+R 反向搜索、!n 与 !! 快速重放；排障时找回上一次的复杂命令。
命令定位（which/type/command -v）
不确认“跑的是哪个程序”时先定位：type -a 显示所有匹配（含别名与函数），command -v 输出可执行路径，脚本里判断命令是否存在。
rpm 数据库损坏修复
电源异常或强杀 rpm 进程后，rpm/dnf 报数据库错误：先清锁与缓存，再用 rpm --rebuilddb 重建数据库。
软件源健康巡检
定期巡检各源可用性：逐个测试 repodata 元数据可达性，发现镜像失效或同步中断，避免装机与补丁时才发现源坏了。
服务与运维65 条
服务管理、日志与计划任务
systemctl 服务启停与状态查看热门
systemd 下服务管理的入口命令：start/stop/restart 控制运行状态，status 查看详情，is-active/is-enabled 适合脚本判断，麒麟 V10、UOS、openEuler 通用。
journalctl 日志查询基础热门
systemd 日志统一入口：-u 按服务、-f 实时跟踪、-p 过滤级别、-n 限量、--no-pager 便于复制与脚本处理；麒麟、UOS、openEuler 通用。
编写自定义 systemd 服务单元
把自研程序注册成受管服务：在 /etc/systemd/system 写 .service 文件，声明 ExecStart、Restart 与安装段，daemon-reload 后 enable --now 纳入开机与守护管理。
crontab 用户级计划任务
crontab -e 编辑当前用户任务、-l 列出、-u 指定用户；任务行写绝对路径命令，输出重定向到日志或按 MAILTO 发送，避免任务跑了但错误被吞。
failed 单元排查与复位
服务启动失败会进入 failed 状态：systemctl --failed 列出全部失败单元，reset-failed 清理失败计数与标记，配合 status 与 journalctl 定位根因。
服务启动失败的标准排查流程
从状态码到根因的五步：status 看错误行、journalctl 看详细日志、手动跑 ExecStart 复现、核对权限/端口/配置、修复后 reset-failed 重启验证。
systemctl enable 开机自启管理
enable/disable 控制服务是否随开机启动，is-enabled 查询当前状态；enable --now 等于同时启动。批量为服务做自启取舍是交付初检的常规动作。
进程信号：kill 常用信号与批量处理
kill 默认发 TERM 优雅退出，KILL(9) 强杀仅在兜底时用；pkill/pgrep 按名称或命令行批量处理，kill -0 可判断进程是否存在。
systemd timer 定时任务
用 .timer + .service 组合替代 cron：支持日历表达式、随机延迟与错过补跑（Persistent），执行记录进 journal 便于审计与排障。
daemon-reload 的生效时机
新增或修改 unit、drop-in、依赖关系后必须 systemctl daemon-reload 让 PID1 重新读取；这是'配置改完不生效'类问题的高频原因之一。
内核日志：journalctl -k 与 dmesg
内核与驱动信息用 journalctl -k 查看（持久化）；dmesg 直接读内核环形缓冲区，-T 显示可读时间、-w 实时跟踪；非 root 可能受 dmesg_restrict 限制。
logrotate 日志轮转配置
应用自管日志用 logrotate 控制周期、保留份数与压缩：/etc/logrotate.d/ 下加规则文件，按 daily/weekly、rotate N、compress 组合，配套 create 与 postrotate 保证新文件权限与进程重开。
上线验证：服务状态与端口核对
服务 running 不代表业务可用：用 ss 核对监听地址与端口，本机 curl 或 telnet 实测，再看 journal 启动日志，构成最小验证闭环。
负载均值解读与高负载定位
uptime 的 load average 是 1/5/15 分钟可运行与不可中断进程均值：对比 CPU 核数判断是否过载，再用 ps/vmstat/iostat 分辨 CPU、IO 还是 D 状态阻塞。
mount/umount 挂载卸载与占用处理
临时挂载用 mount 一行命令，卸载失败多半是被占用：lsof/fuser 找占用进程；remount 可在线改部分挂载选项，ro 重挂用于紧急只读保护。
drop-in 覆盖单元配置
不改厂商原始单元文件，用 drop-in 片段（/etc/systemd/system/单元.d/*.conf）追加或覆盖参数，系统升级时不会被覆盖，是运维调整服务参数的标准做法。
journal 日志持久化配置
默认日志可能只存内存（重启丢失）：创建 /var/log/journal 目录并设置 Storage=persistent 后落盘，重启后仍可回溯上一次会话。
journal 日志空间管理与清理
journal 长期落盘会占用 /var：--disk-usage 查看占用，--vacuum-size/--vacuum-time/--vacuum-files 三个维度清理，配合 journald.conf 上限做长期控制。
cron 时间字段格式详解
五个字段依次为分、时、日、月、周：支持 * 任意、a-b 区间、a,b 列举与 /n 步进；日与周同时写具体值时为'或'语义，容易写错。
ulimit 查看与临时调整会话限制
ulimit 查看/设置当前 shell 会话的资源上限（打开文件数、进程数、栈等），-n 是服务排障高频项；仅对当前会话生效，持久化要改配置。
free 内存视图与 available 含义
free -h 看内存总量与使用：buff/cache 是可回收缓存，判断压力看 available 而不是 free 本身；配合 swap 使用量与 OOM 日志综合判断。
mask 屏蔽服务防止被拉起
disable 后服务仍可能被依赖或 socket 激活拉起：用 mask 把单元链接到 /dev/null 彻底屏蔽，unmask 恢复。等保整改中常用来屏蔽不需要的服务。
按启动会话回溯日志
每次开机是一个 boot 会话：-b 看本次、-b -1 看上次、--list-boots 列出全部会话；排查重启后故障消失类问题必备，前提是日志已持久化。
rsyslog 基础配置与日志分流
传统文本日志由 rsyslog 落盘：主配置引入 /etc/rsyslog.d/*.conf，按 facility.severity 规则分流到不同文件，改完重启 rsyslog 生效。
计划任务不执行排查步骤
按是否被触发、命令是否执行失败、环境差异三步推进：先看 cron 日志确认触发，再看重定向输出捕获报错，最后对比 PATH/编码等会话环境。
后台任务：nohup 与作业控制
临时长任务用 nohup 或 setsid 脱离终端并重定向输出，jobs/fg/bg 管理当前会话作业；正式任务建议注册 systemd 服务或 systemd-run 托管。
systemd 服务的文件句柄限制
高并发服务报 Too many open files 时改单元 LimitNOFILE：用 drop-in 单独放开并 daemon-reload 后重启；systemd 服务默认继承 PID1 的限制，需要显式配置。
iostat 查看磁盘 IO 压力
iostat -x 看每块盘的吞吐与延迟：%util 接近饱和、await/r_await/w_await 升高说明排队；配合 -d 只看磁盘、秒级刷新定位突发压力。
块设备识别：lsblk 与 blkid
接盘、加盘、迁移挂载前先认设备：lsblk -f 显示树形结构与文件系统/UUID，blkid 给出 UUID 与类型；用 UUID 写 fstab 避免设备名漂移。
系统日志文件地图（麒麟/UOS/openEuler）
不同发行版日志落点不同：RPM 系 messages/secure，DEB 系 syslog/auth.log，加上包管理与审计日志；先知道在哪里，再谈排查效率。
Restart 重启策略与失败限速
关键进程用 Restart=on-failure/always 配合 RestartSec 做崩溃自愈；systemd 对频繁重启有限速（StartLimitBurst/StartLimitIntervalSec），触发后单元停摆需修根因并复位。
单元清单与状态筛选
list-units 看内存中已加载的单元，list-unit-files 看磁盘上全部单元文件及自启状态；配合 --state/--type 过滤做服务盘点与最小化核查。
OnCalendar 日历表达式写法
OnCalendar 支持 * 通配、.. 区间、逗号枚举与 / 步进；写法不确定时先用 systemd-analyze calendar 验证并查看下次触发时间。
系统级计划任务：/etc/cron.d 与目录任务
/etc/cron.d/ 放系统任务（比用户 crontab 多一个用户字段）；cron.hourly/daily/weekly/monthly 目录放可执行脚本由 run-parts 调用；RPM 系常用 anacron 补跑停机的日/周任务。
systemd-analyze 启动耗时分析
量化开机时间：time 看固件引导、内核、用户态三段分解；blame 列出耗时靠前的单元；critical-chain 展开关键路径，三者结合定位启动瓶颈。
sar 历史性能数据查看（sysstat）
sar 读取 sysstat 每日采集文件回看历史：-u CPU、-r 内存、-d 磁盘、-n DEV 网络；前提是 sysstat 采集已开启并沉淀了 /var/log/sa 数据。
vmstat 观察 CPU/内存/IO 概览
vmstat 一行数据把运行队列、内存换页、IO 与 CPU 状态摊开：r 队列高说明 CPU 排队，si/so 非零说明在换页，bi/bo 看块设备吞吐方向。
smartctl 磁盘健康检查
SMART 数据用于判断磁盘是否亚健康：-H 看健康状态，-A 关注重分配扇区、待映射扇区、命令超时等属性；定期巡检加告警能提前于故障发现。
NFS 客户端挂载与选项
访问 NAS 与共享存储：装 nfs-utils 后用 showmount 看导出，mount -t nfs 带版本与超时选项挂载；fstab 加 _netdev 与 nofail 避免网络未就绪时拖死启动。
单元依赖与启动顺序
systemd 用 Wants/Requires 表达依赖、After/Before 表达顺序：依赖决定拉不拉、顺序决定先后。排查启动链问题用 list-dependencies 与关键链分析。
journalctl 输出格式与字段检索
journalctl 可切换输出格式：short-iso 带时区时间便于对账，verbose/json-pretty 展示每条日志的结构化字段（_PID、_COMM、SYSLOG_IDENTIFIER 等），-F 列出字段取值。
集中日志：rsyslog 转发到日志服务器
客户端一行配置即可把日志转出：*.* @@服务器:514 走 TCP、@:514 走 UDP；服务端加载 imtcp 模块并用模板按来源主机、程序名分目录落盘。
at 一次性定时任务
at 用于某时刻执行一次的场景：at/atq/atrm 一套命令，依赖 atd 服务；输出默认走邮件，可重定向落盘，适合临时维护窗口操作。
limits.conf 持久化资源限制
登录会话级限制写到 /etc/security/limits.conf 或 /etc/security/limits.d/*.conf（PAM 的 pam_limits 加载）；对通过 PAM 登录产生的会话生效，重新登录后生效。
软 RAID 状态查看（mdadm）
软件 RAID 用 /proc/mdstat 与 mdadm --detail 看阵列健康：确认每块盘状态（active sync、faulty、missing）、重建进度与降级情况，details 字段定位坏盘位置。
timer 错过执行后的补跑
机器在计划时间关机或休眠时，Persistent=true 会让 timer 在下次开机后立即补跑一次错过的任务；cron 没有等价能力，需 anacron 配合。
journald 主配置与速率限制
journald 行为集中在 /etc/systemd/journald.conf：落盘策略、大小上限、转发 syslog、速率限制等；改完重启 systemd-journald 生效，日志高峰被限速时先查这里。
nice/renice 调整进程优先级
CPU 竞争时把批处理任务降级：nice 在启动时设定优先级（-20..19，越小越优先），renice 调整运行中进程，ionice 控制磁盘 IO 优先级，避免批处理抢占业务资源。
tuned 性能调优配置集
openEuler 与麒麟服务器常用 tuned 管理性能配置集：tuned-adm list 查看、profile 切换（如 throughput-performance、latency-performance），active 确认当前生效项。
network-online.target 与网络就绪等待
依赖网络的挂载与服务在开机早期启动会失败：让 NetworkManager-wait-online 或 systemd-networkd-wait-online 生效，服务用 Wants + After 依赖 network-online.target。
服务资源限制：MemoryMax 与 CPUQuota
用 cgroup 给服务设资源上限防单点拖垮整机：单元 drop-in 配 MemoryMax/CPUQuota，systemd-cgtop 看各单元实时占用；超限时 OOM 处理范围收敛在该单元内。
systemd-run 临时与延迟执行
不写 unit 文件直接让 systemd 托管一次性命令或定时任务：systemd-run 立即执行并接管输出；--on-active/--on-calendar 生成瞬时 timer，适合临时运维动作。
logrotate 不执行的排查
轮转未生效常见原因：规则语法问题、触发机制未运行、日志路径不匹配、未到周期；用 -d 演练、看 timer 与状态文件三步定位。
默认启动 target 切换（图形/多用户）
服务器交付常用多用户 target、桌面用图形 target：get-default 查看、set-default 切换默认；isolate 立即切换会停止无关单元，远程操作要评估影响。
autofs 按需自动挂载
autofs 在访问目录时才挂载、闲置后卸载，适合多用户共享与移动介质场景；配置分主映射 /etc/auto.master 与映射文件，改完 reload 服务生效。
用户级 systemd 服务与 linger
以普通用户身份托管程序：systemctl --user 管理 ~/.config/systemd/user/ 下的单元；要让服务在用户不登录时也运行，需要 loginctl enable-linger。
sosreport 收集诊断信息
向厂商报障前用 sos 收集系统信息：一条命令打包配置、日志、硬件与包清单，按需裁剪插件与敏感数据，输出压缩包便于离线传递。
服务环境变量：EnvironmentFile 配置
给 systemd 服务集中注入环境变量：单元里用 EnvironmentFile 指向 key=value 文件（路径前加 - 表示文件缺失也不报错），配合 Environment 直接定义，改后重启生效。
systemd-analyze verify 校验单元与 timer
写完单元文件先 verify：检查语法、可执行路径与依赖；timer 的时间表达式用 calendar 子命令验证；较新版本还提供 security 子命令评估沙箱能力面。
磁盘配额限制用户占用
给文件服务器与开发机做用户级配额：先在挂载项启用 usrquota、grpquota 并重挂，再初始化配额数据库、用 edquota 设置上限，repquota 出报表。
串口控制台登录配置
服务器带外与串口线场景启用串口控制台：内核参数加 console=ttyS0,115200，启用 serial-getty@ttyS0 服务提供登录提示符，服务器与终端软件波特率保持一致。
coredumpctl 查看崩溃核心转储
程序崩溃后 systemd-coredump 接管核心转储：coredumpctl list 列出记录、info 查看崩溃信息、debug 进入调试；配合 coredump.conf 控制存储策略。
SysV 服务到 systemd 命令对照
存量运维资料常是 service/chkconfig 写法：对照映射迁移到 systemctl 行为一致且状态可查；带 init 脚本的旧程序由 systemd-sysv-generator 自动生成兼容单元。
systemd-tmpfiles 管理临时文件
用 tmpfiles.d 规则声明临时目录与清理周期：--create 建目录修权限，--clean 清理过期内容；发行版自带规则在 /usr/lib/tmpfiles.d，本机覆盖放 /etc/tmpfiles.d。
rc.local 开机脚本的正确启用
老部署习惯把开机命令放 rc.local：现代发行版需要 rc-local.service 单元配合，脚本加执行位并 enable 后才会执行；关键业务建议改用正式 unit。
安全加固65 条
账户权限、防火墙与等保要求
SSH 服务基础加固
SSH 加固先做基线检查：禁空口令、限试错、关不必要转发、按需禁 root 与口令登录；改完 sshd -t 校验再 reload，保留在线会话做逃生通道。
仅密钥登录并禁用密码认证
部署密钥后关闭口令登录：先 ssh-copy-id 验证密钥通道，再关 PasswordAuthentication；免密失效多数是文件权限与属主问题。
账户清单核查：UID 0 与空口令
交付与迎检前的常规动作：找出 UID 为 0 的账户、重复 UID、空口令与可登录的系统账户，逐个确认用途并处置。
sudoers 配置与语法检查
提权授权集中在 /etc/sudoers 与 /etc/sudoers.d/：用 visudo 编辑并做语法检查，按最小权限与命令粒度授权，避免 ALL 授权扩散。
firewalld 基础与区域概念
firewalld 是 RHEL 系与信创发行版默认的动态防火墙管理工具，按 zone（区域）组织规则，支持运行时与永久两套配置；systemd 管服务进程，firewall-cmd 管规则。
login.defs 口令策略配置
/etc/login.defs 定义口令最短使用期、有效期、警告期与加密算法等基线；只对新建与后续修改生效，存量账户用 chage 补齐。
登录失败锁定：pam_faillock
连续登录失败锁定账户：faillock.conf 配置 deny 与 unlock_time，PAM 栈在鉴权与账目阶段引用 pam_faillock；锁定与解锁用 faillock 命令查看与复位。
firewalld 端口放行与端口段
没有预置服务定义的应用按端口放行：支持单个端口、协议区分（tcp/udp）与连续端口段，来源限制通过富规则叠加。
账户锁定与删除规范
人员离场与账户回收：临时停用先锁定（保留数据），确认不再使用再删除；服务账户锁定后注意计划任务与进程仍可能以该账户身份运行。
PAM 口令复杂度（pwquality）
口令复杂度由 PAM 的 pam_pwquality 模块控制：在 pwquality.conf 配长度、字符类别与重试次数，统一约束改密行为。
修改 SSH 端口与联动配置
改 SSH 端口不止改 sshd_config：防火墙放行、SELinux 端口标签、监控与自动化同步都要动，缺一项就会出现改完连不上。
firewalld 按服务放行
放行一组端口省事的方式是按服务名放行：firewalld 预置 ssh、http、https、samba 等常见服务定义，也可自定义服务文件复用。
SELinux 运行模式查看与切换
SELinux 三种模式：enforcing 强制执行、permissive 只记录不拦截、disabled 关闭；改配置文件后重启生效，临时切换用 setenforce 只影响当前运行期。
等保 2.0 主机安全要求与检查命令
等保三级主机层覆盖身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范等控制点；把每条要求映射到可执行的核查命令，整改才有落点。
chage 口令有效期管理
chage 管理单个账户的口令生命周期：-l 查看、-M/-m/-W 设置有效期上限、下限与警告天数、-d 强制下次登录改密；交付验收与等保整改常用。
限制 root 直接登录的范围
从通道上收窄 root 使用：控制台登录由 /etc/securetty 约束、SSH 由 PermitRootLogin 约束，日常运维走普通账户加 sudo，管理动作可审计。
sudo 操作审计日志
sudo 使用记录默认进认证日志（secure/auth.log 与 journal）：需要独立审计文件时在 sudoers 配 Defaults logfile，按合规要求还可开启会话记录。
禁用 SSH 弱加密算法
按安全基线收窄 SSH 算法集：KexAlgorithms、Ciphers、MACs 只保留现代算法，兼容老客户端的场景单独评估例外。
sshd 配置校验：-t 与 -T
改 SSH 配置的安全动作：sshd -t 校验语法，sshd -T 输出合并后的最终生效值，避免改了没生效与改错起不来两类问题。
firewalld 富规则 rich rule
富规则在 zone 层面做细粒度控制：来源地址、端口、协议、日志、限速自由组合，语法接近自然语言，能覆盖多数服务级访问控制需求。
iptables 基础：表链与规则查看
iptables 仍是许多加固脚本与信创环境实际使用的过滤工具：filter/nat/mangle 三张常用表，INPUT/OUTPUT/FORWARD 三条主链；先看清现状再动手。
SELinux 拒绝排查：AVC 日志与 sealert
SELinux 拦截会留下 AVC 记录：ausearch 按时间检索，sealert/audit2why 给出人话解释；先判断是标签、布尔还是策略缺失，再决定修复方式。
监听端口最小化核查
对外可达面积 = 监听端口 × 来源范围。用 ss -tulnp 盘点全部监听，逐条核对：服务是否必要、监听地址是否必要（0.0.0.0 还是 127.0.0.1）、防火墙来源限制是否到位。
firewalld runtime 与 permanent 两套配置
firewalld 规则分运行时与永久两份：runtime 立即生效但重启丢失，permanent 写盘但需 reload 才生效；分清后能避免改了不生效或临时改动被意外固化。
影子口令状态与哈希算法检查
影子口令第二列承载锁定标记与哈希算法：! 与 !! 表示锁定、空字段表示无口令、$6$ 代表 SHA-512；巡检时抽样核对，处置用标准工具。
限制 su：pam_wheel 配置
默认任何用户知道 root 口令都能 su：用 pam_wheel 限制仅 wheel 组成员可 su，把提权收敛到受控账户，配合 sudo 形成审计链路。
sudo 免密策略的最小化使用
自动化与运维机器人需要免密时，按命令粒度配置 NOPASSWD；范围写宽等于放大风险，定期复核授权清单并清理失效条目。
SSH 访问白名单（AllowUsers/AllowGroups）
用 AllowUsers/AllowGroups 把登录来源收敛到指定账户与网段：白名单语义是只允许列出者，配置后按用户与来源双维度验证。
SSH 会话超时设置
空闲会话自动断开：sshd 侧 ClientAliveInterval 与 CountMax 控制连接层面；shell 侧配合 TMOUT 控制交互空闲，两处都配才完整。
firewalld 区域管理与接口绑定
区域决定接口默认接受哪些流量：接口绑定到哪个 zone，该接口就套用该 zone 的规则；调整默认区域与接口归属是初始化加固的常见动作。
SELinux 上下文查看与临时修改
上下文（context）是 SELinux 判断访问的核心标签：文件、进程、端口、用户各有标签；ls -Z 与 ps -Z 是常用的查看入口。
auditd 安装与服务状态检查
auditd 是 Linux 审计子系统：内核产生审计事件，auditd 落盘 /var/log/audit/audit.log；等保与安全审计要求场景基本都要它在线。
SUID/SGID 文件清单核查
带 SUID/SGID 位的可执行文件是提权面：基线要求掌握全部存量清单并定期比对差异；重点核对清单外、近期新增或位于可写目录中的条目。
iptables 常用规则示例
把常用规则一次写全：放行本机回环与已建立连接、按来源放行 SSH、放行 Web 端口、ICMP 限速，再设默认拒绝策略收尾。
SELinux 自定义目录标签：semanage fcontext
把非标准路径（如 /data/web）设为 Web 可访问目录的正确姿势：semanage fcontext 登记规则 + restorecon 应用，重启与 relabel 后依然有效。
SELinux 问题排查流程速查
服务突然报权限拒绝且切换 permissive 后恢复，基本可判定 SELinux 介入；按 模式→AVC→标签/布尔/策略 的顺序定位，避免直接关闭 SELinux 了事。
审计规则编写与持久化
按审计目标收集事件：监控关键文件写删（-w）、系统调用（-a）、按用户过滤；临时规则用 auditctl -a/-w，持久化放 /etc/audit/rules.d/ 后 augenrules --load。
umask 权限掩码策略配置
umask 决定新建文件/目录的默认权限：022 给同组只读、027 屏蔽同组写与他组全部；加固基线常要求 027，配置位置与生效范围要分清。
全局可写文件排查
全局可写（o+w）文件是未授权篡改的常见入口：等保核查与日常巡检都会扫；find 按权限位过滤并排除伪文件系统，结果逐一确认后收敛权限。
等保主机层核查要点清单
把等保主机层面（身份鉴别/访问控制/安全审计/入侵防范/恶意代码）常用核查命令汇总为对照表，用于自查与整改复测；数值类要求按定级情况确认。
pam_tally2 旧机制与迁移
老版本信创系统仍在用 pam_tally2 做登录失败计数：用 pam_tally2 命令查看与清零；新版本已由 faillock 取代，两套计数不互通。
iptables 规则持久化
iptables 规则默认为内存态、重启即丢；RHEL 系用 iptables-services 保存到 /etc/sysconfig/iptables，也可靠 iptables-save/restore 手工落盘。
SELinux 布尔值开关管理
布尔值是策略预留的功能开关：不改策略代码就能放行某类跨域访问（如 Web 访问网络、FTP 读写家目录）；setsebool -P 持久化。
审计日志检索：ausearch 与 aureport
auditd 的日志检索标准工具：ausearch 按 key/时间/类型查明细，aureport 出汇总报表；配合 -i 把数字 ID 解析成用户名更易读。
系统服务最小化核查
等保要点是最小安装、最小服务：启用列表与依赖关系都要收敛；停用前先查依赖，用 systemctl disable --now 一次完成禁自启与停止。
补丁管理与更新回滚
补丁管理流程：查可用更新与安全公告，验证环境试装，生产窗口期执行并留回滚点；dnf history 提供操作级回滚依据，内网用离线仓库同步补丁。
网络与内核安全参数加固
常用内核网络加固参数（防 IP 欺骗、禁源路由与重定向、SYN flood 缓解）；统一收敛到 /etc/sysctl.d/ 下单独文件管理，改完按接口复验。
SSH 登录横幅配置
登录横幅用于安全告知与合规提示：Banner 指向提示文件，内容避免暴露系统版本与主机信息，配置后新会话即可看到。
nftables 基础与规则管理
nftables 是新内核的包过滤框架，openEuler、较新麒麟已用它承载防火墙；nft 命令交互管理，/etc/nftables.conf 保存持久配置。
审计日志留存与轮转配置
合规场景要求审计日志留存不少于六个月：靠 auditd.conf 的轮转参数控制本地容量，再叠加远程 syslog/日志服务器集中留存；改完用 auditctl -s 与日志目录验证。
AIDE 文件完整性检查
AIDE 对文件属性（权限、属主、大小、哈希）建立基线库并定期比对，发现被篡改文件；基线必须在可信状态下初始化并妥善保存。
GRUB 引导口令保护
防止通过编辑内核参数或单用户模式绕过认证：GRUB2 设引导口令（PBKDF2 哈希存 user.cfg），配合 rescue 认证才形成完整链路。
关键系统文件权限核查
口令与认证文件权限错误属高风险项：/etc/passwd 644、/etc/shadow 000 或 600、sshd_config 600 等；逐项核对，必要时用 chattr 加不可变位防篡改。
firewalld panic 模式：紧急网络隔离
panic 模式一键阻断全部进出流量并切断已建立连接，适用于应急响应时发现异常外联、蠕虫横向传播的临时隔离；处置完立即关闭恢复策略。
ClamAV 恶意代码防护部署
ClamAV 提供病毒库更新（freshclam）与扫描（clamscan/clamdscan）：适合文件服务器、上传目录与终端加固场景；离线环境要单独设计病毒库同步通道。
口令历史（禁止重复使用）配置
等保要求口令不得重复使用：pam_pwhistory 记录历史口令哈希并限制重复次数；配置进 PAM 口令栈，改完用 passwd 实测生效。
内核模块黑名单：禁用不必要文件系统与接口
等保常见核查项：禁用 cramfs/freevxfs/udf 等不必要文件系统与 usb-storage 接口，减少攻击面；黑名单写 modprobe.d，必要时重建 initramfs。
命令历史安全配置
审计追溯要求命令行操作可查：HISTTIMEFORMAT 带时间、放大 HISTSIZE/HISTFILESIZE、histappend 防覆盖；改完重新登录验证时间戳。
rpm -Va 系统文件完整性核对
rpm -Va 比对全部已装包文件与 RPM 数据库记录（校验和/权限/属主/大小），快速发现被替换的系统文件；输出留档后过滤研判。
单用户与救援模式认证检查
等保要求：进入单用户/救援模式必须口令认证。systemd 环境由 rescue/emergency 单元调用 sulogin 保障，与 GRUB 口令配合形成闭环。
计划任务访问控制（allow/deny）
限制谁可以创建 cron/at 任务：allow 列表存在时只有名单内用户能建任务，allow 与 deny 并存时 deny 失效；服务收敛后清点两个文件。
USB 设备管控 usbguard
等保对物理接口管控有要求：usbguard 按设备规则允许/拒绝 USB 接入；先生成策略再启用服务，避免把键盘鼠标一起锁死。
核心转储（core dump）关闭
core dump 会把进程内存写盘，可能带出密钥与业务数据；安全基线通常要求关闭：systemd-coredump、ulimit、内核参数三处保持一致。
控制台登录横幅 /etc/issue 配置
控制台与部分服务的登录提示：/etc/issue 面向本地终端、/etc/issue.net 供网络服务使用；合规提示保留警告语，同时避免暴露系统版本信息。
Secure Boot 状态检查
信创环境常核查安全启动状态：mokutil 查看开关与已登记密钥，涉及第三方驱动签名与自编译模块时注意加载限制。
迁移适配65 条
应用适配与中间件迁移要点
CPU 架构识别：x86_64 / aarch64 / LoongArch
信创环境先确认架构再选软件包：uname -m 输出 aarch64 对应飞腾/鲲鹏、x86_64 对应海光/兆芯、loongarch64 对应龙芯新平台。
数据迁移：rsync 与流式传输
文件数据迁移以 rsync 为常规方案：增量同步、断点续传、保持权限时间；大量小文件先打包再传，减少元数据开销。
Windows 迁移信创评估清单
迁移前先做资产与依赖盘点：硬件兼容性、外设、业务软件与浏览器插件、打印扫描、账号共享，全部清单化确认替代方案后再排期。
挂载 Windows 共享（CIFS）
把 Windows 共享挂到本地目录：mount -t cifs 一行可用，长期挂载写 /etc/fstab 并用 600 权限的凭据文件避免明文口令。
二进制架构与依赖检查：file / ldd / readelf
部署前先验二进制：file 看目标架构、ldd 看动态库依赖、readelf 看 ELF 头；缺库与架构不匹配是常见的两类部署失败。
迁移目标系统选型：Kylin / UOS / openEuler
桌面办公场景看桌面体验与外设生态，服务器场景看内核版本、生命周期与厂商支持；三个体系定位不同，选型以业务类型、适配清单与服务承诺为准。
Samba 服务端共享配置
信创主机作为文件服务器：smb.conf 定义共享、smbpasswd 建账号、防火墙与 SELinux 放行；Windows 客户端按 \\地址\共享名 访问。
Windows 字体迁移到信创桌面
文档排版依赖宋体/黑体等字体：把授权范围内字体拷到 /usr/share/fonts 并刷新缓存；注意字体版权，公共场景用开源替代（文泉驿、思源）。
PowerShell 与 bash 常用命令对照
从 Windows 转过来的运维视角：进程、服务、网络、文本处理的高频命令一一对照，降低迁移期记忆成本。
麒麟与统信 UOS 差异速览
两个桌面体系的差异集中在包管理、桌面环境、激活方式与软件商店；运维脚本与培训材料要按目标系统分别准备，不能简单互抄。
smbclient 访问 Windows 共享
信创主机访问 Windows 共享的交互式工具：-L 列出共享、get/put 传送文件、-c 支持脚本化批量操作，适合迁移期搬运与核验。
CUPS 打印服务安装与配置
信创桌面/服务器打印底座是 CUPS：启用服务、按 IPP 地址添加打印机（支持免驱 everywhere）、浏览器管理界面在 localhost:631。
WPS Office 信创版安装
办公套件是迁移标配：按架构下载安装包（x86_64 / arm64 / loongarch64），rpm 或 dpkg 安装；文档效果与字体环境强相关。
达梦 DM8 安装与实例初始化
达梦数据库安装流程：创建 dmdba 账户、挂载安装介质、命令行/图形安装、dminit 初始化实例、注册系统服务；安装与运行使用专用账户。
NTFS 移动硬盘与分区挂载
迁移期读取 Windows 移动硬盘：ntfs-3g 提供稳定读写；先 blkid/lsblk 确认分区，卸载后再拔盘；休眠中的分区先处理再挂。
xrdp 提供 RDP 远程接入信创桌面
xrdp 让 Windows 通过 mstsc 连接信创桌面（RDP 3389）：安装启用、放行防火墙、按桌面环境验证会话与剪贴板。
软件包架构后缀与命名规则
按架构分发软件包：rpm 看 aarch64/x86_64/loongarch64，deb 看 arm64/amd64；仓库源同样对应架构，混源会导致解析混乱。
Exec format error：架构不匹配处理
报错 cannot execute binary file: Exec format error 表示二进制架构与主机不符：file/uname 确认后，换对应架构产物或源码编译，不要暴力改名或强跑。
人大金仓 KingbaseES 安装要点
金仓安装：专用账户运行安装程序、初始数据库、注册服务；默认端口 54321，登录账户与默认库名以安装向导选择为准。
glibc 版本兼容与符号检查
跨平台二进制常见失败：高版本系统编译的程序依赖新 glibc 符号，低版本系统运行报 version `GLIBC_2.28' not found；对策主线是在目标平台重新编译。
使用 Windows 共享打印机打印
信创终端经 SMB 用 Windows 共享打印机：CUPS 添加 smb:// 队列，依赖 samba-client 与凭据；迁移期常见的过渡打印方案。
浏览器替代与兼容策略
信创桌面常用基于 Chromium 内核的国产浏览器与火狐 ESR；依赖老 IE/ActiveX 的系统按个案评估迁移或保留过渡终端，不硬替换。
信创主机加入 Windows AD 域
realm 命令对接 Active Directory：发现域、加入域、启用域账号登录；用于保留原有域身份体系、逐步替换终端的场景。
源码编译移植通用流程
把源码在本平台编译是架构适配的常规手段：装工具链与依赖头文件、configure 检查、make 编译、安装到独立前缀，编译日志留档。
信创平台 JDK 选择与部署
Java 应用在信创平台需匹配架构的 JDK：aarch64 可选厂商适配 JDK 或发行版自带 OpenJDK；x86 平台选择面更广，选型以业务认证矩阵为准。
ARM 平台容器镜像适配
信创平台跑容器要匹配镜像架构：docker pull 默认取本机架构，跨架构用 --platform；自建镜像优先目标平台原生构建。
Oracle 迁移达梦适配要点
Oracle 到达梦的适配面：数据类型映射、序列与触发器、PL/SQL 包、分页与函数行为；兼容模式减少改动但不等于零改动，以业务 SQL 全量回归为准。
Windows 计划任务迁移 cron / systemd timer
调度迁移分两步：重建触发规则（cron 或 timer）、核对执行账户与日志；任务动作脚本一并按 shell 重写（见 bat 转 shell 条目）。
迁移实施阶段与试点方法
按「评估→试点→批量→验收」分阶段推进：试点选代表性用户与业务，跑通全链路（外设+业务+打印+共享）后固化手册再批量复制。
字体可用性验证与 fontconfig 别名映射
验证字体是否可用：fc-list 查询、fc-match 检查实际命中；给 Windows 字体名配别名映射到已装字体，解决排版兼容问题。
Wine 运行 Windows 程序
Wine 在 Linux 上直接运行部分 Windows 程序（非虚拟化）：适合无信创版本的轻量工具应急；ARM 与 LoongArch 平台需专门移植方案，可用性以实测为准。
SSSD 对接 AD：登录与授权配置
SSSD 负责域账号的认证与解析：sssd.conf 定义域、access_provider 控制授权；改配置后清缓存再验证，组授权比全放行更稳妥。
飞腾平台适配要点
飞腾（Phytium）为 aarch64 平台（FT-2000/4、S2500、D2000 等）：系统镜像、软件包、驱动均按 aarch64 准备，外设驱动以整机厂商清单为准。
鲲鹏平台适配要点
鲲鹏 920/TaiShan 为 aarch64 平台，openEuler 与国产桌面体系对其支持完善；性能调优围绕 CPU 调频、NUMA 与网卡中断按整机手册进行。
Nginx 信创平台编译安装
Nginx 在各架构编译流程一致：装 PCRE/zlib/OpenSSL 依赖、configure 指定模块、make 安装；注意 ARM 平台同样要装开发包而非只是运行库。
跨架构编译基础
在 x86 开发机为目标架构构建：Go 用 GOOS/GOARCH，C/C++ 用交叉工具链；产物先用 file 验证架构再分发。
达梦 DTS 迁移工具使用要点
DTS 用于异构库迁入达梦：建源/目标连接、选对象、预检查、执行迁移、数据校验；大批量迁移安排业务低峰并监控目标库空间。
MySQL 迁移金仓适配要点
MySQL 到金仓（PG 系）的差异点：标识符引号与大小写、自增与序列、类型（布尔/日期）、LIMIT 语法；应用连接层同步调整。
扫描仪 SANE 支持与测试
SANE 是 Linux 扫描标准栈：scanimage -L 列设备、scanimage 直接出图、simple-scan 图形界面；USB 设备关注驱动后端与权限。
Office 文档兼容与批量转换
老格式互转与批量归档 PDF：LibreOffice headless 转换适合批量任务；宏（VBA）与复杂排版需抽样人工核对，关键报表建议重做模板。
bat 批处理脚本迁移为 shell
批处理迁移要点：变量与路径、错误处理、编码换行、计划任务绑定；结构简单的脚本重写为 bash 比逐行翻译更可靠。
CPU 型号与虚拟化能力查看
选型与适配评估看 CPU 详情：lscpu 汇总、/proc/cpuinfo 明细、dmidecode 整机信息；虚拟化扩展与固件版本影响虚拟化方案支持。
龙芯 LoongArch 平台要点
龙芯新平台（3A5000/3A6000）为 LoongArch64：二进制与软件包须 loongarch64 版本；老 3A4000 及更早为 MIPS，两代体系不可混用。
海光/兆芯 x86 平台适配要点
海光（Hygon）与兆芯（Zhaoxin）为 x86_64 兼容平台：既有 x86 软件包可直接运行，迁移路径接近传统 Linux，重点核对指令集扩展与驱动版本。
信创平台性能调优要点
调优从观测开始：CPU 调频策略、NUMA 亲和、IO 调度与网络是常用抓手；每次只改一个变量，压测对比后再固化。
达梦 disql 常用操作
disql 是达梦命令行客户端：登录、执行 SQL、跑脚本；迁移核验时用它统计对象数与行数与源库对账。
金仓 ksql 常用操作
ksql 是金仓命令行客户端（体验接近 psql）：登录、执行 SQL/脚本、查看对象；用于迁移验收对账与日常运维。
东方通 TongWeb 中间件部署要点
国产中间件通用流程：安装包安装、许可配置、启动脚本拉起、管理端口访问、应用发布；脚本名与端口以到货版本文档为准。
国产数据库 JDBC 驱动对接
应用连国产库要换驱动与 URL（达梦/金仓各不相同）：驱动 jar、连接池参数与字符集一起回归，压测确认连接池行为。
中间件与应用迁移核查清单
上线前过一遍中间件核查项：JVM 参数、端口、连接池、日志切割、临时目录、开机自启、监控告警；每项留命令与输出证据。
编码转换：GBK 与 UTF-8 互转
迁移常遇到 GBK 文本与文件名：iconv 转内容、convmv 转文件名；转换前备份并抽样校验，避免不可逆乱码。
迁移对账与数据校验
迁移完成不等于数据一致：文件用「路径+大小」清单与校验和比对，数据库比行数和抽样记录，对账结论归档留存。
迁移后属主与权限对账
迁移后「能读不能写」「服务起不来」多因属主权限变化：导出两端权限清单比对，按业务需要最小化修正并留记录。
信创组合兼容矩阵管理
OS、CPU 架构、数据库、中间件、JDK 的组合众多：维护一张已验证兼容矩阵，新组合先入矩阵验证再上线。
U 盾/加密狗识别与支持确认
U 盾、证书介质与软件加密狗依赖厂商 Linux 驱动或中间件：先用 lsusb/dmesg 确认识别，再核实厂商信创版本与浏览器对接方式。
信创平台驱动与内核模块适配
驱动需匹配架构与内核版本：优先整机厂商驱动包；自行编译模块要装同版本 kernel-devel，加载前用 modinfo 检查。
金仓 KDTS 迁移工具使用要点
KDTS 面向异构迁移：配置源/目标连接、选择对象、预检查、执行与校验；先全量、再增量追平、最后割接的时序要演练。
宝兰德 BES 中间件部署要点
BES 部署遵循「安装包→许可→启动→验证」：启动脚本与管理端口以产品手册为准；发布后做接口回归并接入监控。
邮件客户端迁移（Outlook 类到信创）
邮箱迁移本质是协议与认证配置：确认 IMAP/SMTP 地址端口与加密认证方式，再在信创客户端建账户；本地历史邮件单独归档处理。
中文环境与 locale 排查
中文乱码与排序异常先查 locale 三层：系统 locale 生成、会话 LANG/LC_*、JVM file.encoding；三层对齐 UTF-8 再谈应用适配。
迁移回退方案与演练
回退方案要包含触发条件、数据回滚点、入口切换方式与时限，并在切换前演练一次，确保真的能退回去。
换行符 CRLF 导致的脚本故障
Windows 上编辑的脚本或配置迁到 Linux 后报 bad interpreter、syntax error：用 dos2unix 或 sed 转换换行符并校验。
qemu-user 运行异构二进制（评估用途）
qemu-user 提供用户态异构模拟：适合评估个别无源码旧工具；性能损失大、内核相关功能受限，不用于关键生产服务。
大小写敏感引发的迁移问题
Windows 不敏感、Linux 敏感：同名不同大小写文件、引用路径大小写不一致，迁移后会表现为找不到文件或互相覆盖。
迁移切换后的业务烟测
切换后先跑一轮业务烟测再放量：覆盖登录认证、核心流程、数据对账、外设与后台任务，发现问题按回退条件判定。
常见问题65 条
兼容性、外设驱动与报错处理
/etc/fstab 写错后的启动恢复
fstab 写错常表现为 emergency mode 或卡在挂载：进单用户或救援模式后核对 UUID 与设备名，改错行后 mount -a 验证通过再重启。
LVM 在线扩容（卷与文件系统）
LVM 扩容两步：完 lvextend 扩逻辑卷，再按文件系统类型 xfs_growfs 或 resize2fs 扩容，容量允可时全程在线完成。
开机卡住或黑屏的定位方法
开机卡住完定位到阶段：有屏显看最后一行提示，无屏显临时去掉 quiet 看内核输出，事后用 journalctl -b -1 回看失败启动。
磁盘空间告急的紧急处置
空间满会连锁导致日志写失败、数据库停写：完确认爆的挂载点，再从日志、临时文件、大文件三条线快速回收并评估扩容。
OOM 被杀进程的排查
进程「无故消失」完查 OOM：dmesg 与 messages 中找 Out of memory 记录，看被杀进程与当时内存水位，再定扩容或设应用上限。
防火墙放行后仍不通的排查
加了放行规则仍不通：确认生效区域与实际浏览的服务，核对 permanent 与 reload、规则顺序，并排查相关旁路链。
SSH 连不上的分支定位
SSH 连不上完看报错：refused 查服务与端口，timeout 查网络与规则，两条路径分开排查能省大量时间。
permission denied 的常见原因
permission denied 不止权限位：目录缺执行位、SELinux、只读挂载、路径任一层的权限问题，逐层排查。
数据库连接失败的排查
应用连不上库按四层查：服务与监听、监听地址（bind）、账号与授权、防火墙；报错原文直接指明完看哪一层。
删除文件后空间不释放
文件删除但空间不降：说明仍有进程持有句柄，用 lsof +L1 找到持有者，滚动重启对应进程即可回收空间。
CPU 占用高的定位
CPU 高完分用户态还是内核态：top 批处理找进程，pidstat 看趋势，配合线程视图与软中断区分计算密集、系统调用与中断。
句柄耗尽（Too many open files）
应用报 Too many open files：完看进程实际句柄数与各层上限，区分上调上限与处理泄漏，systemd 服务需用 drop-in 设置。
DNS 解析异常的分段排查
解析问题分三段：本机配置、上游 DNS 可达性、查询结果；用 dig 直连与 getent 对照，快速定位卡在哪一环。
sudo 报错的常见处理
sudo 报错分三类：用户不在 sudoers、主机名解析失败、需要 tty；分别用用户组、/etc/hosts、PAM 配置对应处理。
dnf 常见报错的对照处理
dnf 报错按类型对照：找不到包查仓库与 provides、依赖冲突看关系链、签名失败查 GPG key、下载失败查镜像，逐类修正。
服务反复重启的排查
服务起来又挂反复循环：完看 Restart 策略与失败原因（配置、依赖、资源），读 journal 定位根因，修好再调整守护参数。
Java 堆内存溢出（OOM）的处理
报 OutOfMemoryError: Java heap space 是堆不足或泄漏：看 GC 与堆快照，完按容量调 Xmx 验证，再追对象来源。
/boot 占满导致内核升级失败
/boot 通常 1G 上下，旧内核累积后装新内核报空间不足：完查用量与内核数量，再用包管理卸载未在用的旧内核。
根分区变只读的排查与恢复
系统突然只能读：内核遇到 IO 错误会把根分区重挂为只读保护数据，完查 dmesg 与磁盘健康，确认底层正常后再 remount。
内存持续增长的排查
服务内存缓慢上涨完分清缓存与真实增长：看进程 RSS 趋势与 pmap 明细，留下快照后做业务复现，再交应用侧定位。
时间漂移与 chrony 同步失败
时间漂移完看服务与源：chronyc tracking 看偏差、sources -v 看可达性；内网受限时改内网 NTP 源，再校正并观察。
日志暴涨的定位与处置
/var/log 增长过快完定位源头：按目录排序与大文件筛选，lsof 看谁在写；再从日志级别与轮转策略两个方向处理。
双网卡路由与出口混乱
双网卡常见问题是回包走错出口：用 ip route get 验证选路，检查默认路由与策略路由；多出口按源地址分流更稳。
端口连通性测试的常用手段
判断端口是否可达有多套工具：nc 直连、curl 看协议层、bash 的 /dev/tcp 无依赖；本机与跨机对照能快速圈定问题边界。
SSH 登录慢的排查
SSH 登录慢多在认证前协商阶段：DNS 反解、GSSAPI 协商、多密钥尝试；用 ssh -vvv 找停留点，再做对应调整。
账号被锁定的解锁处理
多次输错密码后账号被锁（faillock/pam_tally2）：查看失败记录与来源，确认非攻击后按需解锁，并审视锁定策略参数。
程序缺库（shared object 找不到）
程序启动报 cannot open shared object：用 ldd 找出缺失库，核对架构后在仓库中查找所属包安装，最后 ldconfig 刷新缓存。
仓库超时与元数据异常的处理
dnf 元数据下载超时或校验失败：完区分网络、DNS、代理与镜像问题，再用清缓存与换镜像收敛，最后验证更新可执行。
改网络配置后失联的恢复
远程改网络易把自己改断：动手前完布「定时还原」保险，恢复后用 nmcli 核对连接状态，验证通过再撤销保险。
NFS 挂载卡住的处理
NFS 挂载后 ls/df 卡死：多为服务端或链路中断且默认 hard 挂载在重试；恢复链路或服务端后自愈，必要时按流程强制卸载。
误删文件的应急处置
误删后动作要快：立刻减少对相关文件系统的写入，检查进程是否仍持有句柄（可回捞），优完从备份或快照恢复。
SMART 报警后的处置顺序
磁盘 SMART 报警后完评估再动作：读关键属性与错误日志，一一时间备份数据，再安排更换并确认阵列或云盘副本状态。
数据库连接数过多的处理
报 Too many connections：看当前并发与上限、找占用来源（连接池、慢查询积压、异常重连），完止血再决定扩容或治理。
数据库启动失败的排查顺序
库起不来完看三处：服务状态摘要、数据库错误日志、数据目录与磁盘状态；常见根因是磁盘满、属主错误、配置改动与端口占用。
数据库慢查询的定位
业务变慢完定位慢 SQL：开慢日志或看当前会话与锁等待，用执行计划确认索引使用；临时以限流与错峰缓解。
证书过期导致访问异常的处置
浏览器或调用方报证书过期/不受信：openssl 查有效期与信任链，替换证书后完测语法再 reload，并核对系统时间。
图形界面登录循环的处理
输对密码又弹回登录页：多为家目录权限、磁盘满或显示管理器故障；切到 TTY 用日志定位，逐项修复。
打印机不打印的排查
打印无输出按链路查：CUPS 服务与队列状态、是否有卡住的作业、网络与驱动；队列问题与印机侧问题处理不同。
inode 耗尽（有空间写不进）
磁盘显示还有空间却写入报 No space left：完 df -i 确认 inode，再定位海量小文件目录，按业务归属清理或调整落盘策略。
文件系统报错与 fsck 修复
开机提示文件系统不一致或挂载失败：确认分区未挂载后按类型执行修复（ext4 用 e2fsck、XFS 用 xfs_repair），修复前完备份数据。
磁盘 IO 高的定位
系统卡顿但 CPU 不高时查 IO：iostat 看 %util 与 await，iotop 找写盘大户，再判断业务高峰、日志风暴还是磁盘故障。
时间差整 8 小时的排查
时间差整 8 小时完查时区而不是时钟：timedatectl 看时区与 RTC 模式；系统时间正确但界面差时，再查应用时区参数。
MTU 不一致导致大包不通
ping 小包正常、大文件或 HTTPS 卡住：多为路径 MTU 不一致，用 ping -M do 探测临界值，两端对齐或做 MSS 钳制。
公钥登录失败的排查
公钥登录失败按链路查：客户端密钥、服务端 authorized_keys 与权限、家目录权限、SELinux 上下文，最后看 sshd 日志确认原因。
密码过期与账户到期的处理
登录提示密码过期或账户到期：chage -l 查密码到期与账户到期两个日期，分别调整；服务账号过期要纳入轮换管理。
dnf/yum 锁等待的处理
报「等待锁」说明已有包管理任务在跑：完找进程并判断是正常在途还是自动任务，确认僵死后再按提示清锁。
网络丢包的排查思路
丢包完定位区段：本机到网关、网关到目标分别统计，再看网卡错误计数；只有大流量丢包多为队列、限速或双工问题。
设备忙无法卸载的处理
umount 报 target is busy：用 fuser/lsof 找出占用者（含被删文件句柄）与工作目录占用，处理后正常卸载，慎用强制卸载。
中间件端口冲突的处理
中间件起不来完测端口：ss 找到占用进程判断归属，改端口时同步防火墙与反向代理三处，再复测健康检查。
输入法不生效的处理
输入法装好打不出中文：查环境变量四件套、框架进程与自启动配置，改完注销重登再验证。
U 盘无法识别或挂载的处理
U 盘插上无反应按层查：lsusb 看设备、dmesg 看内核事件、lsblk 看块设备；已识别但未自动挂载时手动挂载并确认文件系统支持。
xrdp 连接后黑屏或闪退
xrdp 连上黑屏或秒退：通常与本地会话冲突、会话启动脚本或日志相关；查 xrdp 日志与 .xsession-errors，重启服务验证。
NTFS 挂载后只读的处理
NTFS 盘挂载后只能读：常见是 Windows 快速启动/休眠遗留的脏标志；用 ntfsfix 处理后重挂，并在 Windows 端关闭快速启动。
无线网卡不被识别的处理
无线网卡无信号完看识别层级：lspci/lsusb 看硬件、nmcli 看接口、rfkill 看开关，再处理驱动与固件。
关机或重启卡住的排查
关机卡住多是服务停止超时或文件系统卸载等待：看控制台提示的单元名与关机日志，针对性处理执行脚本与挂载。
swap 占用高的判断与处理
swap 用掉一部分不等于故障：看 si/so 是否持续换入换出，再结合内存水位与 swappiness 判断是冷页沉淀还是内存不足。
D 状态进程（不可中断睡眠）排查
D 状态进程多卡在磁盘或网络存储 IO：看内核调用点与存储层日志，按链路处理，kill -9 对它无效。
ARP 冲突与 IP 地址冲突处理
同网段 IP 冲突表现为随机断网与时通时断：用 arping、ip neigh 与日志取证，配合交换侧排查重复地址并整改。
认证次数超限（Too many authentication failures）
报 Too many authentication failures 是 agent 密钥过多逐个尝试所致：客户端精确指定密钥，服务端按需调整尝试上限。
文档显示方块或缺字的处理
办公文档或网页出现方块、缺字：用 fc-match 确认缺字体，从授权允许的渠道获取字体后安装并刷新缓存，重开会话验证。
扫描仪识别失败的处理
扫描仪不可用完看识别层级：lsusb 确认设备可见，sane-find-scanner 与 scanimage -L 验证后端，再看权限与服务。
桌面无声音的处理
桌面无声完分范围：所有应用无声查声卡与输出设备、静音状态；个别应用无声查该应用的输出设置。
分辨率与多屏显示异常
分辨率不对或外接屏不亮：xrandr 查看接口与可用模式，设置分辨率与相对位置；接口识别异常再查线缆与转接。
排查机器何时重启及原因
排查「什么时候重启的、为什么重启」：用 last -x、who -b 与 journalctl --list-boots 对照关机日志，判断正常重启还是断电复位。
僵尸进程的处理
僵尸进程本身几乎不占资源，但持续增多说明父进程未回收子进程：找到父进程修复其逻辑，杀僵尸本身没有作用。