Лучшие практики отключения ненужных служб и таймеров systemd

Ненужные службы и таймеры systemd могут замедлять загрузку, потреблять память и открывать прослушивающие порты, которые вы не используете. Цель — не «ободрать» Linux-хост до костей, а выявить модули, не соответствующие роли машины, и безопасно их отключить.

Это руководство описывает практический процесс проверки служб, сокетов и таймеров с командами, которые можно выполнять до и после каждого изменения.

Понимание типов модулей systemd

Прежде чем что-либо отключать, важно понимать различные типы модулей, которыми управляет systemd, так как их влияние и методы управления различаются:

• Службы (.service): Самый распространенный тип модуля, отвечающий за запуск демонов или приложений (например, sshd.service, nginx.service).
• Таймеры (.timer): Используются для планирования выполнения других модулей (часто служб) на основе временных спецификаций, заменяя традиционные задачи cron (например, apt-daily.timer).
• Сокеты (.socket): Управляют сетевыми или IPC-сокетами, часто используются для сокетной активации, когда служба запускается только при получении трафика на связанный с ней сокет (например, ssh.socket).

Этап 1: Выявление запущенных и включенных модулей

Первый шаг — получить представление о том, что в данный момент активно и что настроено на автоматический запуск.

Список всех активных модулей

Чтобы увидеть, что в данный момент работает в вашей системе, используйте systemctl list-units:

systemctl list-units --type=service --state=running

systemctl list-units --type=timer --state=active

Список всех включенных модулей (модули, настроенные на запуск при загрузке)

Модули, помеченные как enabled, будут сохраняться после перезагрузок. Их проверка критически важна для оптимизации загрузки:

systemctl list-unit-files --type=service | grep enabled

systemctl list-unit-files --type=timer | grep enabled

Проверка зависимостей

Если модуль, который вы хотите отключить, является зависимостью для критических системных функций, его отключение может нарушить работу важных служб. Вы можете проверить, что требуется конкретному модулю или что требует его:

systemctl list-dependencies <имя_модуля.service>

Этап 2: Безопасное отключение и маскирование модулей

После того как вы определили модуль, который считаете ненужным (например, службу Bluetooth на сервере или конкретную службу печати), необходимо выбрать правильный метод, чтобы остановить его работу.

1. Остановка службы (временно)

Если вы хотите только немедленно остановить службу, не влияя на ее поведение при запуске при следующей загрузке, используйте stop:

sudo systemctl stop <имя_модуля.service>

2. Отключение службы (предотвращение будущего запуска)

Отключение модуля предотвращает его автоматический запуск в будущем. Это не останавливает уже запущенную службу, если вы также не передадите --now или не выполните stop отдельно.

sudo systemctl disable <имя_модуля.service>
sudo systemctl disable --now <имя_модуля.service>

3. Маскирование службы (самый сильный метод)

Маскирование — это самый агрессивный способ предотвратить запуск модуля. При маскировании systemd создает символическую ссылку из файла модуля на /dev/null. Это предотвращает запуск модуля любым процессом, включая цепочки зависимостей, даже если другая включенная служба явно требует его.

Используйте маскирование с осторожностью, обычно только для модулей, в которых вы абсолютно уверены, что они никогда не должны запускаться.

sudo systemctl mask <имя_модуля.service>

# Чтобы отменить маскирование:
sudo systemctl unmask <имя_модуля.service>

Управление таймерами и сокетами

Таймеры обычно следует отключать, если служба, которую они запускают, не нужна. Сокеты часто можно оставить в покое, если они используют сокетную активацию, так как связанная служба не будет потреблять ресурсы до запроса. Однако, если служба, привязанная к сокету, не нужна, отключения службы часто достаточно.

# Отключить конкретный таймер
sudo systemctl disable <имя_модуля.timer>

# Остановить и отключить конкретный модуль сокета
sudo systemctl stop <имя_модуля.socket>
sudo systemctl disable <имя_модуля.socket>

Этап 3: Практические примеры и лучшие практики

Применение этих концепций требует тщательного учета роли системы (например, настольный ПК или сервер).

Пример 1: Отключение CUPS (системы печати) на сервере

Если ваш Linux-компьютер является безголовым сервером без оборудования для печати, служба CUPS часто является ненужной нагрузкой. Следует отключить как службу, так и связанный с ней таймер.

# Сначала проверьте статус
systemctl status cups.service

# Отключите и остановите службу
sudo systemctl disable --now cups.service

# Отключите связанную службу обнаружения, если она присутствует
sudo systemctl disable --now cups-browsed.service

Пример 2: Работа с нежелательными службами Snapd (при использовании DNF/APT нативно)

Некоторые дистрибутивы устанавливают snapd. Если вы не используете snaps, вы можете остановить и отключить его основные компоненты службы:

sudo systemctl stop snapd.service
sudo systemctl disable snapd.service snapd.socket

⚠️ Предупреждение о службах, специфичных для дистрибутива: Будьте предельно осторожны при отключении служб, предоставляемых непосредственно основным менеджером пакетов вашего дистрибутива (например, компонентов systemd-networkd или NetworkManager). Тщательно изучите функцию модуля перед его отключением, так как ошибка может привести к потере сетевого подключения или нестабильности системы.

Краткое изложение лучших практик

1. Всегда сначала исследуйте: Перед выполнением disable или mask поищите в интернете, что делает конкретный модуль .service или .timer в вашем дистрибутиве (например, «Что такое ModemManager.service?»).
2. Отдавайте предпочтение disable перед mask: Используйте disable для стандартного удаления из последовательности загрузки. Резервируйте mask для модулей, которые постоянно проблематичны или представляют угрозу безопасности, которую вы хотите полностью устранить.
3. Проверяйте зависимости: Если отключение модуля A нарушает работу модуля B (который вам нужен), вы должны либо повторно включить A, либо найти замену для B.
4. Тестовая перезагрузка: После внесения существенных изменений перезагрузите систему (sudo reboot), чтобы убедиться, что система запускается чисто и важные службы остаются работоспособными.

Проверка изменений

После выполнения ваших команд всегда проверяйте, что модуль больше не включен или не работает, как ожидалось:

# Проверьте статус после отключения
systemctl status <имя_модуля.service>
# Вывод должен показывать 'Loaded: loaded (...; disabled; vendor preset: disabled)'

Относитесь к очистке systemd как к любому другому изменению в production: изучите модуль, временно остановите его, если не уверены, отключайте только после тестирования и резервируйте mask для модулей, которые не должны запускаться ни при каких обстоятельствах. Это даст вам более легкий хост без превращения рутинного обслуживания в восстановительную операцию.