Linux 学习路径：从文件与进程到排障与安全

使用方式

Linux 分支有八百多个条目，这条路径只挑四十个。先把文件、进程、网络、排障四条主线走通，再按命令分类扩展；否则很容易把时间花在背参数上。

四个阶段按依赖顺序排列，每个阶段建议留 2–3 小时：

• 先读：按顺序读该阶段列出的页面，遇到不熟悉的命令先照着敲一遍。
• 再做：完成动手任务。任务都在一次性虚拟机或容器里做，不要在生产机上练。
• 后测：合上页面回答过关问题。答不上来就回到对应页面，而不是继续往下读。

Linux 的知识密度高在“组合”，不在单个命令。每个阶段都要把多个命令串成一条可重复的检查流程。

阶段一：文件、权限与文本

目标：能在任意目录定位文件，读懂权限位，并用 grep、sed、awk 从日志里提取需要的信息。

阅读顺序：

1. ls — 先看清 inode、权限、时间戳和隐藏文件。
2. cd — 目录切换、cd - 和相对路径的基准。
3. cat — 小文件查看，以及 -n、-A 这类排错选项。
4. find — 按名称、类型、时间、大小查找，并安全地批量处理。
5. grep — 文本过滤、递归搜索、上下文和退出码。
6. sed — 流式替换、按行删除和原地修改的风险。
7. awk — 按字段处理结构化文本，做统计和筛选。
8. chmod — 读写执行位、目录的执行位和特殊位。
9. chown — 属主与属组，递归修改前先确认范围。
10. xargs — 把查找结果安全地传给下一个命令，理解 -0。

动手任务：在 /tmp 下造一个日志目录，用查找、过滤和字段提取做一份访问统计，再改一次权限并验证。

mkdir -p /tmp/linux-lab/logs
printf 'GET / 200\nPOST /login 401\nGET /admin 403\n' > /tmp/linux-lab/logs/access.log
find /tmp/linux-lab -type f -name '*.log' -print0 | xargs -0 ls -l
grep -c ' 403$' /tmp/linux-lab/logs/access.log
awk '$3 == 403 {print $2}' /tmp/linux-lab/logs/access.log
sed -n '2p' /tmp/linux-lab/logs/access.log
chmod 640 /tmp/linux-lab/logs/access.log
ls -l /tmp/linux-lab/logs/access.log

过关标准：

• 能解释文件上的 x 和目录上的 x 分别意味着什么。
• 知道 find -exec 和 xargs -0 各自适合什么场景，以及文件名带空格时会发生什么。
• 能说清 grep、sed、awk 各自解决哪类问题，而不是混着用。

阶段二：进程、资源与系统

目标：能回答“谁在跑、占了多少资源、打开了什么、由谁管理、什么时候自动跑”。

阅读顺序：

1. ps — 进程快照、父子关系和自定义输出字段。
2. top — 实时视图，重点看负载、CPU、内存和 D 状态进程。
3. pstree — 从进程树确认服务由谁拉起、有没有多余子进程。
4. systemctl — 单元管理、启动失败原因和开机自启。
5. journalctl — 按单元、时间、优先级过滤日志。
6. lsof — 进程打开的文件、端口和已删除但仍占空间的文件。
7. crontab — 定时任务的五个时间字段和环境变量陷阱。
8. pidstat — 按进程持续采样 CPU、内存和 IO。
9. free — 区分 free、available、buff/cache，不要被数字误导。
10. uptime — 1/5/15 分钟负载趋势和运行时长。

动手任务：找出当前占用 CPU 最高的进程，查它打开的资源和所属单元，再创建一条每分钟执行的定时任务并验证日志。

ps -eo pid,ppid,pcpu,pmem,comm --sort=-pcpu | head
pstree -p $$
systemctl status sshd --no-pager
journalctl -u sshd -n 20 --no-pager
lsof -p $$ | head
pidstat 1 3
free -m
uptime

过关标准：

• 知道 load average 高不一定是 CPU 忙，能说出 D 状态进程的影响。
• 能区分 systemctl 管理单元和 journalctl 读取日志的职责。
• 能通过 lsof 找到一个“已删除但磁盘没释放”的文件。
• 知道 cron 任务里 PATH 和当前 shell 不一致会导致什么。

阶段三：网络与存储

目标：能确认监听端口、连接状态、路由、DNS、HTTP 响应，以及磁盘空间和文件传输是否正常。

阅读顺序：

1. ss — 比 netstat 更快地看监听、连接和 socket 队列。
2. ip — 地址、路由、链路和邻居表，替代旧的 ifconfig/route。
3. curl — HTTP 请求、响应头、超时、重试和 TLS 细节。
4. ssh — 远程登录、密钥认证、端口转发和跳板。
5. df — 文件系统空间和 inode 使用率。
6. du — 目录占用，理解硬链接和重复计算。
7. tar — 打包、压缩、保留权限和跨目录解压。
8. ping — 连通性、RTT 和丢包，不负责验证端口。
9. dig — DNS 查询、记录类型、递归与权威应答。
10. rsync — 增量同步、排除规则和删除语义。

动手任务：起一个本地 HTTP 服务，确认监听和访问链路，再打包并增量同步目录。

python3 -m http.server 8080 &
ss -lntp | grep 8080
curl -v --max-time 3 http://127.0.0.1:8080/
dig example.com +short
ip route
df -h /tmp && df -i /tmp
du -sh /tmp/linux-lab
tar -czf /tmp/linux-lab.tar.gz -C /tmp linux-lab
rsync -av /tmp/linux-lab/ /tmp/linux-lab-backup/

过关标准：

• 能区分 LISTEN、ESTABLISHED、TIME_WAIT 分别代表什么。
• 能解释 df 显示满但 du 加起来不大的常见原因。
• 知道 curl 返回非零退出码时，先看 DNS、连接还是 TLS 阶段。

阶段四：排障与安全

目标：能用系统调用、资源采样和审计日志定位权限拒绝、磁盘写满、IO 饱和和异常提权。

阅读顺序：

1. strace — 跟踪系统调用，确认程序卡在哪个文件或网络操作。
2. vmstat — 运行队列、内存换页、IO 等待和上下文切换。
3. iostat — 磁盘吞吐、延迟、队列和利用率。
4. sar — 历史性能数据，适合事后复盘。
5. dmesg — 内核日志、OOM、磁盘错误和驱动异常。
6. sudo — 提权规则、环境保留和最小授权。
7. auditd — 审计规则、命令执行和文件访问追踪。
8. permission-denied — 从 EACCES/EPERM 倒推权限、属主和挂载选项。
9. no-space-left — 空间、inode、保留块和已删除文件的完整排查顺序。
10. linux-performance-triage — 把前面的命令串成 USE 排查流程。

动手任务：在一次性的虚拟机里制造权限拒绝和磁盘写满，用系统调用和内核日志确认根因；再配置一条审计规则观察 sudo 执行。

chmod 000 /tmp/linux-lab/logs/access.log
strace -e trace=openat cat /tmp/linux-lab/logs/access.log
fallocate -l 64M /tmp/small.img
mkfs.ext4 -q /tmp/small.img
mkdir -p /mnt/small && sudo mount -o loop /tmp/small.img /mnt/small
df -h /mnt/small
vmstat 1 3
iostat -xz 1 3
dmesg -T | tail -30
sudo ausearch -m USER_CMD -ts recent

过关标准：

• 能区分 EACCES 和 EPERM，并知道分别先查什么。
• 能读懂 vmstat 的 r、b、si、so、wa，判断是 CPU、内存还是 IO 问题。
• 知道删除文件后空间未释放时，应该用 lsof +L1 找持有进程。

常见误区

• 把命令参数当知识点背，遇到问题仍然只会 ls、cat、tail -f。
• 用 chmod 777 解决所有权限问题，破坏最小权限原则。
• 看到 free 很小就判断内存不足，忽略可回收的 page cache。
• 把 load average 直接等同于 CPU 使用率，不看 IO 等待和不可中断进程。
• 文件删除了就认为空间一定释放，不检查仍持有文件描述符的进程。
• 在 find 结果上直接用 xargs，不处理空格和换行。
• 只在生产机上练 strace、iostat 和内核参数，影响真实业务。

读完自测

合上页面，先回答，再展开对照。

1. 目录的 x 权限和文件的 x 权限分别控制什么？
2. df -h 显示磁盘已满，但 du -sh 统计不出对应大小，最可能是什么原因？
3. 一个进程报 Permission denied，你会按什么顺序确认是权限位、属主、ACL、挂载选项还是安全模块？

相关条目

• Linux 分支 — 全部 Linux 条目
• linux-performance-triage — 性能排查路线图
• linux-permission-cheatsheet — 权限速查
• bash-cheatsheet — Shell 语法速查
• systemd-cheatsheet — systemd 速查
• linux-mental-model — Linux 心智模型