麒麟系统的命令行更新,这个话题我惦记了很久。这几年国产系统在服务器、办公PC、党政机关里落地越来越多,银河麒麟、中标麒麟我都用过,第一反应打开图形界面的"更新管理器"点两下鼠标的人不少,可真到了生产环境或者桌面崩溃的时候,你才会发现命令行才是真正靠得住的姿势。这篇文章就把我自己在麒麟系统上用命令行做系统更新的完整思路、操作步骤和踩过的坑都摊开讲,不整虚的,全是能直接上手的干货。适合刚接触麒麟系统的运维、日常办公运维、以及在迁移国产化环境的同事参考。
1. 更新前的准备:先看清你的麒麟是什么版本
1.1 三步确认系统版本与内核信息
命令行更新的前提是先搞清楚手上这台机器到底是什么版本。麒麟系统不是一个完全统一的发行版,银河麒麟桌面版、银河麒麟服务器版、中标麒麟各有不同的底层基础,底层基础不同,软件源配置、包管理命令细节、内核升级策略都会有差异。如果连版本都没摸清楚就直接apt upgrade,运气好没事,运气不好可能把源搞坏,整个系统都瘫了。
我的习惯是先执行三组命令,把版本信息、系统代号、内核版本一并确认清楚:
lsb_release -a cat /etc/os-release uname -a第一步看发行版完整名称和版本号,第二步看系统代号和ID,第三步看内核版本。我自己在实际操作中更依赖cat /etc/os-release,因为它的输出更标准化,一眼能看到VERSION_ID、PRETTY_NAME这些字段。银河麒麟V10的服务器版经常显示类似kylin V10 SP1或SP2的版本号,这些SP补丁号决定了你需要拉取哪些更新源。
内核信息同样关键,特别是老机器升级完内核后容易出现驱动不兼容的情况。看uname -a输出里的x86_64还是aarch64,还能顺便确认架构,下载软件包和配置源的时候架构错了也会出幺蛾子。
1.2 软件源配置检查与常见坑
更新系统的核心其实就一个字:源。源配置不对,后头所有操作全是白费力气。麒麟系统的软件源文件通常在/etc/apt/sources.list,另外还会在/etc/apt/sources.list.d/目录下放一些第三方源。
sudo cat /etc/apt/sources.list sudo ls -l /etc/apt/sources.list.d/检查源的时候,最需要留意的是源地址是官方内网源还是外部镜像源。很多单位部署麒麟系统时会配置内部的镜像源,地址形如http://192.168.x.x/...,这种源在单位内网更新速度飞快,但在家或外部网络环境就会直接卡死。如果你是从这种内网环境拿到的机器,拿回家后第一步就得把源改成可访问的公共镜像源。
另外还有一个坑:有些麒麟源默认配置了deb和deb-src两类条目,deb-src是源码源,普通更新场景完全用不到,而且会明显拖慢apt update的速度。我一般会把它注释掉,省得每次刷新源都要多等十几秒。
1.3 更新前必不可少的备份
命令行更新不是一颗后悔药,尤其在服务器上,一条apt dist-upgrade下去,几十上百个包可能会被替换,万一和某个关键应用冲突,你连哭的时间都没有。所以不管多急,更新前都建议做一次快速备份。
我常用的方式是把关键配置目录打成压缩包,不备份整个系统盘,费时间也没必要:
sudo tar -czf /backup/conf-backup-$(date +%Y%m%d).tar.gz /etc/apt /etc/network /etc/fstab /home这条命令会备份软件源配置、网络配置、开机挂载表、用户主目录,日常使用足够了。如果有数据库、Web服务这类有状态应用,还得用应用自带的备份工具额外处理。更新前顺手看下磁盘空间:
df -hapt update只下载索引还好,upgrade阶段要下载几百MB甚至上GB的软件包,磁盘不够直接失败,而且失败后处理残留包很烦人。我吃过一次亏,当时一块盘只剩300MB,升级到一半提示"no space left on device",最后清了一整晚的旧日志才把系统救回来。现在每次更新前都会用df -h确认/分区和/var分区至少有5GB以上余量,内存小的机器还要提前关掉不必要的服务,免得升级过程中内存耗尽卡死。
2. 核心操作:命令行更新全流程拆解
2.1 刷新软件包索引:apt update 到底做了什么
第一次用命令行更新麒麟系统的时候,很多人会直接跑sudo apt upgrade,然后惊讶地发现终端提示"有几个软件包无法下载,或者根本没有可升级的软件包"。这不是系统出问题了,而是你跳过了最关键的一步:apt update。
打个比方,apt update是去超市把货架上的价签和商品目录全部重新扫一遍,它不会真的往购物车里放东西,但之后你要买什么、货架上有哪些货,全靠这份目录。麒麟系统的软件源索引文件在/var/lib/apt/lists/,执行apt update后,这个目录里的索引会被更新成与源服务器当前状态一致。
sudo apt update输出会按源逐条列出“Hit”(索引未变化)、“Get”(下载了新索引)、“Ign”(忽略)三类状态。实际操作中看到一堆Hit是正常的,说明本地索引和远程已经一致;看到Get则代表有新增或变动的索引,说明确实能连上源。
这里有个容易被忽略的细节:apt update不同步系统时间会导致失败。如果提示证书验证错误或HTTP状态异常,先看看机器时间是否正确。我遇到过一次系统时间被重置成1970年,执行任何apt操作都报错,换成date一看才发现问题,重新校准时间后才恢复。
2.2 升级软件包:apt upgrade 与 apt dist-upgrade 怎么选
索引刷新完,真正的升级操作有两条命令可以用,很多人分不清该用哪条。
sudo apt upgrade是常规升级,它会把手头已安装的、有新版可用的软件包升级到新版本,但有一个原则:如果某个包升级过程中需要动到已经安装的其他包的依赖,或者需要删除某些包,upgrade会跳过它,并在输出里提示“以下软件包将被保留”。
sudo apt dist-upgrade则更"激进"一些,它在升级时可以自动处理依赖变化,比如安装新的依赖包、移除不再需要的冲突包、替换核心库等。正是因为它有这个能力,所以更完整,但也意味着改动范围更大,风险相对高。
我的选择逻辑很简单:日常补丁、应用更新用apt upgrade就够了,稳妥;版本跨度大、涉及内核或核心库的更新用dist-upgrade,一步到位。服务器上如果追求稳定,建议分两步走。先升级普通包,重启确认系统正常再处理内核相关升级。
实际操作时不要盲目加-y参数,尤其是dist-upgrade。加了-y虽然能跳过确认提示,但也会自动接受删除包、替换配置等默认行为,在关键机器上一个误删可能把服务搞挂。我自己的习惯是先不加-y跑一遍,看清楚要新增、要升级、要删除的包清单,确认没问题再执行:
sudo apt upgrade等所有依赖关系都理清后,第二次执行时再加上-y加速。
2.3 内核更新与系统级升级:什么时候用 full-upgrade
dist-upgrade在大多数麒麟系统上都能满足系统级升级的需求,但如果你要更彻底地把所有软件包调整到与当前源完全一致的状态,可以考虑full-upgrade。在Debian系中full-upgrade和dist-upgrade本质上是同一件事的两种叫法,麒麟系统继承了这一逻辑。有些刚迁移过来的同学以为full-upgrade会自动升级大版本(比如从V10的SP1升到SP2),这个理解是不对的,它只负责在当前配置的源范围内做完整依赖解析和包替换,不会改变软件源版本,想升级大版本得配新的源地址。
内核更新通常也包含在这类升级里,因为内核包linux-image-*属于依赖关系最复杂的软件包之一。升级完新内核后,系统默认会用新内核启动,但旧内核不会立刻删除。我建议保留最近的两个旧内核,因为一旦新内核和显卡驱动、网卡驱动不兼容,你还能在grub启动菜单里选择旧内核进入系统。
# 查看已安装内核 dpkg --list | grep linux-image这步很重要,多花十秒钟能省下大把排查时间。
2.4 清理旧软件包:autoremove 和 clean 的正确用法
升级完系统后,磁盘上会留下一堆不再需要的依赖包和下载缓存,这就是为什么很多人发现更新完系统存储空间反而变小了。
sudo apt autoremove会自动删除“因为满足其他包依赖而安装、但现在没有任何包再需要它们”的软件包。升级核心库之后,老版本的库文件常常就这么变成孤儿包,留着没用还占空间。但我要提醒一句:执行autoremove前最好先看一遍它要删的清单,有些桌面环境下它会把看起来没用的库删掉,结果某些商业软件第二天打开就报缺库错。我在银河麒麟桌面版上就遇到过,autoremove把某个字体库给删了,办公软件显示中文全都变豆腐块,后来重新装回来才解决。
sudo apt autoremove sudo apt cleanapt clean清理的是/var/cache/apt/archives/下的deb安装包缓存,这些包下载完以后留着纯属浪费磁盘,删掉不影响任何已安装的软件。如果只想删除过期的缓存包,还有一个温和的选择:sudo apt autoclean。我一般两个都会执行,不过都是确认好无影响之后再操作。
3. 实战:从检查到完成的一次完整更新
3.1 银河麒麟V10桌面版命令行更新实录
我拿一台银河麒麟V10桌面版举个例子,这台机器我定期在维护,积累了一套比较顺手的更新流程。
第一步,确认环境:
cat /etc/os-release uname -r df -h ping -c 3 软件源的IP或域名网络连通性检查在更新前做一次,能避免后面apt卡半天才报错。如果公司有网络代理,还要确认代理环境变量是否配置好,http_proxy和https_proxy没设置对,apt永远连不上外网源。
第二步,刷新索引并查看可升级包数量:
sudo apt update apt list --upgradableapt list --upgradable会打印所有可升级的包列表。我习惯先瞄一眼这个列表里有没有自己不熟悉的包名,特别是那些来源可疑的第三方包,提前发现异常比升级完再排查容易得多。
第三步,常规升级并处理保持包:
sudo apt upgrade如果输出里有“被保留”的包,我一般不会强行用dist-upgrade一步到位。先执行sudo apt install <包名>单独升级那个被保留的包,看它到底需要什么额外的依赖或冲突,理清楚了再决定是否整体dist-upgrade。这种方式虽然慢一点,但每次依赖变动都在自己掌控中。
第四步,检查内核并考虑重启:
dpkg --list | grep linux-image sudo reboot升级完内核后重启是必须的,不然运行的还是旧内核。重启后可以再执行uname -r确认当前内核版本,顺便跑一下常用服务,确认一切正常。
3.2 进阶:锁定软件包版本和保留旧配置
生产环境中,有些软件包的版本是不能随意升级的,比如自研应用依赖某个特定版本库,升级后接口不兼容,应用直接起不来。这时候可以用apt的版本锁定功能。
# 锁定某个包,阻止升级 sudo apt-mark hold <包名> # 解锁 sudo apt-mark unhold <包名> # 查看所有锁定 apt-mark showhold我自己在维护一套内网办公系统时,就长年锁定了某个国产数据库客户端的版本,因为它的动态库路径和某个依赖库固定绑定,升级一次就崩一次。apt-mark hold生效后,apt upgrade会跳过这个包,源里即使有新版本也不会动它。但要注意,如果你后续要安装新软件需要这个依赖包升级到新版,hold状态可能会导致依赖冲突,这时候需要临时unhold再升级。
配置文件保留策略也值得一说。每次升级涉及会修改配置文件的包时,apt都会问你是保留旧配置还是用新配置,或者两者并存。到了命令行,这个交互流程会变成选择Y / N / D / Z之类的选项。记不住每个选项含义也没关系,记住核心原则:不确定的时候选保留旧配置,然后在升级完成后手动对比新旧配置文件。配置文件一般都在/etc下,包升级后通常会在原文件旁边生成一个.dpkg-new或.dpkg-dist后缀文件,这个文件就是新版本自带的配置范本。
sudo find /etc -name "*.dpkg-*" 2>/dev/null用这条命令找到差异文件后,带.dpkg-dist的是新配置范本,根据自己的业务需求手动合并进去就行。
3.3 无人值守更新:让服务器自主打补丁
对服务器而言,不可能每次都人工盯着命令行敲apt upgrade,特别是凌晨出现安全补丁时,早打晚打差别很大。麒麟系统沿用了Debian系的unattended-upgrades机制,可以配置成自动更新安全补丁。
安装与启用:
sudo apt install unattended-upgrades sudo dpkg-reconfigure --priority=low unattended-upgrades配置核心文件在/etc/apt/apt.conf.d/50unattended-upgrades,打开后可以看到允许和禁止更新的源类别列表。默认只更新安全相关的包,这个策略保守且合理,我建议保持默认。再配合/etc/apt/apt.conf.d/20auto-upgrades来控制自动更新行为:
APT::Periodic::Update-Package-Lists "1"; APT::Periodic::Unattended-Upgrade "1"; APT::Periodic::AutocleanInterval "7";这么配置之后,系统每天自动刷新一次软件源索引,自动安装安全更新,每7天自动清理一次缓存。对于不能随便重启的服务,还可以设置Unattended-Upgrade::Automatic-Reboot "false";,把重启动作留给你自己判断。
自动更新虽然方便,但也不是万能解药。依赖变动较大的包、需要交互确认的包依旧会被自动更新跳过,而且unattended-upgrades的日志很容易被忽略。我建议每周手动检查一次:
cat /var/log/unattended-upgrades/unattended-upgrades.log脚本自动打了哪些补丁、跳过了哪些包,这里都有记录。发现跳过的包若确实是自己的核心应用,再手动去处理。
4. 常见问题与排查技巧实录
4.1 软件源连接超时:换镜像源的正确思路
麒麟系统命令行更新最常见的问题就是连接源超时,症状是apt update卡在某个URL上半天没反应,最后报Could not resolve或Connection timed out。
通常可以先换一个可用的镜像源地址。网上各大云厂商和教育网都有开源镜像站,里面普遍收录了麒麟源,选择离你近的、访问速度快的镜像站,把/etc/apt/sources.list里的地址替换掉。
替换源的操作不复杂,但格式一定要写对。麒麟V10的源地址一般形如:
deb http://mirror.example.com/kylin/KYLIN-V10-HWA-SP1 默认版本代号 main restricted universe multiverse不同版本代号不一样,照抄别人的配置可能因为代号不对直接各种404。我建议替换源之前先备份原文件,然后只改域名/IP部分,保留原有路径和后面的分类参数:
sudo cp /etc/apt/sources.list /etc/apt/sources.list.bak sudo sed -i 's|http://老地址|http://新地址|' /etc/apt/sources.list改完之后再执行sudo apt update验证。还有一个思路:如果你所在环境有内网源,可以优先考虑内网源,速度通常比外网源快一个数量级,而且内网源一般不需要走代理,可靠性更高。
4.2 依赖关系损坏:用 dpkg 和 apt -f install 修复
更新途中断电、网络断开、Ctrl+C强行中断,都可能导致dpkg数据库里出现半配置状态的软件包,表现为执行任何apt命令都会提示“您可能需要运行apt --fix-broken install”。
修复思路是先把中断的安装流程补完,再处理依赖问题:
sudo dpkg --configure -a sudo apt --fix-broken installdpkg --configure -a会把所有处于"未配置完成"状态的软件包重新配置一遍,相当于把之前做到一半的事做完;apt --fix-broken install则专门修复残缺的依赖关系,它会自动补齐缺少的包、清理冲突包。
如果修复过程中提示某个包下载失败,可以删掉/var/cache/apt/archives/下面的残缺deb文件再重试。还有一个兜底手段,/var/lib/dpkg/status文件是dpkg的包状态数据库,如果哪天系统告诉你“包管理器状态异常”,而且在确认没有更优办法的情况下,可以先备份这个文件再手动编辑,把异常包的状态改回install ok installed。操作时要格外小心,改错一行可能引发连锁问题,不建议新手贸然手改。
4.3 更新完黑屏或进不去桌面
更新完重启,卡在启动界面或者黑屏,是麒麟桌面版碰到的比较多的问题,原因集中在显卡驱动、内核模块和显示管理器三块。
遇到黑屏我一般用快捷键Ctrl+Alt+F2(或F3到F6)切换到TTY终端。如果能切换过去,说明系统本身是好的,问题大概率出在桌面组件或显示管理器上。在TTY里登录后,先看日志:
journalctl -b -1 -u lightdm --no-pager | tail -50 journalctl -b -1 -u gdm --no-pager | tail -50不同麒麟桌面版用的显示管理器不太一样,lightdm、gdm都有。找到报错后对症处理,常见做法是重新安装或编译显卡驱动,如果真的怀疑是内核更新和驱动不兼容,可以重启进旧内核,然后把新内核锁定、卸载。
如果Ctrl+Alt+F2没反应,说明问题出在内核加载早期,可能是更新后的内核模块不兼容。在启动菜单grub里选“高级选项”,手动选择旧内核启动,进去后再做处理。如果连grub菜单都进不去,那就只能靠live盘挂载修复了,这也是我反复强调不要删光旧内核的原因。
在处理黑屏前,顺便说一个和命令行维护强相关的技巧:系统黑屏只给命令行,密码又记不清了时,可以通过单用户模式重置密码。具体方式是重启后进入grub启动菜单,在对应内核项按e进入编辑模式,找到以linux开头的那一行,在末尾加上single参数,然后按Ctrl+X或F10启动进入单用户模式。在单用户模式下直接执行passwd <用户名>就能设置新密码。这个方法同样适用于麒麟系统,但仅限你对所在设备有管理权限的运维场景,别拿它做不该做的事。
4.4 更新后常用软件消失或配置被重置
有时候升级完系统,会发现桌面上某个软件的快捷方式没了,或者某个软件打开后回到了初始配置状态。这种情况多半是软件包被替换、用户配置目录改名,或者包依赖变化导致软件的动态库找不到。
排查时先确认包还在不在:
dpkg -l | grep <软件名>如果包被删除,直接重新安装:
sudo apt install <软件名>如果包还在但软件报错,先看是否缺少共享库:
ldd $(which <命令名>)ldd输出里如果有“not found”字样,说明某个动态库缺失,可以再搜索哪个包提供了这个库,用apt-file或apt search定位后安装。很多办公软件依赖系统自带的Qt、GTK库,升级这些基础库之后,应用如果还链接旧路径,就会出这种诡异问题。
配置被重置的情况,一般和软件包的配置文件更新策略有关。升级时apt如果检测到系统里的配置文件被你手动改过,会保留你的旧配置,如果检测到没改过,可能就直接用新配置替换了。所以在升级前把自定义配置提前备份,是最省心的办法,别指望apt永远聪明。
5. 几条实操体会
用了这么多年命令行更新麒麟系统,我最大的体会就是:别把apt当傻瓜工具,每个命令背后都有它的边界和使用场景。apt update只刷新源索引,这是所有操作的前提;apt upgrade适合平稳升级,dist-upgrade适合处理依赖变动,设计自己的更新流程要明确选用哪个;autoremove能清出不少磁盘空间,但动手前一定要看清单。
另外,麒麟系统在不同硬件平台上的表现差异比较大。x86的机器一般好处理,但龙芯、飞腾、鲲鹏这类平台,升级前要先确认内核和驱动兼容性,别拿到一手新内核就往生产环境怼。旧内核保留几个,配置提前备份,源地址确认无误,更新前后多瞄两眼日志,很多事故其实都可以避免。命令行看着不友好,但真到了要救系统的时候,它是唯一能救你命的东西。
