Linux 网络配置与排查：从 ip/ss 到 iptables 的完整实战
系统讲解 Linux 网络配置与排查：ip 命令家族、网卡与 IP 配置、路由管理、ss/netstat 端口连接查看、DNS 配置与解析排查、iptables/nftables 防火墙规则、以及 ping/traceroute/curl 等连通性工具实战。
tag
Linux
共 56 篇文章。
Linux 用户权限与安全加固：从 ACL 到 SELinux 的完整实战
系统讲解 Linux 用户权限与安全加固：用户与组管理、文件权限模型与 umask、ACL 访问控制列表、sudo 提权策略、SSH 安全加固、PAM 认证、SELinux 强制访问控制入门，以及一份完整的服务器安全加固清单。
Linux 文件系统与磁盘管理：从 inode 到 LVM/RAID 的完整实战
系统讲解 Linux 文件系统与磁盘管理：inode 与文件系统结构、ext4/xfs/btrfs 对比、挂载与 fstab、df/du 空间管理、LVM 逻辑卷动态扩容、软 RAID 阵列搭建、磁盘配额与坏道检查。
Linux 性能监控与调优：从 CPU 到磁盘的完整实战
系统讲解 Linux 性能监控与调优：性能分析四件套（CPU/内存/IO/网络）、perf 采样剖析、CPU 亲和与进程优先级、内存参数与 swap 调优、IO 调度与 sysctl 内核参数、以及一套完整的性能排查方法论。
Linux Shell 脚本编程实战：从 bash 语法到运维自动化
系统讲解 Linux Shell 脚本编程：bash 语法基础（变量/引号/参数）、条件与循环控制、函数与作用域、正则与文本处理三剑客（grep/sed/awk）、脚本调试与错误处理，以及一个完整的运维自动化脚本实战。
虚拟化与容器隔离：从 KVM/QEMU 到 namespace 与 cgroup
虚拟化与容器是现代基础设施的两大基石，但它们的隔离模型截然不同。本文从 KVM/QEMU 的硬件虚拟化原理出发，深入 VMX/SVM 指令、EPT 内存虚拟化与 virtio 半虚拟化设备，再剖析容器依赖的 namespace 视图隔离与 cgroup 资源限制，最后对比虚拟机与容器的隔离边界、性能差异与安全风险，帮你建立从 Hypervisor 到 runc 的完整认知链路。
系统启动全流程：从 BIOS/UEFI、GRUB 到内核与 systemd
从按下电源键到登录界面，系统要经历固件初始化、Bootloader、内核解压、驱动加载、initramfs、systemd 初始化多个阶段。本文沿真实启动路径逐步解剖：BIOS 与 UEFI 的差异、Secure Boot 信任链、GRUB 如何加载内核、内核从实模式到 start_kernel 的旅程、initramfs 为什么存在，以及 systemd 的并行启动与依赖图，最后给出用 systemd-analyze 做启动性能优化的完整方法。
操作系统安全加固与可信计算：LSM、内核加固、TPM 与容器逃逸防护
操作系统安全的本质是纵深防御：从内核自身的加固（KASLR、栈保护、模块签名），到强制访问控制层 LSM（SELinux/AppArmor），再到硬件信任根（TPM 可信启动与远程证明），以及容器场景的逃逸防护（seccomp、Capabilities、最小权限）。本文先画出攻击面全景，再逐层拆解每一道防线的工作原理与配置方法，最后给出生产环境可落地的加固清单与逃逸事件处置路径。
实时操作系统：RTOS 内核设计、优先级反转与 Linux PREEMPT_RT
实时系统关注的不是吞吐，而是「在规定时间之前完成」的确定性。本文从硬实时与软实时的定义出发，拆解 RTOS 内核的任务模型与抢占式调度设计，深入经典难题优先级反转及优先级继承/天花板两种解法，再分析 RMS 与 EDF 的可调度性理论，最后落到 Linux PREEMPT_RT 的演进、实时调度策略（SCHED_FIFO/RR/DEADLINE）、PI-futex 与 cyclictest 实测，给出工业控制与音视频场景的选型建议。
NVMe 存储栈深入：PCIe 队列对、多队列调度与 io_uring 的结合
NVMe 通过 PCIe 直连与高深度的多队列把闪存盘的随机 IO 性能推向数百万级 IOPS，但这要求整条存储栈——从驱动队列、块层 blk-mq、IO 调度器到用户态 io_uring——都以极低延迟协作。本文从 PCIe 事务与队列对模型讲起，深入 NVMe 多队列映射、blk-mq 与 IO 调度器，再剖析 io_uring 与 NVMe 结合后的轮询与内核绕过路径，最后给出生产环境压测与调优清单。
eBPF 可观测与内核追踪：从 BPF 程序模型到生产调试与安全审计
eBPF 让开发者无需修改内核代码，就能在内核事件发生处动态注入安全受限的程序，是现代可观测性、性能诊断与安全审计的事实标准。本文从 BPF 指令集与验证器出发，拆解程序类型与挂载点（tracepoint/kprobe/uprobe），讲解 BPF Map 的数据通道，再对比 bpftrace、BCC 与 libbpf/CO-RE 三条开发路径，最后给出 TCP 重传追踪、阻塞唤醒分析、execsnoop 审计等真实生产场景的完整脚本。
Docker 存储驱动与 OverlayFS 深度解析：Copy-on-Write 与镜像分层原理
深度解析 Docker 存储驱动（Storage Driver）与 OverlayFS：镜像分层如何实现、Copy-on-Write 原理、overlay2 vs vfs、容器的可写层、删除与写入的 CoW 行为、磁盘占用与镜像瘦身、常见存储驱动选型与避坑。
容器资源限制与 cgroup 深入：CPU/内存/IO 配额与 OOM
深入 Linux cgroup v1/v2 机制，系统讲解 Docker 的 CPU（--cpus/--cpu-shares）、内存（--memory/--memory-swap）、IO（--blkio）配额原理，剖析 OOM 与 oom-score-adj、swappiness 与 page cache 的影响，并给出预留 vs 限制（requests/limits）思路与资源监控告警实践。
NixOS 系统配置管理
NixOS 是围绕 Nix 包管理器构建的 Linux 发行版，实现了声明式的系统配置。本文详解 configuration.nix 结构、模块系统、系统重建、服务管理和网络配置。
Nix 包管理实战
Nix 包管理器通过纯函数式方法实现了可复现、可回滚的软件包管理。本文详解 nixpkgs 仓库结构、derivation 原理、常用命令和社区生态。
Linux 系统管理专题：从 Flatpak 容器化到系统运维的完整实战
Linux 是服务器、桌面与云基础设施的基石。本专题以「桌面应用容器化（Flatpak）→ 系统管理 → 自动化 → 安全加固」为路径，系统覆盖 Flatpak 架构原理与沙箱安全模型、运行时（Runtime）与 SDK 版本管理、manifest 编写与 flatpak-builder 构建工具链、Flathub 发布流程、与传统包管理（deb/rpm/snap/AppImage）的对比选型，并延伸到 Linux 核心系统管理：进程管理与系统监控、文件系统与磁盘管理（LVM/RAID/挂载）、systemd 服务管理（Unit/Socket/Timer/资源控制）、Shell 脚本编程、网络配置与排查、用户权限与安全加固（sudo/ACL/SELinux）、journald 日志管理、备份与容灾、容器与隔离（namespace/cgroup）、虚拟化（KVM/QEMU）、内核与启动流程，进一步扩展防火墙与 nftables（规则集/NAT/conntrack）、系统安全加固（SSH/SELinux/纵深防御）、高级文件系统（XFS/Btrfs/ZFS）、高可用与负载均衡（HAProxy/Keepalived）、内核调优（sysctl/内存/网络/调度）与启动排错（引导修复/救援模式/panic 诊断），再扩展高级网络管理（bonding 链路聚合/VLAN 划分/网桥/网络命名空间）、软件包管理（apt/dnf/pacman 三大系/依赖解析/GPG 签名）、定时任务（cron/anacron/at/systemd timer）、DNS 与 DHCP 服务（dnsmasq 轻量/BIND 权威/zone 文件/解析排错）、SSH 服务与隧道（sshd 配置/密钥认证/端口转发/安全加固）、日志管理（rsyslog 集中收集/logrotate 轮转/日志分析），帮助开发者和运维工程师从应用分发到系统运维建立完整的 Linux 实战能力。
进程与线程：从 PCB 到内核调度实体
操作系统中最核心的抽象莫过于进程（Process）。它不仅是资源分配的基本单位，也是程序运行的载体。而线程（Thread）作为更轻量的执行单元，让并发程序设计更加高效。本文从内核视角出发，深入剖析进程控制块、线程模型、Linux 实现机制以及用户态协程的本质。
虚拟内存与分页机制：从 MMU 到 TLB
虚拟内存是操作系统中最精妙的设计之一。它让程序可以方便地使用连续地址空间进行编码，而无需关心复杂多变的物理内存布局。同时，它也为操作系统调度、进程隔离和内存安全提供了底层支撑。从最早的段页式管理，到现代 x86-64 的多级页表，虚拟内存始终是操作系统与硬件交互最核心的环节之一。
系统性能诊断与调优：strace、perf、bpftrace
性能问题往往没有统一的标准答案，但 Linux 提供了一套完整的工具链，可以从不同层面揭示系统的运行状况。本文系统介绍从系统调用跟踪到内核动态追踪的常用工具，帮助开发者在面对高 CPU、高延迟或资源瓶颈时快速定位根因。strace：系统调用跟踪 strace 是最基础也是使用率最高的诊断工具之一。
现代高性能 IO：epoll、io_uring 与异步 IO
The C10K Problem：为什么 poll/select 不具扩展性 在 1999 年，开发者 Dan Kegel 提出了著名的 C10K Problem：如何让一台单机同时处理 10,000 个并发连接？