跳到主要内容

Linux 基础：从内核定制到性能调优

最后一章弥合了理论操作系统概念与现实世界 Linux 工程之间的鸿沟。无论你是在构建嵌入式设备还是管理庞大的云基础设施，掌握 Linux 内核的实践接口都是必不可少的。

本章涵盖内核编译、使用现代工具的性能可观测性，以及系统级故障排除。

1. 内核构建系统 (Kbuild)​

编译属于你自己的内核是 Linux 工程师的必经之路。它允许你剥离不需要的驱动程序，针对特定的 CPU 指令进行优化，并启用实验性功能。

1.1 配置阶段​

在编译之前，你必须定义要包含哪些功能。

  • make menuconfig：一个基于终端的 GUI，用于选择驱动程序和内核选项。
  • .config：保存你所有选择的文件。
  • 单体 vs 模块：你可以将驱动直接编译进内核二进制文件 (y)，或者作为存储在 /lib/modules 中的可加载模块 (m)。

1.2 编译与安装​

  1. make -j$(nproc)：使用所有可用的 CPU 核心编译内核。
  2. make modules_install：将 .ko 文件安装到 /lib/modules。
  3. make install：将内核映像拷贝到 /boot 并更新 GRUB 引导程序。

2. 高级性能可观测性​

现代 Linux 性能分析遵循 Brendan Gregg 的 "USE" 方法：利用率 (Utilization)、饱和度 (Saturation) 和 错误 (Errors)。

2.1 perf 分析器​

perf 是跟踪硬件和软件事件的标准工具。

  • CPU 采样：perf record -F 99 -p <pid> -g -- sleep 10（记录进程的调用图）。
  • 火焰图 (Flame Graphs)：一种可视化技术，用于识别 CPU 花费大部分时间执行的“热点”函数。

2.2 eBPF 与 bpftrace​

Linux 可观测性最新且最强大的前沿领域。

  • 概念：向内核注入类 C 的微型程序来追踪事件（例如，“显示所有超过 10ms 的磁盘读取”）。
  • 示例：bpftrace -e 'kprobe:vfs_read { @[comm] = count(); }'（按进程名统计 VFS 读取次数）。

3. 使用 systemd 进行系统管理​

systemd 是几乎所有现代 Linux 发行版使用的初始化系统 (PID 1)。它管理所有服务和守护进程的生命周期。

3.1 单元文件 (Unit Files)​

服务定义在 .service 文件中。

  • 依赖关系：After=network.target 确保服务仅在网络就绪后启动。
  • 重启策略：Restart=always 确保内核在服务崩溃时自动重启它。

3.2 journalctl：集中化日志​

Linux 日志不再仅仅是 /var/log 中的文本文件。journald 提供了一个结构化的二进制日志系统。

  • journalctl -u nginx：查看特定服务的日志。
  • journalctl -f：实时追踪日志。

4. 故障排除：当事情出错时​

4.1 OOM Killer (内存溢出杀手)​

当物理 RAM 和交换空间耗尽时，内核必须杀掉一个进程以生存。

  • OOM 分数：每个进程都被分配一个分数。占用内存大且优先级低的进程会被优先杀掉。
  • 保护：你可以通过调整进程的 oom_score_adj 来“保护”关键进程（如数据库）。

4.2 内核崩溃 (Kernel Panics) 与 kdump​

如果内核遇到致命错误，它会“崩溃 (Panic)”。

  • Kdump：系统引导进入一个微型的“崩溃内核”，将崩溃内核的内存状态保存到 vmcore 文件中，以便后续分析。
  • 分析：使用 crash 工具检查崩溃发生瞬间的系统状态。

5. 系统调优与 /etc/sysctl.conf​

你可以在运行时通过写入 /proc/sys 或使用 sysctl 命令来调优内核行为。

参数用途典型改动
vm.swappiness内核使用交换空间的积极程度数据库建议调低（如 10）
net.ipv4.tcp_tw_reuse复用 TCP 连接高流量 Web 服务器建议开启
fs.file-max最大打开文件描述符数大规模应用建议调高
kernel.pid_max最大进程 ID 数拥有 10k+ 线程的系统建议调高

6. 安全加固要点​

  1. SSH 加固：禁用 root 登录并仅使用 SSH 密钥。
  2. 防火墙 (nftables/ufw)：实施“默认拒绝”策略。
  3. Auditd：启用全系统审计以跟踪敏感文件访问。
  4. AppArmor/SELinux：确保你的 Web 服务运行在“强制 (Enforcing)”模式。

7. Linux 工程工具箱​

类别工具概念
I/Oiostat / iotop磁盘吞吐量与延迟
网络ss / tcpdump活动连接与原始包捕获
内存free / vmstatRAM 使用情况与虚拟内存统计
进程htop / strace实时监控与系统调用追踪
硬件lscpu / lsusb检查硬件能力

8. 核心概念复习清单​

  • 如何将特定的驱动程序编译为内核模块？
  • 解释 perf 采样与 eBPF 追踪之间的区别。
  • 为什么 systemd 被称为 Linux 进程的“大审判官”？
  • 什么是进程的“工作集 (Working Set)”，它与 OOM 有什么关系？
  • 列举通过 sysctl 提高 TCP 吞吐量的三种方法。

恭喜！你已完成了操作系统系列。应用这些概念来构建更快、更安全且更具扩展性的系统。