禁用不必要的 Systemd 服务和定时器的最佳实践

不必要的 systemd 服务和定时器会减慢启动速度、消耗内存，并暴露您不使用的监听器。目标不是将 Linux 主机精简到极致，而是识别与机器角色不匹配的单元并安全地禁用它们。

本指南将引导您完成一个实用的审查流程，涵盖服务、套接字和定时器，并提供可在每次更改前后运行的命令。

理解 Systemd 单元类型

在禁用任何内容之前，理解 systemd 管理的不同类型单元至关重要，因为它们的影响和管理方法各不相同：

• 服务 (.service)： 最常见的单元类型，负责运行守护进程或应用程序（例如 sshd.service、nginx.service）。
• 定时器 (.timer)： 用于根据时间规范调度其他单元（通常是服务）的执行，取代传统的 cron 作业（例如 apt-daily.timer）。
• 套接字 (.socket)： 管理网络或 IPC 套接字，通常用于套接字激活，即服务仅在其关联套接字收到流量时启动（例如 ssh.socket）。

第一阶段：识别正在运行和已启用的单元

第一步是了解当前哪些单元处于活动状态，以及哪些单元配置为自动启动。

列出所有活动单元

要查看系统上当前正在运行的内容，请使用 systemctl list-units：

systemctl list-units --type=service --state=running

systemctl list-units --type=timer --state=active

列出所有已启用的单元（设置为开机启动的单元）

标记为 enabled 的单元将在重启后持续存在。审查这些单元对于启动优化至关重要：

systemctl list-unit-files --type=service | grep enabled

systemctl list-unit-files --type=timer | grep enabled

检查依赖关系

如果您要禁用的单元是关键系统功能的依赖项，禁用它可能会破坏基本服务。您可以检查特定单元需要什么或什么需要它：

systemctl list-dependencies <单元名称.service>

第二阶段：安全地禁用和屏蔽单元

一旦您确定了一个您认为不必要的单元（例如，服务器上的蓝牙服务、特定的打印机服务），您必须选择正确的方法来阻止其运行。

1. 停止服务（临时）

如果您只想立即停止服务而不影响其下次启动时的行为，请使用 stop：

sudo systemctl stop <单元名称.service>

2. 禁用服务（防止将来启动）

禁用单元可防止它在将来自动启动。它不会停止当前正在运行的服务，除非您同时传递 --now 或单独运行 stop。

sudo systemctl disable <单元名称.service>
sudo systemctl disable --now <单元名称.service>

3. 屏蔽服务（最强方法）

屏蔽是阻止单元启动的最激进方式。屏蔽后，systemd 会创建一个从单元文件到 /dev/null 的符号链接。这会阻止任何进程（包括依赖链）启动该单元，即使另一个已启用的服务明确要求它。

谨慎使用屏蔽，通常仅用于您绝对确定永远不应运行的单元。

sudo systemctl mask <单元名称.service>

# 要撤销屏蔽：
 sudo systemctl unmask <单元名称.service>

管理定时器和套接字

如果定时器触发的服务不必要，通常应禁用该定时器。如果使用套接字激活，套接字通常可以保留，因为关联的服务在收到请求之前不会消耗资源。但是，如果与套接字关联的服务不必要，禁用该服务通常就足够了。

# 禁用特定定时器
sudo systemctl disable <单元名称.timer>

# 停止并禁用特定套接字单元
sudo systemctl stop <单元名称.socket>
sudo systemctl disable <单元名称.socket>

第三阶段：实际示例和最佳实践

应用这些概念需要仔细考虑系统的角色（例如，桌面 vs. 服务器）。

示例 1：在服务器上禁用 CUPS（打印系统）

如果您的 Linux 机器是无打印硬件的无头服务器，CUPS 服务通常是不必要的开销。我们应该禁用该服务及其相关的定时器。

# 首先检查状态
systemctl status cups.service

# 禁用并停止服务
sudo systemctl disable --now cups.service

# 如果存在，禁用相关的发现服务
sudo systemctl disable --now cups-browsed.service

示例 2：处理不需要的 Snapd 服务（如果原生使用 DNF/APT）

某些发行版安装了 snapd。如果您不使用 snap，您可能希望停止并禁用其主要服务组件：

sudo systemctl stop snapd.service
sudo systemctl disable snapd.service snapd.socket

⚠️ 关于发行版特定服务的警告： 在禁用由发行版核心包管理器直接提供的服务（例如 systemd-networkd 或 NetworkManager 组件）时要格外小心。在禁用它之前，请彻底研究该单元的功能，否则可能导致网络连接丢失或系统不稳定。

最佳实践总结

1. 始终先研究： 在运行 disable 或 mask 之前，在线搜索特定 .service 或 .timer 单元在您的发行版上的作用（例如，“什么是 ModemManager.service？”）。
2. 优先使用 disable 而非 mask： 对于从启动序列中标准移除，使用 disable。将 mask 保留用于持续存在问题或您想完全消除安全风险的单元。
3. 检查依赖关系： 如果禁用单元 A 破坏了您需要的单元 B，您必须重新启用 A 或为 B 找到替代机制。
4. 重启测试： 在进行重大更改后，重启您的系统（sudo reboot）以确保系统干净启动且基本服务保持运行。

验证更改

执行命令后，始终验证该单元是否不再启用或按预期运行：

# 禁用后检查状态
systemctl status <单元名称.service>
# 输出应显示 'Loaded: loaded (...; disabled; vendor preset: disabled)'

像对待任何其他生产更改一样对待 systemd 清理：研究该单元，如果不确定则临时停止它，仅在测试后禁用它，并将 mask 保留给那些在任何路径下都不能启动的单元。这样，您将获得一个更精简的主机，而无需将日常维护变成恢复练习。