wiki/Linux 内核管理.md at tmp-virt

zhouzhongping/wiki

Fork 0

zhouzhongping 01b511edd8

技术：标签调整

2024-04-26 21:42:22 +08:00

27 KiB

Raw Permalink Blame History

title

description

keywords

概述

Linux 内核

Linux 内核是一个操作系统（OS）内核，由林纳斯·托瓦兹（Linus Torvalds）在 1991 年首次发布。作为操作系统最核心的部分，Linux 内核负责处理计算机硬件与软件资源的管理、提供系统服务的接口。它是一个中介，位于用户应用程序与计算机硬件之间，使应用程序在不直接操作硬件的情况下运行，同时保证了系统的稳定性和安全性。

Linux 内核发展历史

Linux 内核的发展是开源社区合作精神的典范。自 1991 年林纳斯·托瓦兹在赫尔辛基大学开始其开发项目以来，经过三十多年的迅速发展，Linux 内核已经成长为最为广泛使用的操作系统之一。它的发展历程标志着许多技术的创新与突破，比如对多处理器的支持、对不同硬件架构的兼容性以及对虚拟化的原生支持等。

Linux 内核版本管理

Linux 内核的版本管理体现了其开发过程的开放性和社区驱动的特点。内核版本号遵循“主版本号.次版本号.修订号.额外信息”的格式。其中，偶数的次版本号代表稳定版本，奇数的次版本号则用于开发中的版本。Linux 内核项目采用 Git 作为版本控制系统，林纳斯·托瓦兹本人负责主线（mainline）内核的发布。

Linux 内核架构

Linux 内核的架构设计兼顾了灵活性与高效性，支持广泛的硬件平台。它主要包括以下几个部分：**进程管理、内存管理、文件系统、网络系统、设备驱动程序以及安全模块。**内核架构将这些功能模块化，不仅促进了开发和维护的便捷，也使得内核能够在不牺牲性能的情况下，提供丰富的功能和强大的扩展性。

Linux 内核编译与安装

准备工作

明确目标：首先，你需要确定为什么要编译 Linux 内核。可能是为了获取新功能、支持新硬件、提高系统安全性或是出于学习目的。明确目标将帮助你选择合适的内核版本。
选择合适的环境：推荐在一个不是日常使用的系统上进行编译，比如虚拟机，这样可以避免潜在的风险对你的主系统产生影响。
下载源码：访问 The Linux Kernel Archives，根据你的需求下载对应版本的内核源码。同时下载源码的 PGP 签名文件，以便进行安全验证。
安装依赖：编译内核需要 GCC 编译器、make 工具等。你可以通过 Linux 发行版的包管理器来安装这些工具及其他依赖。

# Debian 以及其衍生版本
sudo apt install bc binutils bison dwarves flex gcc git gnupg2 gzip libelf-dev libncurses5-dev libssl-dev make openssl pahole perl-base rsync tar xz-utils

# Fedora 以及其衍生版本
sudo dnf install binutils ncurses-devel \
    /usr/include/{libelf.h,openssl/pkcs7.h} \
/usr/bin/{bc,bison,flex,gcc,git,gpg2,gzip,make,openssl,pahole,perl,rsync,tar,xz,zstd}

选择内核版本

理解版本：内核版本有稳定版、长期支持（LTS）版和开发版等。选择适合你目标的版本。稳定版和 LTS 版更适合需要稳定性的环境，而开发版则包含最新的功能和修复。
下载并验证：下载所选版本的内核源码和 PGP 签名，使用 GPG 验证下载文件的真实性和完整性，确保源码未被篡改。

# 安装 Linus Torvalds 和 Greg KH 使用的 GPG 公开密钥
gpg2 --locate-keys torvalds@kernel.org gregkh@kernel.org

# 验证 Tar 的完整性
gpg2 --verify linux-*.tar.sign

解压和配置内核

解压源码：使用 tar 命令解压内核源码包到一个工作目录中。
配置内核：
- 基础配置：可以使用发行版的配置作为起点。复制系统的当前内核配置文件（通常位于 /boot/config-$(uname -r)）到源码目录，并重命名为 .config。
- 更新配置：运行 make olddefconfig 自动更新配置，使之适应新版本内核。
- 定制配置：通过 make menuconfig 启动基于文本的配置界面，此处可以启用或禁用特定的内核功能。这一步需要基于你的具体需求来进行选择。

编译内核

编译命令：在源码目录下执行 make -j$(nproc) 来编译内核。这里的 -j$(nproc) 参数让编译过程并行进行，加快编译速度。
```
make -j$(nproc) 2>&1 | tee log
```
标签添加：如果需要，可以在编译时通过 LOCALVERSION 选项添加自定义标签，以区分这个内核版本。
```
./scripts/config --file .config --set-str LOCALVERSION "-7wate"
```

安装内核

安装模块：编译完成后，使用 sudo make modules_install 命令安装内核模块。
```
sudo make modules_install -j$(nproc)
```
安装内核：执行 sudo make install 命令，这将自动将内核安装到 /boot 目录，并更新引导加载器，比如 GRUB。
```
sudo make install
```

更新引导加载器

GRUB 更新：大多数 Linux 发行版会在执行 sudo make install 时自动更新 GRUB 配置。如果没有，你可能需要手动运行 sudo update-grub 或相应的命令来更新启动菜单。

重启并验证

重启电脑：完成安装后，重启电脑。
选择内核：在引导菜单中选择新编译的内核启动。
验证安装：系统启动后，使用 uname -r 命令验证当前运行的内核版本，确认是否与你安装的版本相匹配。

Linux 内核模块管理

内核模块概述

Linux 内核模块（LKM）使得内核具备了极高的灵活性和可扩展性。模块允许在不重启系统的情况下添加或删除功能，这对于需要动态管理硬件驱动和系统服务的情况非常有用。这些模块通常用于添加设备驱动、文件系统支持或其他内核级功能。内核模块的使用不仅减少了内核的静态大小，还提高了系统的灵活性和模块的可重用性。

模块的加载和卸载

Linux 提供了 insmod、modprobe、rmmod 等工具来管理内核模块的加载和卸载。

命令	描述	依赖处理
`insmod`	将模块插入内核	不解决依赖问题
`modprobe`	加载模块并自动处理依赖	自动处理依赖
`rmmod`	从内核中移除模块	不解决依赖问题
`modprobe -r`	移除模块并解决依赖问题	自动处理依赖

模块参数管理

操作系统的模块化设计不仅提高了系统的可扩展性和灵活性，而且通过参数管理，允许用户或管理员定制化模块的行为。在 Linux 系统中，当加载内核模块（kernel modules）时，管理员可以通过命令行向模块传递参数，这些参数能够影响模块的运行配置和提供的功能。

例如，网络设备驱动模块可能允许用户通过参数设置 IP 地址、子网掩码或是开启/关闭特定的功能等。通过这种方式，即使是相同的模块，在不同的参数配置下也能够提供不同的功能或表现出不同的性能。

使用 modinfo 命令，用户可以查询特定模块可接受的参数及其说明。这个命令显示的信息对于理解如何正确配置模块至关重要。例如，运行 modinfo your_module_name 将展示该模块的所有可配置参数及简要描述，帮助用户做出合适的配置决策。

模块依赖解决

在复杂的系统中，模块之间往往存在依赖关系。一个模块的正常运作可能依赖于一个或多个其他模块的功能。Linux 系统中的 depmod 命令会分析并生成所有模块之间的依赖关系列表。这个列表被存储在系统的特定目录下，供其他工具如 modprobe 使用。

modprobe 命令在加载一个模块时，会自动查询这个依赖关系列表，并且自动加载该模块所依赖的其他模块。这种自动解决依赖的机制极大地简化了模块管理的复杂度。例如，如果一个网络协议栈模块依赖于特定的硬件驱动模块，当管理员请求加载该网络协议栈模块时，modprobe 会首先确保所有必要的硬件驱动模块也被加载。

这一机制不仅保证了模块之间的兼容性和稳定性，也让系统管理员能够更加方便地管理系统，因为它减少了手动解决模块依赖所需的工作量。通过这种方式，系统的维护者可以更加专注于系统的配置和优化，而不是被复杂的依赖关系所困扰。

Linux 内核调试技术

内核调试工具介绍

Linux 提供了一系列强大的内核调试工具，这些工具为开发者和系统管理员在诊断问题、分析性能瓶颈时提供了极大的便利。

GDB（GNU Debugger）：GDB 是最广泛使用的调试工具之一，它不仅可以用于用户空间程序的调试，也可以用来调试内核本身及其模块。GDB 的强大之处在于它支持单步执行、断点设置、变量检查和内存状态分析等功能，极大地方便了内核开发和调试过程。
Kdump 和 Crash：在遇到内核崩溃的情况下，Kdump 和 Crash 的组合使用尤为重要。Kdump 利用 kexec 技术，在系统崩溃时迅速启动一个新内核并抓取崩溃时的内存转储，而 Crash 工具则用于分析这些转储文件，帮助开发者快速定位问题原因。
perf：perf 是 Linux 下的性能分析工具，它能够提供丰富的性能数据，包括 CPU 使用率、缓存命中情况、上下文切换次数等，对于性能优化具有重要意义。
Ftrace：Ftrace 是一个功能强大的内核跟踪工具，通过在内核中插入跟踪点来监视和记录函数调用过程和时序信息，对于理解内核行为和性能分析非常有用。

内核调试方法

根据不同的需求和调试环境，开发者和系统管理员可以选择最合适的内核调试方法。

日志分析：通过分析内核日志（例如 dmesg 命令的输出），可以获得系统错误、警告信息和其他关键诊断信息，这是最基本也是最直接的调试方法。
动态调试：工具如 perf 和 Ftrace 允许在系统运行时进行动态调试和性能分析，这对于定位运行时问题和性能瓶颈特别有效。
静态分析：在代码运行之前，通过阅读源码和使用静态代码分析工具（如 Sparse）来检测潜在错误，这可以在早期阶段发现并修复问题。

常见内核调试问题

在 Linux 内核调试过程中，可能会遇到各种复杂的问题，如死锁、内存泄漏和性能瓶颈等。

对于内存泄漏问题，可以使用 Valgrind 等工具进行分析和定位。
针对死锁问题，可以通过分析锁依赖图来识别死锁的根源。
而对于性能瓶颈，则可以通过 perf 等性能分析工具来定位问题，例如 CPU 使用率过高、I/O 延迟等。

内核性能调优

为了优化系统的整体性能，内核性能调优是一个不可或缺的步骤。这包括但不限于调整内核参数、优化调度策略、调整文件系统和网络配置等。

使用 sysctl 工具可以动态地调整内核参数，无需重启系统。
tuned 工具提供了一套预定义的性能调优方案，适用于不同的使用场景。
对于 NUMA（非一致性内存访问）系统，numactl 工具可以帮助优化内存使用，提高系统性能。

Linux 内核错误处理与日志分析

内核错误类型

Linux 内核在运行时可能会遭遇多种类型的错误，这些错误可能由不同的因素引起，具体包括：

硬件错误：这类错误通常由硬件故障引起，如内存条损坏、硬盘故障或其他 I/O 设备问题。硬件错误往往需要通过更换损坏的硬件部件来解决。
软件错误：涵盖了程序逻辑错误、内存泄露、竞态条件等软件缺陷。这些错误通常需要通过分析日志、使用调试工具或静态代码分析来定位和修复。
配置错误：错误的系统配置或参数设置可能导致服务不可用或系统行为异常。解决这类问题通常需要检查和调整配置文件或系统设置。
安全相关错误：这类错误可能由安全漏洞引起，或是系统遭受恶意攻击的结果。处理方法包括应用安全补丁、增强系统安全设置等。

内核错误处理方法

针对不同类型的内核错误，可以采用以下方法进行处理：

系统日志分析：系统日志文件是诊断问题的宝贵资源。分析日志文件，如 /var/log/messages 和 /var/log/syslog，可以帮助定位错误原因。
使用内核崩溃转储工具：kdump 等工具在系统崩溃时捕获内核的内存映像，这对后续的问题分析非常有用。
利用调试器：对于软件开发者来说，GDB 等调试器是查找软件错误的有力工具，能够逐步跟踪程序执行过程，定位问题代码。
更新和修补：定期更新系统和应用程序，及时应用安全补丁，是预防软件缺陷和安全漏洞的有效方法。

Linux 内核日志系统

Linux 拥有一个全面的日志系统，能够记录系统的运行状况和各种事件，对于错误诊断和性能分析至关重要。

主要的日志文件存放在 /var/log/ 目录下，如 /var/log/messages 用于记录系统消息，/var/log/syslog 记录广泛的系统信息。
dmesg 命令显示内核环形缓冲区的消息，特别适用于分析启动问题和设备驱动错误。

日志分析工具介绍

有效的日志管理和分析对于快速定位和解决问题非常重要。以下工具可以帮助简化这一过程：

logwatch：它自动解析 /var/log/ 目录下的日志文件，并生成易于阅读的摘要报告，帮助快速识别常见问题。
rsyslog：这是一个高性能的日志处理系统，支持日志的收集、过滤、解析和转发。它可以配置为处理大量日志数据，非常适合大型系统环境。
journalctl：作为 systemd 的一部分，journalctl 允许用户查询和显示 systemd 日志消息。它提供了灵活的查询选项，如按时间、服务或优先级过滤日志。

Linux 内核更新与升级

Linux 内核更新方式

Linux 内核的更新可以通过多种方式进行，每种方式各有利弊，适用于不同的场景和需求。

包管理器：这是最常见且推荐的更新方式，因为它简单易行，且能够自动处理依赖关系和配置。不同的 Linux 发行版使用不同的包管理器，如 Debian 及其衍生版使用 apt，Red Hat 及其衍生版使用 yum 或 dnf。
手动编译安装：对于需要特殊配置或想要使用最新内核的用户，手动编译安装是一种可行的选择。这种方式允许用户自定义配置，优化内核以适应特定的需求或硬件。然而，这也要求用户具备一定的技术知识。
发行版升级：当新的 Linux 发行版发布时，它通常会包含更新的内核版本。通过升级到最新的发行版，用户不仅能够更新内核，还能享受到最新的系统功能和应用更新。

内核更新的风险和注意事项

更新 Linux 内核时，需要注意以下几个方面，以避免可能出现的问题：

兼容性问题：新版本的内核可能会引入与现有硬件或软件配置不兼容的变更，因此在更新前应该仔细检查兼容性。
配置更新：新内核可能需要更新或调整配置文件，特别是当添加新功能或废弃旧功能时。
备份：更新前应该备份重要数据和系统配置，以便在更新失败或出现问题时能够快速恢复。

Linux 内核版本迁移

内核版本迁移是一个复杂但必要的过程，尤其当新版本提供了重要的性能改进、安全补丁或新功能时。迁移过程需要细致的规划和执行，以确保系统的平稳过渡。

评估和计划：首先需要评估新内核版本的特性、改进点及其对现有系统的潜在影响。这包括兼容性测试、性能预期以及新功能的适用性评估。基于这些信息，制定详细的迁移计划，包括回滚策略以应对可能的故障。
测试：在更新生产系统之前，应在测试环境中进行充分的测试。这包括安装新内核、运行系统和应用程序的基准测试、验证硬件兼容性以及测试新功能。测试应尽可能覆盖所有使用场景，确保新内核不会引入新的问题。
实施：在测试确保新内核稳定运行后，可以开始在生产环境中实施升级。建议在系统负载较低的时段进行升级，并确保有充分的时间监控系统运行状态，以便及时发现并解决可能出现的问题。
监控：内核升级后，需要密切监控系统的性能和稳定性，包括但不限于系统日志、性能指标和用户反馈。任何异常都应立即分析和处理。此外，也应该评估新内核带来的改进是否符合预期，以及是否有必要进行进一步的优化。

内核升级实例解析

以下是一个假设场景，展示了在一台运行老版本 Linux 内核的服务器上进行内核升级的过程：

准备阶段：确保已经对系统进行了全面备份，包括重要数据和配置文件。检查新内核版本的发布说明，了解新特性和已知问题，评估这些变更对现有系统的影响。
下载新内核：可以通过官方网站下载最新的内核源代码，或者通过系统的包管理器查找可用的内核更新包。
安装新内核：
- 通过包管理器：使用命令（如 apt-get install linux-image-x.x.x）安装新的内核包，这通常是最简单且风险最低的方法。
- 手动编译安装：如果从源代码安装，需要解压下载的内核源码，然后使用 make menuconfig 配置内核选项，接着编译和安装内核。
更新引导加载器：安装完新内核后，需要确保引导加载器（如 GRUB）已更新，以包含新内核的启动项。这通常在安装过程中自动完成，但有时可能需要手动配置。
重启并测试：重启服务器，并在启动时选择新内核。系统启动后，进行详尽的测试，验证系统和应用的稳定性与性能。测试应包括常规操作和压力测试，以确保新内核的可靠性。
监控和调整：在接下来的日子里，继续监控系统日志和性能指标。根据需要调整系统配置，优化性能。如果遇到任何问题，根据事先制定的回滚计划进行处理，必要时恢复到旧版本的内核。

对于基于 Debian 的系统（如 Ubuntu）

Debian 及其衍生系统使用 APT 作为包管理器。你可以按照以下步骤来检索和安装指定的内核版本：

更新包索引：
```
sudo apt update
```
搜索可用的内核版本：
```
apt search linux-image
```
这将列出所有可用的 Linux 内核包。你可以通过更精确的关键词（例如，linux-image-5）来缩小搜索范围。
安装指定的内核版本：找到你想要安装的内核版本后，使用以下命令进行安装：
```
sudo apt install linux-image-your-version-here
```
请将 linux-image-your-version-here 替换为你选择的内核版本，例如 linux-image-5.4.0-42-generic。

对于基于 RPM 的系统（如 Fedora、CentOS）

Fedora、CentOS 及其衍生系统通常使用 yum（CentOS 7 及之前版本）或 dnf（Fedora 和 CentOS 8 及之后版本）作为包管理器。

更新包索引（对于使用 dnf 的系统）：
```
sudo dnf check-update
```
搜索可用的内核版本（以 dnf 为例）：
```
dnf search kernel
```
这将列出所有可用的内核包。类似地，你可以使用更具体的搜索词来过滤结果。
安装指定的内核版本：找到想要安装的内核版本后，使用以下命令进行安装（以 dnf 为例）：
```
sudo dnf install kernel-your-version-here
```
将 kernel-your-version-here 替换为你的目标内核版本，例如 kernel-5.8.15-301.fc33。

注意事项

依赖性：安装新内核时，包管理器会自动处理所有必要的依赖性。
引导加载器：安装新内核后，大多数 Linux 发行版会自动更新引导加载器（如 GRUB）。重启系统后，你可能需要在启动菜单中选择新安装的内核版本。
备份：在进行任何重要系统更改之前，包括内核更新，强烈建议备份重要数据和系统配置。

Linux 内核安全管理

内核漏洞概述

内核漏洞通常是由于内核开发和维护过程中的错误或疏忽造成的。这些漏洞可能存在于内核的任何组件中，包括网络堆栈、文件系统、设备驱动程序等。一旦被发现和利用，它们就可能成为系统安全的致命弱点。

内核安全补丁管理

有效的安全补丁管理策略对于防御已知的内核漏洞至关重要：

订阅安全通知：关注和订阅 Linux 内核和所使用发行版的安全通知服务，是及时了解和响应新发现漏洞的前提。
定期更新内核：利用包管理器定期更新内核，以确保所有已知的安全漏洞都被及时修补。大多数 Linux 发行版都提供了方便的更新机制，自动化这一过程。
自定义补丁：在一些特殊场景下，可能需要根据具体的需求和环境开发自定义的安全补丁。这通常需要较高的专业知识和充分的安全评估。

内核安全加固方式

加固 Linux 内核是通过一系列措施提高系统抵御未知攻击的能力。这些措施包括但不限于：

配置安全模块：启用并配置 SELinux、AppArmor 等安全模块，以实现强制访问控制（MAC），限制应用程序和服务的权限，从而减少潜在的攻击面。
最小化内核：通过移除不必要的内核模块和服务，可以显著减少系统的攻击面。这要求管理员根据系统的实际用途进行精细化配置。
使用命名空间和 cgroups：利用 Linux 的命名空间和控制组（cgroups）功能，可以有效隔离不同进程的资源和视图，增强系统的安全隔离性。

内核安全监控技术

持续的安全监控是及时发现并应对安全威胁的关键：

审计日志：配置 Linux 审计框架（auditd），监控关键文件、系统调用等敏感活动。审计日志是事后分析和取证的重要资料。
实时监控：工具如 Sysdig 和 Falco 能够提供实时的系统监控能力，检测异常行为和潜在的安全威胁。这些工具通过分析系统调用和网络活动来实现。
漏洞扫描和评估：定期使用漏洞扫描工具，如 OpenVAS、Nessus 等，对系统进行安全评估。这有助于识别系统中仍未修补的漏洞，并促进及时的漏洞修复。

Linux 内核性能优化

性能优化概述

性能优化的主要目标是减少系统的响应时间，提高处理速度和吞吐量，并确保资源被高效利用。这意味着需要在多个层面进行考虑和调整，包括但不限于 CPU 利用率的优化、内存管理的改进、文件系统性能的提升以及网络传输效率的增加。

内核性能分析工具

要有效地进行性能优化，首先需要准确地诊断和分析当前的性能状况。这里介绍的工具是这一过程中的关键：

perf：提供了丰富的性能分析功能，包括 CPU 使用情况、系统调用追踪等，是 Linux 性能分析的主力工具。
vmstat、iostat、mpstat：这些工具可以提供实时的系统性能数据，帮助识别内存、I/O 和 CPU 性能瓶颈。
sysctl：通过动态调整内核参数，管理员可以根据实际的性能分析结果，对系统进行实时优化。
htop：相比于传统的 top 工具，htop 提供了更为直观的界面和更多的信息，帮助快速定位性能问题。

内核性能调优方法

根据性能分析的结果，可以采取以下一些常见的调优方法来提升系统性能：

调整内核参数：修改 /etc/sysctl.conf 文件中的参数，如网络堆栈的大小、文件系统的缓冲区大小等，以满足特定应用的需求。
优化调度策略：根据系统的负载特性选择合适的 CPU 调度策略，比如对于 I/O 密集型的应用，选择 Deadline 调度器可能更合适。
内存管理优化：通过优化内存分配策略和回收机制，减少内存的碎片和泄漏，提高内存使用效率。
文件系统选择和调整：根据应用特性选择最合适的文件系统，并通过调整挂载选项来优化性能。

Linux 内核性能优化实例

假设我们要优化一个高负载的 Web 服务器，首先使用 perf 和 iostat 工具来分析 CPU 和 I/O 性能瓶颈。根据分析结果，发现 I/O 等待时间较长，可能是磁盘操作造成的性能瓶颈。

为了解决这个问题，我们可以：

使用 perf 和 iostat 分析性能：首先识别出性能瓶颈，比如 CPU 使用率过高或磁盘 I/O 等待时间过长。
调整 I/O 调度器：如果发现磁盘 I/O 是性能瓶颈，可以考虑将 I/O 调度器从默认的 CFQ（完全公平队列）更改为 Deadline 或 Noop。这两种调度器可以减少请求的延迟，特别适用于 SSD 或高性能存储系统。
增加内存缓存：对于频繁访问的数据，增加内存缓存可以减少对物理磁盘的访问次数，从而降低 I/O 等待时间。可以通过调整 vm.dirty_ratio 和 vm.dirty_background_ratio 这类 sysctl 参数来优化内存中的写缓存行为。
优化数据库查询：在高负载的 Web 服务器中，数据库查询往往是性能瓶颈之一。优化查询语句，减少不必要的数据访问，使用索引来加快查询速度，都是提升数据库性能的有效方法。
采用 SSD：如果预算允许，使用 SSD 替换传统的机械硬盘是提高 I/O 性能的直接方法。SSD 提供了更低的读写延迟和更高的吞吐量，尤其对于 I/O 密集型的应用来说，性能提升显著。
网络性能调优：对于 Web 服务器而言，网络带宽和延迟同样关键。可以通过调整 TCP 堆栈的相关参数（如增大 TCP 窗口大小、启用 TCP 快速打开等）来优化网络传输效率。
监控和迭代：优化是一个持续的过程，通过监控工具（如 Nagios、Prometheus 等）持续跟踪系统的性能指标，根据实时数据进一步调整和优化。

27 KiB Raw Permalink Blame History Unescape Escape

概述