我到现在还记得第一次在面试官面前被问住的那个瞬间对方只是随口问了句“你平时用什么系统写代码”我下意识答了“Windows”然后就看到他意味深长地点了点头。那一刻我才意识到在IT这个行当里Linux不是“加分项”而是绕不过去的底座技能。办公电脑可以跑Windows可服务器、嵌入式设备、云主机、容器几乎所有东西都跑在Linux上。后来开始系统学习我走了不少弯路。最开始也跟大家一样找一份“linux常用命令大全”照着背了两周结果一开终端还是手足无措顶多会个ls和cd。真正让我从“会用几个命令”跨越到“能排查问题、能自己搭环境”的不是背命令而是把Linux当成一套“有逻辑的系统”去理解。这篇就把我自己的学习路径完整拆一遍从选发行版、搭虚拟机、理解文件系统和权限体系到装软件、配网络、跑服务再到之后往嵌入式、面试方向怎么走。内容会比较长但每一步都是我实打实踩过的希望能帮你在入门时少撞几堵墙。1. 先选发行版还是先搭环境新手进门的第一道选择题1.1 发行版怎么选才不后悔很多新手问的第一个问题是“Linux到底装哪个版本”。说“版本”其实不太准确Linux真正的称呼是“发行版”本质是同一个内核加上不同的软件包管理和桌面环境组成的完整系统。我见过最纠结的人在Ubuntu、Debian、Rocky、Kali、Arch之间反复横跳光下载镜像就花了一周。我的建议很直接第一套系统就装Ubuntu LTS版本不要问为什么先装上再说。理由不复杂——你入门阶段遇到的所有报错基本都能在搜索引擎里找到答案Ubuntu的用户基数决定了它的“可搜索性”是所有发行版里最好的。对新手来说搜得到答案比系统本身多快多稳重要得多。那其他发行版什么时候值得考虑分几个方向来说Debian比Ubuntu更保守更稳定适合想深入了解包管理和系统底层的人很多服务器实际跑的是Debian你学会了Ubuntu再切Debian几乎没有成本。Rocky Linux / AlmaLinux这俩是RHEL红帽企业版的社区替代企业服务器、运维岗、数据库集群里非常常见。你如果目标岗位是运维、数据库管理、云平台可以把Rocket当第二个系统练手。Kali Linux面向安全测试和学习的方向自带了大量安全工具。注意它的定位是“专用工具集”不是拿来当日常桌面用的新手拿它学渗透容易被劝退。国产方向统信UOS、openEuler、deepin这几年生态确实在快速成熟国产办公软件、微信、QQ这些都在适配。如果你之后要接触信创相关的项目提前了解一下UOS的操作习惯和包管理器是加分的但作为第一套入门系统学习资料相对少不建议零基础直接上。一句话总结别把时间花在“选哪个发行版最好”上选一个用户最多的先跑起来后面换系统的成本比你想象的低得多。1.2 虚拟机还是WSL为什么我推荐先上虚拟机环境这块Windows用户面前有两个主流选择WSLWindows Subsystem for Linux和虚拟机。我在热词榜单上看到“wsl needs updating your version of windows subsystem for linux (wsl) is too”看来不少人在WSL上吃过亏后面细说。WSL的优点是启动快、和Windows文件互通方便、终端里直接敲命令适合做轻量级的命令行实验、写脚本、跑Python。但也有明显的局限你很难完整理解“系统启动”这件事systemd服务、网络配置、内核模块这些东西在WSL里都被淡化甚至隐藏了学习体验像“蒙着眼睛开车”。虚拟机则相反。用VirtualBox或VMware装一个完整Ubuntu你能看到完整的开机过程、真实的GRUB引导、自己能操作分区、能改网卡配置、能随意折腾然后靠快照回滚。Linux的很多“系统级知识”只有在这种完整环境里才能真切感知到。所以我一直建议零基础的人先用虚拟机把完整系统跑一遍等对系统运作有感觉了再切WSL做日常快速实验也不迟。1.3 虚拟机装Linux蓝屏九成是这三个原因“虚拟机安装linux蓝屏”能上热搜我一点都不意外这个坑几乎人人会踩一次。我自己的经历是VirtualBox里装Ubuntu进度条走到一半直接蓝屏Windows主机也跟着蓝屏重启当时差点以为硬件坏了。排查下来原因无非这三个。第一CPU虚拟化没开启。VirtualBox和VMware都需要CPU的虚拟化指令集支持也就是Intel的VT-x或AMD的AMD-V。很多品牌机出厂默认关闭这个功能你需要在开机时进BIOS一般是按Del或F2找到“Intel Virtualization Technology”或“SVM Mode”的选项把它设为Enabled。可以用任务管理器里的“性能-CPU”页面确认虚拟化是否已启用。第二和Windows自带虚拟机Hyper-V冲突。Windows 11的系统设置里有个“核心隔离-内存完整性”以及“Windows功能”里可能默认开启的Hyper-V、虚拟机监控程序等。这些功能会和VirtualBox抢虚拟化资源导致虚拟机一跑就蓝屏。解决方法是在“启用或关闭Windows功能”里把Hyper-V、Windows虚拟机监控程序平台、适用于Linux的Windows子系统这些选项全部取消勾选如果你不用WSL的话重启后再开虚拟机。第三镜像架构不匹配。如果你下的是ARM架构的镜像却在x86的电脑上装那必然出问题。正常PC选x86_64也就是amd64的ISO即可几乎没有例外。装好系统后还有个小问题容易被忽略中文输入法。Ubuntu默认不带拼音输入法需要自己装。我现在的方案是fcitx5 中文插件一条命令就能搞定sudo apt install fcitx5 fcitx5-chinese-addons装完在设置里把输入法框架切到Fcitx 5重启一下会话就能用了。别去折腾什么“配得干干净净的中文环境”能打字就行等熟练了再按需优化。另外一个强烈建议虚拟机里养成拍快照的习惯。装完系统、干净状态下先打一个快照后面装软件、改配置搞坏了一键回滚能省下大量重装系统的时间。这几乎是虚拟机学习比物理机最大的优势。2. 把目录和文件系统理解成“一张挂载表”而不是一堆文件夹2.1 为什么要先啃目录结构很多教程一上来就让你敲命令结果rm -rf、chmod这些命令你敲了十遍也不知道为什么需要它。我的体会是Linux的一切操作本质上都是在和文件打交道。所以先花一小时把目录结构搞明白后面所有的命令都变得非常好理解。Linux没有Windows那种C盘、D盘的概念整个系统就是一棵树根是/。你插入一块新硬盘不是“分配一个新盘符”而是把这块硬盘“挂载”到某个目录下。所以理解Linux文件系统的正确姿势是它不是按盘符划分的而是按目录用途划分的。几个必须知道的关键目录/etc系统配置文件的家。装个MySQL配置文件在/etc/mysql/网络配置在/etc/network或/etc/sysconfig/用户密码信息在/etc/passwd和/etc/shadow。你改配置八成是在这个目录里改。/home普通用户的家目录。你自己创建的linuxuser用户它的个人文件都在/home/linuxuser/下。每个人登录后的“当前目录”默认就在自己的家目录里。/var变化的、动态的数据。日志文件在/var/log/缓存、邮件队列也都在这。系统出问题第一件事就是去/var/log/里翻日志。/tmp临时文件目录很多程序运行时会往这写临时数据重启可能会被清掉别把重要东西放这里。/usr系统软件安装的地方类似Windows的“Program Files”。你通过包管理器装的软件大部分会落到/usr/bin的软链接下库文件在/usr/lib。/opt第三方大型软件的安装目录很多商业软件默认装到这里。还有两个容易被忽视的/root是管理员root的家目录普通用户的家在/home下root的家在根目录下这是独立的/mnt和/media是手动挂载外部存储的地方。这一套目录结构对应着一条运维铁律什么文件放哪里是有规矩的。你在/tmp里放数据库备份、在/root里放网站代码不是不能用是万一系统坏了或者要迁移你跟别人都会找不到头绪。2.2 “一切皆文件”到底是什么意思Linux哲学里最核心的一句话叫“一切皆文件”。看着玄乎翻译过来就是网卡、磁盘、终端窗口、管道、Socket这些硬件和通信机制在Linux里统统被抽象成了文件用读写文件的方式就能操作它们。你看/dev目录/dev/sda是你的第一块硬盘/dev/tty是当前终端。用cat读一个设备文件等于是从设备取数据用echo往设备文件写字符等于是把数据发到设备上。这就是为什么Linux下可以用dd命令直接 “复制” 一块硬盘——因为硬盘在它眼里就是个文件。文件类型怎么区分用ls -l看第一列-普通文件最常见d目录l符号链接相当于Windows的快捷方式c和b字符设备和块设备对应键盘串口和硬盘这类硬件sSocket文件进程间通信用的这些不需要刻意背你ls -l看多了自然就敏感了。我第一次看到/dev/sda前面那串brw-rw----时也是一头雾水后来知道它表示“块设备属主和属组可读写”后整个权限体系的逻辑一下子通了。2.3 权限rwxLinux安全模型的第一课文件权限是新手最容易忽略、但实际工作中最容易吃亏的地方。我用一条命令演示ls -l /etc/shadow -rw-r----- 1 root shadow 1898 Jan 21 10:32 /etc/shadow这串-rw-r-----一共10个字符。第一个字符是文件类型这里是普通文件后面9个字符分成三组前三位是属主owner权限中间三位是属组group权限最后三位是其他用户others权限。每一组里r是读、w是写、x是执行没有权限就是-。所以/etc/shadow的含义是属主root可读可写属组shadow组可读其他用户完全没有权限。这个文件里存着所有用户密码的哈希值如果权限设成-rw-rw-rw-那等于把密码散列公开了任何一个普通用户都能读走拿去离线破解。理解了这一点你才会真正重视权限配置——它不只是考试题是直接关系系统安全的东西。操作上三件套chmod 755 script.sh # 设置权限为rwxr-xr-x chown linuxuser:linuxuserscript.sh # 修改属主和属组 umask 022 # 默认权限掩码chmod的数字法其实就是二进制换算r4w2x1加起来就是权限值。755意思是属主满分4217属组读执行415其他人读执行5。最常用的就是755文件和700目录目录为了能cd进去必须有x权限。很多新手写了个脚本要执行报Permission denied第一反应是去sudo其实只是没给执行权限。一条chmod x script.sh就解决了。这也是“Linux下运行程序”最基础的一步。2.4 软链接和硬链接别再傻傻分不清热词里“linux文件与目录”被搜了很多次我觉得除了权限容易混的就是链接。很多教程会把软链接符号链接讲成“快捷方式”这个类比80%是对的但硬链接就完全不一样。软链接ln -s是一个独立文件里面记录的是“目标文件的路径”类似快捷方式。你删掉源文件软链接就指向空了。硬链接ln则不同它不产生新文件只是给同一个inode文件数据区多起了一个名字。两个“文件名”指向同一份数据删除其中任何一个都不影响另一个。这个机制理解起来有点反常识但它在系统维护里随处可见比如/usr/bin/python3和/usr/bin/python很多时候就是软链接关系你切换Python版本本质上就是改一下链接指向。我之前在给服务器部署应用时为了统一路径故意建了一堆软链接指向不同版本的程序目录应用升级时只需要改链接不用改业务配置。这个技巧在管理多版本软件时非常实用。3. 高频命令的实战编排单条命令容易学组合起来才是真功夫3.1 别背命令表要用“场景”学命令我看太多新手抱着“linux常用命令大全”在那儿从A背到Z上午背完下午忘。命令不是用来背的是用来解决问题的。我建议把命令和场景绑定比如“想知道系统内存够不够”就学free -h“想知道磁盘是不是满了”就学df -h“程序突然卡死了”就学ps和top。这样你的每一条命令都有使用场景遇到问题时你会自然想起来“这种事情之前用XX命令查过”。3.2 查看系统状态一进来先学会“望闻问切”在服务器上排查问题一半的情况就是看一眼系统整体状态。下面这几个命令我几乎每天都会用组合在一起就是一套“系统体检”uname -a # 看内核版本 cat /etc/os-release # 看发行版名称和版本 free -h # 看内存使用-h在Linux中普遍代表“人类可读单位” df -h # 看磁盘分区占用 top # 或者htop实时看哪个进程吃CPU、吃内存 ps -ef # 看当前都有哪些进程在跑 uptime # 看系统负载也是判断是否异常的第一指标实际生活中一个典型的“系统变慢了”的排查流程大致是先用uptime看负载是不是飙高再用top看是哪个进程占用高如果是一个叫java的进程再用ps -ef | grep java找到它的启动命令和日志路径最后去/var/log/翻日志定位报错。你看这就是把命令串成一个链路来用的典型场景而不是孤零零地敲一条命令。3.3 文本处理三板斧grep、awk、sedLinux服务器上有一类经典问题一个日志文件几万行你怎么快速找到出错的行怎么把里面IP、时间之类的字段提取出来这块靠的就是文本处理三兄弟。grep用于过滤只输出匹配的行grep -i error /var/log/syslog # 忽略大小写找error grep -E ERROR|FATAL app.log # 同时找多个关键词 grep -v ^# config.conf # 去掉注释行这个看配置很常用awk用于按列提取和处理awk {print $1, $3} access.log # 只打印第一列和第三列 awk $9 500 {print $1, $9} access.log # 找出所有状态码大于等于500的请求sed用于替换和流式编辑sed s/old/new/g file.txt # 全局把old替换成new sed -n 20,50p file.txt # 只打印第20到50行在真实排障里这三兄弟很少单独用更多是配合管道符号|串成一条链。比如我排查Nginx异常请求tail -f /var/log/nginx/access.log | awk {print $1} | sort | uniq -c | sort -rn | head -20这条链做的事是实时读取日志 → 提取IP列 → 排序 → 计算每个IP出现次数 → 按次数倒序 → 看前20个。一条命令就能找出“谁在疯狂请求我的网站”。这就是管道的威力一条命令的输出变成下一条命令的输入。3.4 帮助系统和“单步运行程序”Linux给调试开的绿灯很多人一上来就问“有没有速成手册”其实Linux自带的帮助就是最好的手册。man ls看完整文档ls --help看快速帮助几乎每个命令都支持。学会看man你的自学能力会上一个台阶因为90%的命令文档你都能自己查。另一个容易被忽略但极其值钱的技能是“单步运行程序”。你在Windows里可能习惯了IDE点几下就调试Linux命令行环境更简单直接bash -x script.sh # 逐行打印脚本执行过程并显示变量值脚本调试首选 strace -p 1234 # 追踪一个正在运行的进程的所有系统调用 gdb -batch -ex run -ex bt ./a.out # 崩溃时先把堆栈打出来我记得有一次线上服务突然无响应我用strace -p挂上去发现进程卡在等待一个文件锁上顺着这条线索才找到是另一个服务假死占住了锁。这种排查能力不是“敲命令”敲出来的是你知道有工具可以“看程序一步步在干什么”之后自然而然摸索出来的。4. 用户、权限和提权安全模型必须从第一天建立4.1 为什么整天用root会出事新手学了Linux之后很容易因为贪方便所有操作都加台式机sudo甚至干脆切到root用户。我理解这种心态——省去了一堆Permission denied的报错嘛。但这个习惯在真实生产环境里非常危险用root身份跑一个写错的命令可能就是rm -rf把整个系统目录删掉的灾难现场用root跑一个有漏洞的服务攻击者一旦拿下这个服务就等于直接掌控了整台机器。正确的心态是平时用普通用户做事需要系统级操作时才用sudo并且管理员的账号密码要区分开。这是Linux安全的最小权限原则也是运维行业的共识。4.2 用户和组的管理实操新机器第一件事就是创建自己的用户而不是直接用root。用户和组的管理命令比较固定useradd -m -s /bin/bash dev # 创建用户dev-m同时创建家目录-s指定shell passwd dev # 设置或修改密码 usermod -aG sudo dev # 把dev加到sudo组Ubuntu环境 groupadd ops # 新建一个组ops usermod -aG ops dev # 把用户加到组里 id dev # 查看用户所属组和UID注意useradd和adduser的区别Ubuntu的adduser是交互式向导会一步步问你密码和全名适合新手useradd是纯命令行不指定参数时连家目录都不建。你要是忘了-m用户登录上来在/下晃荡还以为系统坏了其实只是家目录没建。4.3 sudo的学问visudo和免密sudo的精髓不在“提权”两个字而在“谁能提、提到什么程度”。管理sudo权限的文件是/etc/sudoers官方要求必须用visudo命令修改——它会在你保存时自动检查语法防止你把文件写坏了导致所有用户都无法sudo。我见过有人在/etc/sudoers里写错语法直接把自己关在管理权限门外最后只能重启进单用户模式修复那个过程很折磨。实际的配置需求就几类给用户完整的sudo权限加进sudo/wheel组、允许特定用户只执行特定命令比如只允许重启Nginx、免密执行。最后一种我建议日常个人学习机上可以用但在生产环境里除非有特殊自动化需求否则不要配NOPASSWD不然任何拿到你账号的人都能畅通无阻地执行管理员命令。4.4 权限进阶与密码过期策略热词榜里有“linux密码过期提醒通知”这其实是企业内部账号安全里的常见需求。Linux的密码策略用chage管理chage -l dev # 查看dev用户的密码过期信息 chage -M 90 dev # 设置密码90天后必须修改 chage -W 7 dev # 提前7天开始提醒密码即将过期系统到点后会像这样提醒用户Warning: your password has expired. You must change your password now...在企业环境里配合/etc/login.defs里的PASS_MAX_DAYS可以实现全局默认策略。这个机制非常实用特别是如果你想在服务器上强制同事定期换密码、或者自己管理一批服务器主机时批量设置合理的过期提醒比一封邮件通知有效得多。另外权限位还有个进阶概念SUID、SGID和Sticky Bit。简单说SUID可以让普通用户临时拥有程序属主的权限比如passwd命令就设置了SUID所以普通用户能改自己的密码因为它需要写/etc/shadowSticky Bit是/tmp目录上的t标志防止用户删掉别人的临时文件。这些东西初学不用深究但理解它们能帮你读懂很多 “为什么这个命令平时不能执行、放在某个目录就突然能了” 的诡异现象。4.5 “提权”话题先用防御思维理解它热词里“linux提权”搜得很火很多人是带着“攻击”的好奇心来的。我必须先把安全底线讲清楚探索系统安全和攻击他人系统是截然不同的事后者违法。我在这里只聊学习和防御视角下的提权概念。所谓“提权”本质上就是攻击者在拿到一个低权限账号后利用系统配置失误或漏洞把自己的权限提升到root的过程。常见的路径有SUID滥用某个程序拥有SUID位能被普通用户执行同时它存在可被利用的漏洞导致以root身份执行了指定代码。sudo配置错误比如某条NOPASSWD规则允许一个普通用户以root权限运行某个程序而该程序本身可以逃逸到shell。内核漏洞内核本身存在漏洞利用成功后直接获得root权限。密码文件泄露弱密码、可读的shadow文件、免密SSH密钥等本质是认证环节失守。如果你是为了做防御理解这些路径的价值在于检查自己的系统里有没有这些破绽。比如定期用find / -perm -4000找出所有带SUID位的程序确认没有可疑文件例如在默认情况下运行sudo -l查看当前用户能执行哪些命令及时发现不合理的sudo规则。这些检查习惯比看十个攻击教程都更能保障你机器的安全。对普通人来说把系统权限配置得干净、把密码策略落实到位比研究任何花活都有用。5. 软件安装和环境配置动手跑通一个服务比背十遍命令都强5.1 包管理器的逻辑apt和dnf是怎么工作的在Windows上装软件你双击exe就行Linux里最常见的方式是包管理器。Ubuntu/Debian用的是aptRocky/CentOS用dnf老的用yum。它们本质上是一个道理从一个软件仓库下载软件包自动帮你解决依赖关系。所谓依赖就是“你要装的东西A它需要先有库BB又需要C”包管理器会帮你把这条链全部理清并装好。这也是为什么从源码编译装软件那么痛苦——你自己编一个程序就得手动搞定它的一堆依赖库。日常操作就几下sudo apt update # 更新软件包索引不是升级软件但很重要 sudo apt upgrade # 真正升级系统内的所有可更新软件 sudo apt install nginx # 安装软件 sudo apt remove nginx # 卸载新手容易犯的错是装不上软件直接去网上搜了个命令瞎敲把软件源换成了乱七八糟的第三方源结果系统更新时依赖冲突整个环境搞坏。我的建议是优先用官方源国内网络慢就换清华、阿里这些国内高校或大厂的镜像源怎么换网上教程很清楚。但要明白换源只解决“网络下载速度”的问题不解决“这个包是否存在”的问题。5.2 源码安装三板斧configure、make、make install包管理器能解决90%的问题但总有软件不在仓库里、或者需要自定义编译参数这时候就要走源码安装。新手经常被这步搞得头皮发麻其实流程就是固定的./configure --prefix/usr/local/myapp # 第一步检测环境、生成Makefile make # 第二步根据Makefile编译 sudo make install # 第三步把编译产物安装到系统目录说说每一步在干嘛configure是检查你的系统里有没有它需要的库、编译器顺便让你传一些编译参数比如安装路径make是核心的“把源代码翻译成机器码”的过程这步报错最常见原因往往是缺某个开发库make install是把它编译好的文件复制到系统目录去。make install报错Permission denied怎么办还没养成sudo习惯的人会懵其实就是要用sudo make install。但要注意configure make用普通用户跑make install用sudo跑这个组合才是标准的。因为编译过程不该接触系统目录而安装必须写入系统目录。5.3 Docker现代Linux上最值得先学的“应用容器”凡是做开发或者运维Docker几乎是躲不开的。你可以把Docker理解成“轻量级虚拟机”它不像虚拟机那样模拟整套硬件而是直接复用宿主机内核把一个应用连同它的环境依赖打包成镜像在隔离的容器里运行。好处是“我这个东西在你的机器上也能跑”告别“明明我本地能跑怎么到你那儿就报错”的世纪难题。安装Docker本身不复杂sudo apt install docker.io sudo systemctl enable --now docker sudo usermod -aG docker $USER # 让当前用户免sudo操作docker需要重新登录跑起来之后你就能体验它的魅力了比如一行命令起一个测试数据库docker run -d --name mysql-test -e MYSQL_ROOT_PASSWORD123456 -p 3306:3306 mysql:8这里-d是后台运行--name起名字-e传环境变量-p把容器的3306端口映射到宿主机的3306。新手可以先把Docker当成“一条命令装好一个应用”的工具来用后面再去细究镜像、容器、卷这些概念学习曲线会平滑很多。5.4 Python与Anaconda环境变量不是玄学Linux下装Python看着简单踩的坑可不少。系统自带的Python往往是3.10或3.12之类的版本而你项目可能需要3.8。这种时候“多版本共存”就是刚需Anaconda/miniconda就是干这个的。安装完conda之后最大的坑立刻出现终端里敲python弹出的还是系统自带的那个版本因为系统默认的PATH里找不到conda的位置。解决方法是把conda加到PATHecho export PATH/home/你的用户/miniconda3/bin:$PATH ~/.bashrc source ~/.bashrc~/.bashrc是你每次打开终端都会自动加载的配置脚本。PATH这个环境变量决定了你敲一个命令的时候系统会按什么顺序去哪些目录里找可执行文件。你把conda的bin目录放到PATH最前面bash就会优先找conda的python而不是系统的。这背后是Linux环境变量的核心用法export VARvalue设置临时环境变量写进~/.bashrc是让它永久生效source是让配置立即加载而不必重开终端。注意改~/.bashrc之前先备份一下我见过太多人把环境变量写坏结果终端一开就报错连ls都找不到路径极其狼狈。万一真写坏了用export PATH/usr/bin:/bin至少能恢复基础命令然后再慢慢修。5.5 MySQL装好不等于能连很多人在Ubuntu装MySQL会踩一个非常典型的坑安装过程默认生成了一个临时的随机密码记录在日志里而你登录时怎么都找不到那行日志。我的建议是干脆利落用sudo直接重设sudo apt install mysql-server sudo mysql # Ubuntu的MySQL默认root可以用socket认证直接进 ALTER USER rootlocalhost IDENTIFIED WITH mysql_native_password BY 新密码;然后用systemd管理服务sudo systemctl status mysql # 看MySQL是否在运行 sudo systemctl restart mysql # 重启服务这里有个容易懵的点mysql命令和mysqld服务是两个东西。前者是客户端后者才是真正的数据库服务进程。你/etc/init.d/mysql start或者systemctl start mysql都是在操作服务端。学Linux一定要习惯“服务端-客户端”这套思维否则你连“我都已经启动了为什么连不上”这种低级问题都定位不了。5.6 环境配置的踩坑记录这些是我在软件安装和环境配置过程中反复踩过的坑拿出来集中说一遍换源后忘记update改了/etc/apt/sources.list一定要sudo apt update刷新索引否则装包还是走的旧索引。依赖缺失一头雾水编译报错说缺libssl-dev之类的先apt search libssl看看包名装了-dev开发包一般就能解决。端口被占用装完服务连不上先ss -tlnp | grep 3306看端口到底活着没是没启动还是被别的进程占了。不要随便删系统自带Python很多系统工具依赖/usr/bin/python3你手贱删了可能连apt都跑不了了。装新版本就老老实实用conda或源码编译别动系统的。6. 网络配置与远程管理从虚拟机走向真实服务器的必经之路6.1 网络排查的基本功学习Linux到一定阶段你就该面对真实服务器了。真实服务器的第一关就是网络。我见过不少人在虚拟机里能跑服务一上云服务器就抓瞎原因就是没系统学过Linux网络配置。先记住一套排查网络问题的命令链ip addr # 看网卡IP和状态代替老旧的ifconfig ip route # 看路由默认网关是否配置正确 ping 8.8.8.8 # 测网络通不通不通说明外网有问题 ping www.baidu.com # 能ping通IP但ping不通域名说明DNS有问题 ss -tlnp # 看端口监听情况服务是否真的在监听 traceroute www.baidu.com # 看数据包走到哪一跳断了一个经典的排查流程是这样的先ping网关判断物理链路通没通再ping外网IP判断网络边界最后ping域名来验证DNS解析。用的是同一套“分层排查”思路每次都先定位问题到底在哪一层比瞎装一堆工具管用得多。很多“上不了网”的问题查到最后就是/etc/resolv.conf里DNS配置不对——文件里写着的nameserver是什么就是实际生效的DNS服务器一行而已。6.2 Rocky和Ubuntu的网卡配置差异热词里有“rocky linux网卡文件”确实不同的发行版配置网络的方式差别很大这是新手最容易困惑的地方。Rocky/RHEL系列的网卡配置文件在/etc/sysconfig/network-scripts/ifcfg-eth0也可能是ifcfg-enp0s3之类的名字核心配置长这样TYPEEthernet BOOTPROTOstatic # 静态IPdhcp代表自动获取 ONBOOTyes # 开机自动启用网卡 IPADDR192.168.1.100 NETMASK255.255.255.0 GATEWAY192.168.1.1 DNS18.8.8.8改完需要systemctl restart network或者nmcli connection reload才能生效。Ubuntu则是用netplan配置文件在/etc/netplan/下的yaml文件里network: version: 2 ethernets: eth0: addresses: - 192.168.1.100/24 routes: - to: default via: 192.168.1.1 nameservers: addresses: - 8.8.8.8然后执行sudo netplan apply。这两套机制完全不同的原因是RHEL系和Debian系各自走了不同的网络管理工具前者用NetworkManager/nmcli后者现在用netplan。你如果两套系统都碰就务必记住这个差异别拿Ubuntu的命令去操作Rocky不然会一直报“命令不存在”。6.3 SSH远程登录服务器管理的必备技能真实服务器一般是放在机房的你不会去机房摸它唯一入口就是SSH。Ubuntu上开启SSH很简单sudo apt install openssh-server sudo systemctl enable --now ssh但更关键的是安全配置。很多人装上SSH后什么都不改然后就被扫描爆破。我最基本的建议两条第一修改/etc/ssh/sshd_config把PermitRootLogin改成no禁止root直接远程登录。你要管理员权限就先用普通用户登录再sudo这样哪怕密码被暴力破解攻击者拿到的也只是普通用户权限不至于直接沦陷。第二配置SSH密钥登录代替密码登录。本地生成密钥对把公钥放到服务器上ssh-keygen -t ed25519 # 本机生成密钥对一路回车即可 ssh-copy-id user服务器IP # 把公钥自动拷贝到服务器公钥认证的原理一句话版本服务器手里拿着你的公钥你登录时用私钥签名一个挑战服务器用公钥验签通过就放行。私钥永远不出你的本地机器比密码在网络传输里裸奔安全得多。配置完成后还可以在sshd_config里设置PasswordAuthentication no彻底关掉密码登录基本告别爆破风险。6.4 systemd现代Linux的服务管理大脑“我已经启动了怎么连不上”这类问题一半出在服务没真正跑起来。现代Linux发行版管理服务的工具是systemd基本命令systemctl start nginx # 启动服务 systemctl enable nginx # 开机自启 systemctl status nginx # 查看服务状态包括最近日志 systemctl restart nginx # 重启服务改配置后必备 journalctl -u nginx -n 50 # 看服务的最近50行日志journalctl值得多提一句很多服务自己不写日志文件而是把日志交给systemd统一管理所以你要看它的报错大概率是用journalctl -u 服务名。我排查Nginx起不来的问题十次有九次是journalctl里直接给出了具体原因。记住这个习惯服务异常第一件事看status第二件事看journalctl第三件事再去看配置文件。不要一上来就改配置越改越乱。7. 学完基础往哪走嵌入式、进程通信与面试准备7.1 嵌入式Linux的方向从“会用”到“造系统”如果你学Linux的初衷是往嵌入式方向发展那基础阶段的视角要早点转过来。嵌入式Linux和纯服务器运维的差别在于你要关心的是“如何把一个Linux系统做成一个定制化的固件跑在一块特定的硬件上”。热词里“嵌入式linux项目”“linux phy 不使用mdio,使用i2c”都属于这个领域的问题。嵌入式Linux的学习主线大概是交叉编译环境搭建在PC上编译出ARM板子上能跑的二进制、Bootloader比如U-Boot的移植、内核裁剪与设备树、根文件系统制作、外设驱动的编写。热词里那个PHY芯片不用MDIO而用I2C配置的问题就是典型的“时序工作中网卡芯片通信方式不同”的驱动细节——学习物理层芯片驱动时会碰到知道这个概念即可真正深入要到了驱动开发阶段。我建议PC上先练熟命令行、脚本、交叉编译基础再买个二手的ARM开发板比如瑞芯微、全志系的板子资料很丰富实际跑一遍。嵌入式最忌讳只看不练因为硬件特性是写在芯片手册里的你不亲手调个I2C、配个GPIO根本记不住。7.2 进程间通信Linux并发世界的地基学了Linux基础绕不开的一个进阶主题是“进程间通信”IPC。为什么需要它因为多个程序要协作比如一个进程读数据另一个进程处理数据它们之间总得有办法传数据。Linux下的IPC手段其实都是UNIX时代传下来的老物件但到今天依然好用管道一个进程的输出接另一个进程的输入命令行里的|就是管道的体现匿名管道的名字你每天都在用。信号给进程发一个“通知”比如kill -9发的就是一个无条件终止的信号可以用kill -l查看全部信号列表。共享内存多个进程直接共享一块内存区域速度最快是高性能场景的首选。消息队列按消息单元传递数据适合有格式的数据通信。Socket网络通信的通用接口不只是跨主机同一台机器上的进程也能通过本机回环地址的Socket通信比如你的客户端程序通过localhost:8080连接本机的Nginx。面试问进程间通信几乎必出这几样。我的学习建议是先在命令行里把管道玩熟再写两个小程序试试信号和共享内存最后通过Socket写一个最简单的本机通信Demo。一次动手胜读十篇原理文章。7.3 面试场景这些基础题千万别翻车热词榜里“linux面试题”也是高频搜索可见大家都想拿着Linux技能去找工作。我从面试和被面试两个角度分享一些高频考点和对应的准备方式。命令类Linux查看端口占用用什么命令ss或netstat、如何查看磁盘使用情况df -h、如何查找文件find。这类题没有技巧就是把基础命令的实操场景多过几遍。文件系统/etc放什么、/var/log有什么、软链接硬链接的区别。理解目录结构和一个inode的概念基本能应付。权限相关chmod 644代表什么、umask是干嘛的、root和普通用户的区别。这个方向还有个高频问法“为什么普通用户执行sudo不需要root密码”。答案是sudo的机制而非普通用户真的拥有root密码。进程与服务僵尸进程是什么、如何查看进程父子关系、systemctl和service的区别。能说清“僵尸进程是父进程没有正确回收子进程退出状态”基本就过关。网络TCP三次握手、traceroute原理、iptables的五链四表。哪怕不走网络安全方向iptables的“过滤表”和“NAT表”的基本概念也要能说上来。脚本能力经常有面试官让现场写一个shell脚本比如“找出日志文件里访问量最多的前10个IP”。这就是我前面讲的管道组合能力把awk、sort、uniq、head练熟就能直接写出来。7.4 建立你自己的“外挂大脑”最后分享一个我觉得最有用的学习方法把Linux学习过程变成笔记资产而不是浪费在“学完就忘”里。我个人会给常用但又容易记错的命令建一份笔记长期沉淀到团队文档或个人wiki里。并且给高频长命令设置别名写进~/.bashrcalias myipip -brief addr alias topmemps aux --sort-%mem | head -15 alias jljournalctl -u这样每次敲topmem就能立刻看到内存占用最高的进程省去了敲一长串命令的时间。学习新东西也一样遇到一个搞懂的坑就记录到自己的“踩坑手册”下次遇到同样问题时直接搜自己的笔记比重新上网到处翻效率高很多。我的知识体系就是这样一点点长出来的——没有捷径但可以让每一步都积累出复利。Linux这条路很长但入门阶段需要掌握的东西其实非常集中一个发行版的安装、目录和权限的理解、高频命令的组合使用、软件环境配置、网络服务管理。把这五件事做扎实你已经比大多数号称“会Linux”的人强了。剩下的所有进阶方向——嵌入式、运维自动化、容器化、安全加固——都是在这些地基上盖大楼。沉住气动手敲你遇到的问题本身就是你最好的老师。
Linux入门到进阶：从发行版选择到嵌入式开发的完整学习路径
我到现在还记得第一次在面试官面前被问住的那个瞬间对方只是随口问了句“你平时用什么系统写代码”我下意识答了“Windows”然后就看到他意味深长地点了点头。那一刻我才意识到在IT这个行当里Linux不是“加分项”而是绕不过去的底座技能。办公电脑可以跑Windows可服务器、嵌入式设备、云主机、容器几乎所有东西都跑在Linux上。后来开始系统学习我走了不少弯路。最开始也跟大家一样找一份“linux常用命令大全”照着背了两周结果一开终端还是手足无措顶多会个ls和cd。真正让我从“会用几个命令”跨越到“能排查问题、能自己搭环境”的不是背命令而是把Linux当成一套“有逻辑的系统”去理解。这篇就把我自己的学习路径完整拆一遍从选发行版、搭虚拟机、理解文件系统和权限体系到装软件、配网络、跑服务再到之后往嵌入式、面试方向怎么走。内容会比较长但每一步都是我实打实踩过的希望能帮你在入门时少撞几堵墙。1. 先选发行版还是先搭环境新手进门的第一道选择题1.1 发行版怎么选才不后悔很多新手问的第一个问题是“Linux到底装哪个版本”。说“版本”其实不太准确Linux真正的称呼是“发行版”本质是同一个内核加上不同的软件包管理和桌面环境组成的完整系统。我见过最纠结的人在Ubuntu、Debian、Rocky、Kali、Arch之间反复横跳光下载镜像就花了一周。我的建议很直接第一套系统就装Ubuntu LTS版本不要问为什么先装上再说。理由不复杂——你入门阶段遇到的所有报错基本都能在搜索引擎里找到答案Ubuntu的用户基数决定了它的“可搜索性”是所有发行版里最好的。对新手来说搜得到答案比系统本身多快多稳重要得多。那其他发行版什么时候值得考虑分几个方向来说Debian比Ubuntu更保守更稳定适合想深入了解包管理和系统底层的人很多服务器实际跑的是Debian你学会了Ubuntu再切Debian几乎没有成本。Rocky Linux / AlmaLinux这俩是RHEL红帽企业版的社区替代企业服务器、运维岗、数据库集群里非常常见。你如果目标岗位是运维、数据库管理、云平台可以把Rocket当第二个系统练手。Kali Linux面向安全测试和学习的方向自带了大量安全工具。注意它的定位是“专用工具集”不是拿来当日常桌面用的新手拿它学渗透容易被劝退。国产方向统信UOS、openEuler、deepin这几年生态确实在快速成熟国产办公软件、微信、QQ这些都在适配。如果你之后要接触信创相关的项目提前了解一下UOS的操作习惯和包管理器是加分的但作为第一套入门系统学习资料相对少不建议零基础直接上。一句话总结别把时间花在“选哪个发行版最好”上选一个用户最多的先跑起来后面换系统的成本比你想象的低得多。1.2 虚拟机还是WSL为什么我推荐先上虚拟机环境这块Windows用户面前有两个主流选择WSLWindows Subsystem for Linux和虚拟机。我在热词榜单上看到“wsl needs updating your version of windows subsystem for linux (wsl) is too”看来不少人在WSL上吃过亏后面细说。WSL的优点是启动快、和Windows文件互通方便、终端里直接敲命令适合做轻量级的命令行实验、写脚本、跑Python。但也有明显的局限你很难完整理解“系统启动”这件事systemd服务、网络配置、内核模块这些东西在WSL里都被淡化甚至隐藏了学习体验像“蒙着眼睛开车”。虚拟机则相反。用VirtualBox或VMware装一个完整Ubuntu你能看到完整的开机过程、真实的GRUB引导、自己能操作分区、能改网卡配置、能随意折腾然后靠快照回滚。Linux的很多“系统级知识”只有在这种完整环境里才能真切感知到。所以我一直建议零基础的人先用虚拟机把完整系统跑一遍等对系统运作有感觉了再切WSL做日常快速实验也不迟。1.3 虚拟机装Linux蓝屏九成是这三个原因“虚拟机安装linux蓝屏”能上热搜我一点都不意外这个坑几乎人人会踩一次。我自己的经历是VirtualBox里装Ubuntu进度条走到一半直接蓝屏Windows主机也跟着蓝屏重启当时差点以为硬件坏了。排查下来原因无非这三个。第一CPU虚拟化没开启。VirtualBox和VMware都需要CPU的虚拟化指令集支持也就是Intel的VT-x或AMD的AMD-V。很多品牌机出厂默认关闭这个功能你需要在开机时进BIOS一般是按Del或F2找到“Intel Virtualization Technology”或“SVM Mode”的选项把它设为Enabled。可以用任务管理器里的“性能-CPU”页面确认虚拟化是否已启用。第二和Windows自带虚拟机Hyper-V冲突。Windows 11的系统设置里有个“核心隔离-内存完整性”以及“Windows功能”里可能默认开启的Hyper-V、虚拟机监控程序等。这些功能会和VirtualBox抢虚拟化资源导致虚拟机一跑就蓝屏。解决方法是在“启用或关闭Windows功能”里把Hyper-V、Windows虚拟机监控程序平台、适用于Linux的Windows子系统这些选项全部取消勾选如果你不用WSL的话重启后再开虚拟机。第三镜像架构不匹配。如果你下的是ARM架构的镜像却在x86的电脑上装那必然出问题。正常PC选x86_64也就是amd64的ISO即可几乎没有例外。装好系统后还有个小问题容易被忽略中文输入法。Ubuntu默认不带拼音输入法需要自己装。我现在的方案是fcitx5 中文插件一条命令就能搞定sudo apt install fcitx5 fcitx5-chinese-addons装完在设置里把输入法框架切到Fcitx 5重启一下会话就能用了。别去折腾什么“配得干干净净的中文环境”能打字就行等熟练了再按需优化。另外一个强烈建议虚拟机里养成拍快照的习惯。装完系统、干净状态下先打一个快照后面装软件、改配置搞坏了一键回滚能省下大量重装系统的时间。这几乎是虚拟机学习比物理机最大的优势。2. 把目录和文件系统理解成“一张挂载表”而不是一堆文件夹2.1 为什么要先啃目录结构很多教程一上来就让你敲命令结果rm -rf、chmod这些命令你敲了十遍也不知道为什么需要它。我的体会是Linux的一切操作本质上都是在和文件打交道。所以先花一小时把目录结构搞明白后面所有的命令都变得非常好理解。Linux没有Windows那种C盘、D盘的概念整个系统就是一棵树根是/。你插入一块新硬盘不是“分配一个新盘符”而是把这块硬盘“挂载”到某个目录下。所以理解Linux文件系统的正确姿势是它不是按盘符划分的而是按目录用途划分的。几个必须知道的关键目录/etc系统配置文件的家。装个MySQL配置文件在/etc/mysql/网络配置在/etc/network或/etc/sysconfig/用户密码信息在/etc/passwd和/etc/shadow。你改配置八成是在这个目录里改。/home普通用户的家目录。你自己创建的linuxuser用户它的个人文件都在/home/linuxuser/下。每个人登录后的“当前目录”默认就在自己的家目录里。/var变化的、动态的数据。日志文件在/var/log/缓存、邮件队列也都在这。系统出问题第一件事就是去/var/log/里翻日志。/tmp临时文件目录很多程序运行时会往这写临时数据重启可能会被清掉别把重要东西放这里。/usr系统软件安装的地方类似Windows的“Program Files”。你通过包管理器装的软件大部分会落到/usr/bin的软链接下库文件在/usr/lib。/opt第三方大型软件的安装目录很多商业软件默认装到这里。还有两个容易被忽视的/root是管理员root的家目录普通用户的家在/home下root的家在根目录下这是独立的/mnt和/media是手动挂载外部存储的地方。这一套目录结构对应着一条运维铁律什么文件放哪里是有规矩的。你在/tmp里放数据库备份、在/root里放网站代码不是不能用是万一系统坏了或者要迁移你跟别人都会找不到头绪。2.2 “一切皆文件”到底是什么意思Linux哲学里最核心的一句话叫“一切皆文件”。看着玄乎翻译过来就是网卡、磁盘、终端窗口、管道、Socket这些硬件和通信机制在Linux里统统被抽象成了文件用读写文件的方式就能操作它们。你看/dev目录/dev/sda是你的第一块硬盘/dev/tty是当前终端。用cat读一个设备文件等于是从设备取数据用echo往设备文件写字符等于是把数据发到设备上。这就是为什么Linux下可以用dd命令直接 “复制” 一块硬盘——因为硬盘在它眼里就是个文件。文件类型怎么区分用ls -l看第一列-普通文件最常见d目录l符号链接相当于Windows的快捷方式c和b字符设备和块设备对应键盘串口和硬盘这类硬件sSocket文件进程间通信用的这些不需要刻意背你ls -l看多了自然就敏感了。我第一次看到/dev/sda前面那串brw-rw----时也是一头雾水后来知道它表示“块设备属主和属组可读写”后整个权限体系的逻辑一下子通了。2.3 权限rwxLinux安全模型的第一课文件权限是新手最容易忽略、但实际工作中最容易吃亏的地方。我用一条命令演示ls -l /etc/shadow -rw-r----- 1 root shadow 1898 Jan 21 10:32 /etc/shadow这串-rw-r-----一共10个字符。第一个字符是文件类型这里是普通文件后面9个字符分成三组前三位是属主owner权限中间三位是属组group权限最后三位是其他用户others权限。每一组里r是读、w是写、x是执行没有权限就是-。所以/etc/shadow的含义是属主root可读可写属组shadow组可读其他用户完全没有权限。这个文件里存着所有用户密码的哈希值如果权限设成-rw-rw-rw-那等于把密码散列公开了任何一个普通用户都能读走拿去离线破解。理解了这一点你才会真正重视权限配置——它不只是考试题是直接关系系统安全的东西。操作上三件套chmod 755 script.sh # 设置权限为rwxr-xr-x chown linuxuser:linuxuserscript.sh # 修改属主和属组 umask 022 # 默认权限掩码chmod的数字法其实就是二进制换算r4w2x1加起来就是权限值。755意思是属主满分4217属组读执行415其他人读执行5。最常用的就是755文件和700目录目录为了能cd进去必须有x权限。很多新手写了个脚本要执行报Permission denied第一反应是去sudo其实只是没给执行权限。一条chmod x script.sh就解决了。这也是“Linux下运行程序”最基础的一步。2.4 软链接和硬链接别再傻傻分不清热词里“linux文件与目录”被搜了很多次我觉得除了权限容易混的就是链接。很多教程会把软链接符号链接讲成“快捷方式”这个类比80%是对的但硬链接就完全不一样。软链接ln -s是一个独立文件里面记录的是“目标文件的路径”类似快捷方式。你删掉源文件软链接就指向空了。硬链接ln则不同它不产生新文件只是给同一个inode文件数据区多起了一个名字。两个“文件名”指向同一份数据删除其中任何一个都不影响另一个。这个机制理解起来有点反常识但它在系统维护里随处可见比如/usr/bin/python3和/usr/bin/python很多时候就是软链接关系你切换Python版本本质上就是改一下链接指向。我之前在给服务器部署应用时为了统一路径故意建了一堆软链接指向不同版本的程序目录应用升级时只需要改链接不用改业务配置。这个技巧在管理多版本软件时非常实用。3. 高频命令的实战编排单条命令容易学组合起来才是真功夫3.1 别背命令表要用“场景”学命令我看太多新手抱着“linux常用命令大全”在那儿从A背到Z上午背完下午忘。命令不是用来背的是用来解决问题的。我建议把命令和场景绑定比如“想知道系统内存够不够”就学free -h“想知道磁盘是不是满了”就学df -h“程序突然卡死了”就学ps和top。这样你的每一条命令都有使用场景遇到问题时你会自然想起来“这种事情之前用XX命令查过”。3.2 查看系统状态一进来先学会“望闻问切”在服务器上排查问题一半的情况就是看一眼系统整体状态。下面这几个命令我几乎每天都会用组合在一起就是一套“系统体检”uname -a # 看内核版本 cat /etc/os-release # 看发行版名称和版本 free -h # 看内存使用-h在Linux中普遍代表“人类可读单位” df -h # 看磁盘分区占用 top # 或者htop实时看哪个进程吃CPU、吃内存 ps -ef # 看当前都有哪些进程在跑 uptime # 看系统负载也是判断是否异常的第一指标实际生活中一个典型的“系统变慢了”的排查流程大致是先用uptime看负载是不是飙高再用top看是哪个进程占用高如果是一个叫java的进程再用ps -ef | grep java找到它的启动命令和日志路径最后去/var/log/翻日志定位报错。你看这就是把命令串成一个链路来用的典型场景而不是孤零零地敲一条命令。3.3 文本处理三板斧grep、awk、sedLinux服务器上有一类经典问题一个日志文件几万行你怎么快速找到出错的行怎么把里面IP、时间之类的字段提取出来这块靠的就是文本处理三兄弟。grep用于过滤只输出匹配的行grep -i error /var/log/syslog # 忽略大小写找error grep -E ERROR|FATAL app.log # 同时找多个关键词 grep -v ^# config.conf # 去掉注释行这个看配置很常用awk用于按列提取和处理awk {print $1, $3} access.log # 只打印第一列和第三列 awk $9 500 {print $1, $9} access.log # 找出所有状态码大于等于500的请求sed用于替换和流式编辑sed s/old/new/g file.txt # 全局把old替换成new sed -n 20,50p file.txt # 只打印第20到50行在真实排障里这三兄弟很少单独用更多是配合管道符号|串成一条链。比如我排查Nginx异常请求tail -f /var/log/nginx/access.log | awk {print $1} | sort | uniq -c | sort -rn | head -20这条链做的事是实时读取日志 → 提取IP列 → 排序 → 计算每个IP出现次数 → 按次数倒序 → 看前20个。一条命令就能找出“谁在疯狂请求我的网站”。这就是管道的威力一条命令的输出变成下一条命令的输入。3.4 帮助系统和“单步运行程序”Linux给调试开的绿灯很多人一上来就问“有没有速成手册”其实Linux自带的帮助就是最好的手册。man ls看完整文档ls --help看快速帮助几乎每个命令都支持。学会看man你的自学能力会上一个台阶因为90%的命令文档你都能自己查。另一个容易被忽略但极其值钱的技能是“单步运行程序”。你在Windows里可能习惯了IDE点几下就调试Linux命令行环境更简单直接bash -x script.sh # 逐行打印脚本执行过程并显示变量值脚本调试首选 strace -p 1234 # 追踪一个正在运行的进程的所有系统调用 gdb -batch -ex run -ex bt ./a.out # 崩溃时先把堆栈打出来我记得有一次线上服务突然无响应我用strace -p挂上去发现进程卡在等待一个文件锁上顺着这条线索才找到是另一个服务假死占住了锁。这种排查能力不是“敲命令”敲出来的是你知道有工具可以“看程序一步步在干什么”之后自然而然摸索出来的。4. 用户、权限和提权安全模型必须从第一天建立4.1 为什么整天用root会出事新手学了Linux之后很容易因为贪方便所有操作都加台式机sudo甚至干脆切到root用户。我理解这种心态——省去了一堆Permission denied的报错嘛。但这个习惯在真实生产环境里非常危险用root身份跑一个写错的命令可能就是rm -rf把整个系统目录删掉的灾难现场用root跑一个有漏洞的服务攻击者一旦拿下这个服务就等于直接掌控了整台机器。正确的心态是平时用普通用户做事需要系统级操作时才用sudo并且管理员的账号密码要区分开。这是Linux安全的最小权限原则也是运维行业的共识。4.2 用户和组的管理实操新机器第一件事就是创建自己的用户而不是直接用root。用户和组的管理命令比较固定useradd -m -s /bin/bash dev # 创建用户dev-m同时创建家目录-s指定shell passwd dev # 设置或修改密码 usermod -aG sudo dev # 把dev加到sudo组Ubuntu环境 groupadd ops # 新建一个组ops usermod -aG ops dev # 把用户加到组里 id dev # 查看用户所属组和UID注意useradd和adduser的区别Ubuntu的adduser是交互式向导会一步步问你密码和全名适合新手useradd是纯命令行不指定参数时连家目录都不建。你要是忘了-m用户登录上来在/下晃荡还以为系统坏了其实只是家目录没建。4.3 sudo的学问visudo和免密sudo的精髓不在“提权”两个字而在“谁能提、提到什么程度”。管理sudo权限的文件是/etc/sudoers官方要求必须用visudo命令修改——它会在你保存时自动检查语法防止你把文件写坏了导致所有用户都无法sudo。我见过有人在/etc/sudoers里写错语法直接把自己关在管理权限门外最后只能重启进单用户模式修复那个过程很折磨。实际的配置需求就几类给用户完整的sudo权限加进sudo/wheel组、允许特定用户只执行特定命令比如只允许重启Nginx、免密执行。最后一种我建议日常个人学习机上可以用但在生产环境里除非有特殊自动化需求否则不要配NOPASSWD不然任何拿到你账号的人都能畅通无阻地执行管理员命令。4.4 权限进阶与密码过期策略热词榜里有“linux密码过期提醒通知”这其实是企业内部账号安全里的常见需求。Linux的密码策略用chage管理chage -l dev # 查看dev用户的密码过期信息 chage -M 90 dev # 设置密码90天后必须修改 chage -W 7 dev # 提前7天开始提醒密码即将过期系统到点后会像这样提醒用户Warning: your password has expired. You must change your password now...在企业环境里配合/etc/login.defs里的PASS_MAX_DAYS可以实现全局默认策略。这个机制非常实用特别是如果你想在服务器上强制同事定期换密码、或者自己管理一批服务器主机时批量设置合理的过期提醒比一封邮件通知有效得多。另外权限位还有个进阶概念SUID、SGID和Sticky Bit。简单说SUID可以让普通用户临时拥有程序属主的权限比如passwd命令就设置了SUID所以普通用户能改自己的密码因为它需要写/etc/shadowSticky Bit是/tmp目录上的t标志防止用户删掉别人的临时文件。这些东西初学不用深究但理解它们能帮你读懂很多 “为什么这个命令平时不能执行、放在某个目录就突然能了” 的诡异现象。4.5 “提权”话题先用防御思维理解它热词里“linux提权”搜得很火很多人是带着“攻击”的好奇心来的。我必须先把安全底线讲清楚探索系统安全和攻击他人系统是截然不同的事后者违法。我在这里只聊学习和防御视角下的提权概念。所谓“提权”本质上就是攻击者在拿到一个低权限账号后利用系统配置失误或漏洞把自己的权限提升到root的过程。常见的路径有SUID滥用某个程序拥有SUID位能被普通用户执行同时它存在可被利用的漏洞导致以root身份执行了指定代码。sudo配置错误比如某条NOPASSWD规则允许一个普通用户以root权限运行某个程序而该程序本身可以逃逸到shell。内核漏洞内核本身存在漏洞利用成功后直接获得root权限。密码文件泄露弱密码、可读的shadow文件、免密SSH密钥等本质是认证环节失守。如果你是为了做防御理解这些路径的价值在于检查自己的系统里有没有这些破绽。比如定期用find / -perm -4000找出所有带SUID位的程序确认没有可疑文件例如在默认情况下运行sudo -l查看当前用户能执行哪些命令及时发现不合理的sudo规则。这些检查习惯比看十个攻击教程都更能保障你机器的安全。对普通人来说把系统权限配置得干净、把密码策略落实到位比研究任何花活都有用。5. 软件安装和环境配置动手跑通一个服务比背十遍命令都强5.1 包管理器的逻辑apt和dnf是怎么工作的在Windows上装软件你双击exe就行Linux里最常见的方式是包管理器。Ubuntu/Debian用的是aptRocky/CentOS用dnf老的用yum。它们本质上是一个道理从一个软件仓库下载软件包自动帮你解决依赖关系。所谓依赖就是“你要装的东西A它需要先有库BB又需要C”包管理器会帮你把这条链全部理清并装好。这也是为什么从源码编译装软件那么痛苦——你自己编一个程序就得手动搞定它的一堆依赖库。日常操作就几下sudo apt update # 更新软件包索引不是升级软件但很重要 sudo apt upgrade # 真正升级系统内的所有可更新软件 sudo apt install nginx # 安装软件 sudo apt remove nginx # 卸载新手容易犯的错是装不上软件直接去网上搜了个命令瞎敲把软件源换成了乱七八糟的第三方源结果系统更新时依赖冲突整个环境搞坏。我的建议是优先用官方源国内网络慢就换清华、阿里这些国内高校或大厂的镜像源怎么换网上教程很清楚。但要明白换源只解决“网络下载速度”的问题不解决“这个包是否存在”的问题。5.2 源码安装三板斧configure、make、make install包管理器能解决90%的问题但总有软件不在仓库里、或者需要自定义编译参数这时候就要走源码安装。新手经常被这步搞得头皮发麻其实流程就是固定的./configure --prefix/usr/local/myapp # 第一步检测环境、生成Makefile make # 第二步根据Makefile编译 sudo make install # 第三步把编译产物安装到系统目录说说每一步在干嘛configure是检查你的系统里有没有它需要的库、编译器顺便让你传一些编译参数比如安装路径make是核心的“把源代码翻译成机器码”的过程这步报错最常见原因往往是缺某个开发库make install是把它编译好的文件复制到系统目录去。make install报错Permission denied怎么办还没养成sudo习惯的人会懵其实就是要用sudo make install。但要注意configure make用普通用户跑make install用sudo跑这个组合才是标准的。因为编译过程不该接触系统目录而安装必须写入系统目录。5.3 Docker现代Linux上最值得先学的“应用容器”凡是做开发或者运维Docker几乎是躲不开的。你可以把Docker理解成“轻量级虚拟机”它不像虚拟机那样模拟整套硬件而是直接复用宿主机内核把一个应用连同它的环境依赖打包成镜像在隔离的容器里运行。好处是“我这个东西在你的机器上也能跑”告别“明明我本地能跑怎么到你那儿就报错”的世纪难题。安装Docker本身不复杂sudo apt install docker.io sudo systemctl enable --now docker sudo usermod -aG docker $USER # 让当前用户免sudo操作docker需要重新登录跑起来之后你就能体验它的魅力了比如一行命令起一个测试数据库docker run -d --name mysql-test -e MYSQL_ROOT_PASSWORD123456 -p 3306:3306 mysql:8这里-d是后台运行--name起名字-e传环境变量-p把容器的3306端口映射到宿主机的3306。新手可以先把Docker当成“一条命令装好一个应用”的工具来用后面再去细究镜像、容器、卷这些概念学习曲线会平滑很多。5.4 Python与Anaconda环境变量不是玄学Linux下装Python看着简单踩的坑可不少。系统自带的Python往往是3.10或3.12之类的版本而你项目可能需要3.8。这种时候“多版本共存”就是刚需Anaconda/miniconda就是干这个的。安装完conda之后最大的坑立刻出现终端里敲python弹出的还是系统自带的那个版本因为系统默认的PATH里找不到conda的位置。解决方法是把conda加到PATHecho export PATH/home/你的用户/miniconda3/bin:$PATH ~/.bashrc source ~/.bashrc~/.bashrc是你每次打开终端都会自动加载的配置脚本。PATH这个环境变量决定了你敲一个命令的时候系统会按什么顺序去哪些目录里找可执行文件。你把conda的bin目录放到PATH最前面bash就会优先找conda的python而不是系统的。这背后是Linux环境变量的核心用法export VARvalue设置临时环境变量写进~/.bashrc是让它永久生效source是让配置立即加载而不必重开终端。注意改~/.bashrc之前先备份一下我见过太多人把环境变量写坏结果终端一开就报错连ls都找不到路径极其狼狈。万一真写坏了用export PATH/usr/bin:/bin至少能恢复基础命令然后再慢慢修。5.5 MySQL装好不等于能连很多人在Ubuntu装MySQL会踩一个非常典型的坑安装过程默认生成了一个临时的随机密码记录在日志里而你登录时怎么都找不到那行日志。我的建议是干脆利落用sudo直接重设sudo apt install mysql-server sudo mysql # Ubuntu的MySQL默认root可以用socket认证直接进 ALTER USER rootlocalhost IDENTIFIED WITH mysql_native_password BY 新密码;然后用systemd管理服务sudo systemctl status mysql # 看MySQL是否在运行 sudo systemctl restart mysql # 重启服务这里有个容易懵的点mysql命令和mysqld服务是两个东西。前者是客户端后者才是真正的数据库服务进程。你/etc/init.d/mysql start或者systemctl start mysql都是在操作服务端。学Linux一定要习惯“服务端-客户端”这套思维否则你连“我都已经启动了为什么连不上”这种低级问题都定位不了。5.6 环境配置的踩坑记录这些是我在软件安装和环境配置过程中反复踩过的坑拿出来集中说一遍换源后忘记update改了/etc/apt/sources.list一定要sudo apt update刷新索引否则装包还是走的旧索引。依赖缺失一头雾水编译报错说缺libssl-dev之类的先apt search libssl看看包名装了-dev开发包一般就能解决。端口被占用装完服务连不上先ss -tlnp | grep 3306看端口到底活着没是没启动还是被别的进程占了。不要随便删系统自带Python很多系统工具依赖/usr/bin/python3你手贱删了可能连apt都跑不了了。装新版本就老老实实用conda或源码编译别动系统的。6. 网络配置与远程管理从虚拟机走向真实服务器的必经之路6.1 网络排查的基本功学习Linux到一定阶段你就该面对真实服务器了。真实服务器的第一关就是网络。我见过不少人在虚拟机里能跑服务一上云服务器就抓瞎原因就是没系统学过Linux网络配置。先记住一套排查网络问题的命令链ip addr # 看网卡IP和状态代替老旧的ifconfig ip route # 看路由默认网关是否配置正确 ping 8.8.8.8 # 测网络通不通不通说明外网有问题 ping www.baidu.com # 能ping通IP但ping不通域名说明DNS有问题 ss -tlnp # 看端口监听情况服务是否真的在监听 traceroute www.baidu.com # 看数据包走到哪一跳断了一个经典的排查流程是这样的先ping网关判断物理链路通没通再ping外网IP判断网络边界最后ping域名来验证DNS解析。用的是同一套“分层排查”思路每次都先定位问题到底在哪一层比瞎装一堆工具管用得多。很多“上不了网”的问题查到最后就是/etc/resolv.conf里DNS配置不对——文件里写着的nameserver是什么就是实际生效的DNS服务器一行而已。6.2 Rocky和Ubuntu的网卡配置差异热词里有“rocky linux网卡文件”确实不同的发行版配置网络的方式差别很大这是新手最容易困惑的地方。Rocky/RHEL系列的网卡配置文件在/etc/sysconfig/network-scripts/ifcfg-eth0也可能是ifcfg-enp0s3之类的名字核心配置长这样TYPEEthernet BOOTPROTOstatic # 静态IPdhcp代表自动获取 ONBOOTyes # 开机自动启用网卡 IPADDR192.168.1.100 NETMASK255.255.255.0 GATEWAY192.168.1.1 DNS18.8.8.8改完需要systemctl restart network或者nmcli connection reload才能生效。Ubuntu则是用netplan配置文件在/etc/netplan/下的yaml文件里network: version: 2 ethernets: eth0: addresses: - 192.168.1.100/24 routes: - to: default via: 192.168.1.1 nameservers: addresses: - 8.8.8.8然后执行sudo netplan apply。这两套机制完全不同的原因是RHEL系和Debian系各自走了不同的网络管理工具前者用NetworkManager/nmcli后者现在用netplan。你如果两套系统都碰就务必记住这个差异别拿Ubuntu的命令去操作Rocky不然会一直报“命令不存在”。6.3 SSH远程登录服务器管理的必备技能真实服务器一般是放在机房的你不会去机房摸它唯一入口就是SSH。Ubuntu上开启SSH很简单sudo apt install openssh-server sudo systemctl enable --now ssh但更关键的是安全配置。很多人装上SSH后什么都不改然后就被扫描爆破。我最基本的建议两条第一修改/etc/ssh/sshd_config把PermitRootLogin改成no禁止root直接远程登录。你要管理员权限就先用普通用户登录再sudo这样哪怕密码被暴力破解攻击者拿到的也只是普通用户权限不至于直接沦陷。第二配置SSH密钥登录代替密码登录。本地生成密钥对把公钥放到服务器上ssh-keygen -t ed25519 # 本机生成密钥对一路回车即可 ssh-copy-id user服务器IP # 把公钥自动拷贝到服务器公钥认证的原理一句话版本服务器手里拿着你的公钥你登录时用私钥签名一个挑战服务器用公钥验签通过就放行。私钥永远不出你的本地机器比密码在网络传输里裸奔安全得多。配置完成后还可以在sshd_config里设置PasswordAuthentication no彻底关掉密码登录基本告别爆破风险。6.4 systemd现代Linux的服务管理大脑“我已经启动了怎么连不上”这类问题一半出在服务没真正跑起来。现代Linux发行版管理服务的工具是systemd基本命令systemctl start nginx # 启动服务 systemctl enable nginx # 开机自启 systemctl status nginx # 查看服务状态包括最近日志 systemctl restart nginx # 重启服务改配置后必备 journalctl -u nginx -n 50 # 看服务的最近50行日志journalctl值得多提一句很多服务自己不写日志文件而是把日志交给systemd统一管理所以你要看它的报错大概率是用journalctl -u 服务名。我排查Nginx起不来的问题十次有九次是journalctl里直接给出了具体原因。记住这个习惯服务异常第一件事看status第二件事看journalctl第三件事再去看配置文件。不要一上来就改配置越改越乱。7. 学完基础往哪走嵌入式、进程通信与面试准备7.1 嵌入式Linux的方向从“会用”到“造系统”如果你学Linux的初衷是往嵌入式方向发展那基础阶段的视角要早点转过来。嵌入式Linux和纯服务器运维的差别在于你要关心的是“如何把一个Linux系统做成一个定制化的固件跑在一块特定的硬件上”。热词里“嵌入式linux项目”“linux phy 不使用mdio,使用i2c”都属于这个领域的问题。嵌入式Linux的学习主线大概是交叉编译环境搭建在PC上编译出ARM板子上能跑的二进制、Bootloader比如U-Boot的移植、内核裁剪与设备树、根文件系统制作、外设驱动的编写。热词里那个PHY芯片不用MDIO而用I2C配置的问题就是典型的“时序工作中网卡芯片通信方式不同”的驱动细节——学习物理层芯片驱动时会碰到知道这个概念即可真正深入要到了驱动开发阶段。我建议PC上先练熟命令行、脚本、交叉编译基础再买个二手的ARM开发板比如瑞芯微、全志系的板子资料很丰富实际跑一遍。嵌入式最忌讳只看不练因为硬件特性是写在芯片手册里的你不亲手调个I2C、配个GPIO根本记不住。7.2 进程间通信Linux并发世界的地基学了Linux基础绕不开的一个进阶主题是“进程间通信”IPC。为什么需要它因为多个程序要协作比如一个进程读数据另一个进程处理数据它们之间总得有办法传数据。Linux下的IPC手段其实都是UNIX时代传下来的老物件但到今天依然好用管道一个进程的输出接另一个进程的输入命令行里的|就是管道的体现匿名管道的名字你每天都在用。信号给进程发一个“通知”比如kill -9发的就是一个无条件终止的信号可以用kill -l查看全部信号列表。共享内存多个进程直接共享一块内存区域速度最快是高性能场景的首选。消息队列按消息单元传递数据适合有格式的数据通信。Socket网络通信的通用接口不只是跨主机同一台机器上的进程也能通过本机回环地址的Socket通信比如你的客户端程序通过localhost:8080连接本机的Nginx。面试问进程间通信几乎必出这几样。我的学习建议是先在命令行里把管道玩熟再写两个小程序试试信号和共享内存最后通过Socket写一个最简单的本机通信Demo。一次动手胜读十篇原理文章。7.3 面试场景这些基础题千万别翻车热词榜里“linux面试题”也是高频搜索可见大家都想拿着Linux技能去找工作。我从面试和被面试两个角度分享一些高频考点和对应的准备方式。命令类Linux查看端口占用用什么命令ss或netstat、如何查看磁盘使用情况df -h、如何查找文件find。这类题没有技巧就是把基础命令的实操场景多过几遍。文件系统/etc放什么、/var/log有什么、软链接硬链接的区别。理解目录结构和一个inode的概念基本能应付。权限相关chmod 644代表什么、umask是干嘛的、root和普通用户的区别。这个方向还有个高频问法“为什么普通用户执行sudo不需要root密码”。答案是sudo的机制而非普通用户真的拥有root密码。进程与服务僵尸进程是什么、如何查看进程父子关系、systemctl和service的区别。能说清“僵尸进程是父进程没有正确回收子进程退出状态”基本就过关。网络TCP三次握手、traceroute原理、iptables的五链四表。哪怕不走网络安全方向iptables的“过滤表”和“NAT表”的基本概念也要能说上来。脚本能力经常有面试官让现场写一个shell脚本比如“找出日志文件里访问量最多的前10个IP”。这就是我前面讲的管道组合能力把awk、sort、uniq、head练熟就能直接写出来。7.4 建立你自己的“外挂大脑”最后分享一个我觉得最有用的学习方法把Linux学习过程变成笔记资产而不是浪费在“学完就忘”里。我个人会给常用但又容易记错的命令建一份笔记长期沉淀到团队文档或个人wiki里。并且给高频长命令设置别名写进~/.bashrcalias myipip -brief addr alias topmemps aux --sort-%mem | head -15 alias jljournalctl -u这样每次敲topmem就能立刻看到内存占用最高的进程省去了敲一长串命令的时间。学习新东西也一样遇到一个搞懂的坑就记录到自己的“踩坑手册”下次遇到同样问题时直接搜自己的笔记比重新上网到处翻效率高很多。我的知识体系就是这样一点点长出来的——没有捷径但可以让每一步都积累出复利。Linux这条路很长但入门阶段需要掌握的东西其实非常集中一个发行版的安装、目录和权限的理解、高频命令的组合使用、软件环境配置、网络服务管理。把这五件事做扎实你已经比大多数号称“会Linux”的人强了。剩下的所有进阶方向——嵌入式、运维自动化、容器化、安全加固——都是在这些地基上盖大楼。沉住气动手敲你遇到的问题本身就是你最好的老师。
