Linux最小化安装后需精准裁剪非必要服务：先用systemctl和ss/netstat识别运行中且监听外部端口的服务，重点停用avahi、cups、bluetooth、rpcbind等高风险默认服务，并禁用或屏蔽；设置multi-user.target、屏蔽服务、检查依赖；重启后验证端口关闭情况，结合防火墙实现双重防护。
Linux最小化安装后，系统默认已剔除大量非核心组件，但仍有部分服务可能在后台运行，存在潜在安全风险或资源占用。清理不必要服务不是“删得越多越好”，而是基于实际用途做精准裁剪——重点关掉监听网络端口、无明确业务需求、且权限较高的服务。
识别正在运行的可疑服务
先摸清现状，避免误停关键服务：
- 用 systemctl list-units --type=service --state=running 查看所有运行中服务
- 结合 ss -tuln 或 netstat -tuln 检查哪些服务在监听外部端口（尤其注意 0.0.0.0:xxx）
- 重点关注名称含 avahi、cups、bluetooth、rpcbind、rsync、tftp 的服务——这些在服务器场景通常无用且曾有高危漏洞
停用并禁用高风险默认服务
以下命令可批量关闭常见冗余服务（执行前请确认你未使用相关功能）：
-
sudo systemctl stop avahi-daemon avahi-daemon.socket
sudo systemctl disable avahi-daemon avahi-daemon.socket -
sudo systemctl stop cups-browsed cups
sudo systemctl disable cups-browsed cups -
sudo systemctl stop rpcbind rpcbind.socket rpcbind.target
sudo systemctl disable rpcbind rpcbind.socket rpcbind.target -
sudo systemctl stop bluetooth
sudo systemctl disable bluetooth
注意：rpcbind 是 NFS 依赖项，若你不用 NFS，务必禁用；cups 是打印服务，纯服务器环境几乎不需要。
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
加固 systemd 服务启动策略
防止未来因软件包更新意外启用服务：
- 设置全局默认禁用网络监听类服务：sudo systemctl set-default multi-user.target（跳过图形界面相关链）
- 屏蔽服务（比 disable 更彻底）：sudo systemctl mask avahi-daemon.service —— 被屏蔽的服务无法被手动启动或依赖触发
- 检查服务依赖关系：systemctl list-dependencies --reverse [service]，避免误断关键依赖
验证与持续防护
清理后必须验证效果：
- 重启系统后再次运行 ss -tuln，确认无多余监听端口
- 用 sudo journalctl -u [service] --no-pager 查看服务是否真没启动过
- 加入定期巡检脚本（例如每周扫描一次活跃监听端口并邮件告警）
- 考虑配合 firewalld 或 iptables 默认 DROP 所有入站，再按需放行必要端口——服务停了 + 防火墙堵了 = 双重保险
安全不是一劳永逸的操作，最小化安装只是起点。真正有效的防护来自清晰的服务认知、克制的启用原则和常态化的端口审计。
