禁用不必要的 Systemd 服务和定时器的最佳实践

有效管理系统资源对于维护一个快速、安全和稳定的 Linux 环境至关重要。在现代发行版中无处不在的 systemd 初始化系统和服务管理器，控制着大量在启动时或由事件触发的服务、套接字和定时器。虽然 systemd 功能强大，但运行未使用的组件会不必要地消耗内存、CPU 周期，并可能增加攻击面。

本指南提供了关于识别、评估和安全禁用或屏蔽不需要的 systemd 单元（服务、套接字和定时器）的最佳实践的全面指南。通过精简您的活动单元，您可以显著改善启动时间并减少系统上的总体运行负载。

了解 Systemd 单元类型

在禁用任何内容之前，了解 systemd 管理的不同单元类型至关重要，因为它们的影响和管理方法各不相同：

服务 (.service)： 最常见的单元类型，负责运行守护进程或应用程序（例如 sshd.service、nginx.service）。
定时器 (.timer)： 用于根据时间规范安排其他单元（通常是服务）的执行，取代传统的 cron 作业（例如 apt-daily.timer）。
套接字 (.socket)： 管理网络或 IPC 套接字，通常用于套接字激活，即服务仅在其关联套接字收到流量时才启动（例如 ssh.socket）。

阶段 1：识别正在运行和已启用的单元

第一步是了解当前哪些处于活动状态，以及哪些被配置为自动启动。

列出所有活动的单元

要查看系统上当前正在运行的内容，请使用 systemctl list-units：

systemctl list-units --type=service --state=running

systemctl list-units --type=timer --state=active

列出所有已启用的单元（设置为启动时启动的单元）

标记为 enabled 的单元将在重新启动后保持。审查这些对于启动优化至关重要：

systemctl list-unit-files --type=service | grep enabled

systemctl list-unit-files --type=timer | grep enabled

检查依赖关系

如果您希望禁用的单元是关键系统功能的依赖项，禁用它可能会破坏基本服务。您可以检查特定单元需要什么或什么需要它：

systemctl list-dependencies <unit_name.service>

阶段 2：安全地禁用和屏蔽单元

一旦您确定了一个您认为不必要的单元（例如，服务器上的蓝牙服务，特定的打印服务），您必须选择正确的方法来阻止它运行。

1. 停止服务（临时）

如果您只想立即停止某项服务而不影响其在下次启动时的行为，请使用 stop：

sudo systemctl stop <unit_name.service>

2. 禁用服务（阻止将来启动）

禁用单元会阻止它在下次启动时自动启动，并且会立即停止它（如果它当前正在运行）。这是未使用的服务的标准方法。

sudo systemctl disable <unit_name.service>

3. 屏蔽服务（最强方法）

屏蔽是阻止单元启动的最激进方法。当被屏蔽时，systemd 会在单元文件和 /dev/null 之间创建一个符号链接。这可以防止任何进程，包括依赖链，启动该单元，即使另一个已启用的服务明确要求它也是如此。

请谨慎使用屏蔽，通常只用于您绝对确定绝不应运行的单元。

sudo systemctl mask <unit_name.service>

# 要撤销屏蔽：
sudo systemctl unmask <unit_name.service>

管理定时器和套接字

如果定时器触发的服务不必要，通常应禁用定时器。如果套接字使用套接字激活，则通常可以不理会它们，因为关联的服务在被请求之前不会消耗资源。但是，如果与套接字绑定的服务是不必要的，禁用该服务通常就足够了。

# 禁用特定定时器
sudo systemctl disable <unit_name.timer>

# 停止并禁用特定套接字单元
sudo systemctl stop <unit_name.socket>
sudo systemctl disable <unit_name.socket>

阶段 3：实际示例和最佳实践

应用这些概念需要仔细考虑系统的角色（例如，桌面与服务器）。

示例 1：在服务器上禁用 CUPS（打印系统）

如果您的 Linux 机器是一台没有打印硬件的无头服务器，CUPS 服务通常是不必要的开销。我们应该禁用服务及其相关的定时器。

# 首先检查状态
systemctl status cups.service

# 禁用服务
sudo systemctl disable cups.service

# 如果存在，禁用相关的定时器
sudo systemctl disable cups-browsed.timer

示例 2：处理不需要的 Snapd 服务（如果使用原生的 DNF/APT）

一些发行版安装了 snapd。如果您不使用 snaps，您可能希望停止并禁用其主要服务组件：

sudo systemctl stop snapd.service
sudo systemctl disable snapd.service

⚠️ 关于发行版特定服务的警告： 请极其谨慎地禁用由发行版核心软件包管理器直接提供的服务（例如 systemd-networkd 或 NetworkManager 组件）。在禁用之前，请彻底研究该单元的功能，否则可能导致网络连接丢失或系统不稳定。

最佳实践总结

务必先研究： 在运行 disable 或 mask 之前，请在线搜索特定于您发行版的 .service 或 .timer 单元的作用（例如，“ModemManager.service 是什么？”）。
优先使用 disable 而非 mask： 使用 disable 用于从启动序列中标准移除。保留 mask 用于持续存在问题或您希望完全消除的安全风险的单元。
检查依赖关系： 如果禁用单元 A 会破坏您需要的单元 B，您必须重新启用 A 或为 B 找到替代机制。
重启测试： 在进行重大更改后，请重新启动系统 (sudo reboot)，以确保系统干净启动并且基本服务保持运行。

验证更改

执行命令后，请务必验证该单元是否不再按预期启用或运行：

# 禁用后检查状态
systemctl status <unit_name.service>
# 输出应显示 'Loaded: loaded (...; disabled; vendor preset: disabled)'

通过定期审计和精简您的 systemd 配置，您可以确保 Linux 机器仅将其资源用于您明确需要的任务，从而带来更好的性能和更少的开销。