Linux运维命令实战清单：从基础操作到故障排查

1. 先把这套命令清单的定位说清楚1.1 为什么运维命令不能靠死记硬背我见过太多人收藏了几十篇“Linux命令大全”真到线上出事的时候还是一条都调不出来。原因不复杂命令是被场景绑定的脱离了场景去背参数就像背了一整本菜谱却从没进过厨房。真正管用的记忆方式是把每条命令挂到它解决的某个具体问题上比如“磁盘满了怎么找大头”“服务起不来先看哪一行日志”“端口起了但外面连不上先查什么”。一旦命令和故障现象绑在一起用两三次就长在脑子里了。这份汇总的定位是一张可随时查、可顺着练的运维操作地图不是考试题库。零基础的人照着它能把日常操作跑通有经验的人可以拿它补自己平时不常用的角落比如网络排查、日志定位、权限细节这些容易被忽略的部分。文中所有示例都基于常见的 Linux 发行版通用行为个别发行版差异我会单独点出来。1.2 命令分三层别一上来就啃最难的我一般把运维命令分成三层来学这个分层对新手特别友好。第一层是生存层ls cd pwd cat less cp mv rm mkdir touch这些解决“我在哪、有什么、怎么动”。第二层是诊断层ps top free df du ss ip grep tail journalctl这些解决“它为什么不对劲”。第三层是工程层awk sed find xargs tar systemctl crontab这些解决“怎么批量、自动化、可重复地干”。很多人卡住是因为跳过了第二层直接去背第三层结果awk的语法记得滚瓜烂熟机器一卡却不知道先敲top还是df。我建议的顺序是先把第一层练到不用想再把第二层练到能形成条件反射最后第三层按需补。这份汇总就按这个逻辑往下铺。1.3 环境差异与通用性说明需要提前交代一句不同发行版在某些命令上确实有差异。ss在较新的系统上是默认老系统可能只有netstatsystemctl属于 systemd 体系一些精简容器里根本没有ip命令取代了老的ifconfig但很多老脚本还在用后者。文中以现代主流发行版为准遇到老环境的替代命令我会顺带写上。另外容器环境里很多命令被裁掉了排查思路一样但工具可能要用busybox提供的精简版这一点在云原生场景下很常见。提示本文所有涉及删除、覆盖、改权限的操作都建议先在测试环境跑一遍或者先执行只读版本确认影响范围再加执行动作。2. 文件与目录最基础也最容易出事的一层2.1 ls、cd、pwd 三件套的正确打开方式pwd看似最没用实际上在多层sudo或者脚本里它是你确认“我到底在哪个目录”的唯一可靠手段。别小看这点我遇到过因为相对路径写错把备份文件生成到了根目录下的情况事后靠pwd加ls -l才定位到。ls的常用参数值得记牢ls -l看详情ls -lh让大小变成人类可读ls -la把隐藏文件也列出来ls -lt按修改时间倒序ls -ltr反过来按时间正序。运维里查“最近谁动过什么”ls -lt是第一反应。ls -i看 inode排查“文件名删了空间没释放”的时候会用上。cd的隐藏技巧cd -回到上一个目录在两个目录之间来回跳非常省事cd ~回家目录cd ..上一级。脚本里我更推荐用绝对路径因为cd一旦失败后续所有相对路径操作都会跑偏这类事故很隐蔽。2.2 cp、mv、rm 的高危操作与防呆手法这三条命令的危险程度被严重低估。rm -rf之所以出名是因为它几乎没有恢复手段。我的习惯是三条第一写rm -rf之前先把rm换成ls跑一遍确认匹配到的文件确实是我想删的第二路径尽量用绝对路径避免在不确定的目录下用通配符第三生产环境养成给关键目录做快照或先mv到临时目录、观察几天再删的习惯。cp的常用参数cp -r递归复制目录cp -a保留权限、时间戳、软链接等属性做备份时强烈推荐-a而不是-r否则恢复出来的文件权限全乱了。cp -i覆盖前询问cp -n不覆盖已存在文件批量部署时用-n能避免误盖配置文件。mv既是移动也是重命名。它在同一文件系统内是改 inode 指向几乎瞬间完成跨文件系统时会变成复制加删除大文件会很慢且中途中断可能产生半截文件这点在迁移数据时要留意。2.3 find 与 locate按条件把文件揪出来find是运维里使用频率最高的命令之一因为它的条件组合能力太强。基本结构是find 路径 条件 动作。举几个实战里最常用的# 按名称查找忽略大小写 find /var/log -iname *.log # 按修改时间查找7 天以前修改过的 find /data -type f -mtime 7 # 按大小查找大于 500M 的文件 find / -type f -size 500M # 找到后直接删除先去掉 -delete 确认结果 find /tmp -type f -name *.tmp -mtime 3 -delete # 配合 exec 做批量操作 find /data -type f -name *.sh -exec chmod x {} \;-mtime 7的含义是修改时间在 7 天以前注意它按 24 小时取整不是精确到秒。-size 500M里的M大写是兆字节小写k是 KB。-exec ... \;会对每个文件单独执行一次文件多的时候很慢换成结尾会批量传参效率高很多。locate依赖预先建好的索引数据库速度极快但新文件可能查不到需要先updatedb。日常定位“某个库文件在哪”用它比find快得多但生产环境索引更新频率不可控所以我一般在测试机上用它偷懒线上还是老老实实find。2.4 权限与属主chmod、chown、umask 的关系权限问题是新手最容易懵的地方。ls -l输出里那串-rwxr-xr--要会读第一位是文件类型-普通文件、d目录、l软链接后面三组分别是属主、属组、其他人的权限每组三位是读r、写w、执行x。chmod有两种写法。数字写法读 4、写 2、执行 1加起来。chmod 755 file就是属主可读写执行、组和其他人可读可执行。符号写法chmod ux file给属主加执行权限chmod g-w file去掉组写权限chmod or file把其他人设成只读。符号写法在微调时更直观数字写法在批量设置时更省事。chown改属主和属组chown user:group file递归加-R。这里有个坑chown -R会跟着软链接改目标文件的属主如果不希望穿透加-h。umask决定新建文件的默认权限。默认umask 022时新建文件是 644、目录是 755。想让自己新建的目录只有自己能进可以临时umask 077。这个值在脚本里临时设完记得还原否则后续创建的文件权限会一直不对这种问题排查起来很费劲因为文件权限看着“就是不对”但没人想到是 umask 被改过。2.5 打包与压缩tar 的姿势要记熟tar是运维备份绕不开的命令。记住一组固定搭配就行打包用tar -czvf 包名.tar.gz 目录解包用tar -xzvf 包名.tar.gz -C 目标目录。参数含义c创建、x解压、t查看内容、z走 gzip、v显示过程、f指定文件名必须放最后。查看包内容不用解压tar -tzvf 包名.tar.gz。只想解出其中某个文件tar -xzvf 包名.tar.gz 路径/文件名。打包时排除某些目录tar -czvf backup.tar.gz --exclude./cache --exclude*.log ./。其他格式.zip用zip -r和unzip跨平台交互时更通用.tar.bz2把z换成j.xz把z换成J。压缩率上 xz 最高但最慢gzip 最快日常备份用 gzip 平衡性最好。3. 文本处理日志和配置的主要战场3.1 cat、less、head、tail 的适用边界cat适合看小文件或拼接文件大文件直接cat会把终端刷爆。看大文件用less可以上下翻、/关键词搜索、G跳末尾、gg跳开头、q退出。less F类似tail -f但可以随时按CtrlC停下来翻历史这个技巧查滚动日志特别舒服。head -n 20 file看前 20 行tail -n 20 file看后 20 行tail -f file实时跟踪。生产上更常用tail -f加greptail -f app.log | grep -i error。注意管道里的grep有时会有缓冲导致输出不及时加上--line-buffered可以缓解。tail -n 100 file表示从第 100 行开始往后全部输出做“跳过前 N 行头部”的处理很好用。head和tail组合可以取中间某段sed -n 100,200p file更直接。3.2 grep最常用也最容易用错的命令grep的基本用法大家都熟真正拉开差距的是几个细节。grep -i忽略大小写grep -v反向匹配排除grep -c只输出条数grep -n显示行号grep -r递归目录grep -l只列出命中的文件名grep -w全词匹配grep -E用扩展正则。几个实战组合# 排除掉注释行和空行看配置 grep -vE ^\s*#|^\s*$ /etc/配置文件 # 递归找哪个文件里写了某个配置项 grep -rn listen_port /etc/ # 统计日志里某个错误出现多少次 grep -c Timeout app.log # 前后各带 3 行上下文排查报错场景非常好用 grep -n -A 3 -B 3 Exception app.log-A是 after、-B是 before、-C是 context前后各若干行。查异常堆栈时用-A 20一把就能把栈打出来比一行行翻快得多。一个容易踩的坑grep默认按行匹配二进制文件会提示“Binary file matches”加-a当文本处理。另一个坑是匹配以-开头的字符串比如查-D参数要写成grep -- -D否则会被当成选项。3.3 awk按列处理的结构化利器awk的定位是“按列取数、按条件过滤、做统计”。默认以空白分隔$1是第一列$0是整行NF是字段数NR是行号。最常见的场景是取某列# 取出访问日志里的 IP 列 awk {print $1} access.log # 指定分隔符为冒号取第一列和第三列 awk -F: {print $1, $3} /etc/passwd # 过滤第三列大于 100 的行 awk $3 100 {print $0} data.txt # 按第一列聚合求和 awk {sum[$1] $3} END {for (k in sum) print k, sum[k]} data.txt最后那条聚合写法是运维统计的常用套路先按某列做哈希累加最后在END里输出。比如统计每个接口的调用次数、每个 IP 的请求量都用这个模板。需要注意的是awk的数组是无序的输出顺序不固定要排序就接| sort -k2 -nr。awk还能做格式化输出printf比print更可控awk {printf %-20s %10d\n, $1, $2}。日志分析要出报表的时候比print好看得多。3.4 sed不用打开文件就能改内容sed的核心是“流编辑”最常用的是替换sed s/旧/新/g file。不加-i只输出到屏幕加了-i才真正写回文件。我强烈建议先不加-i看一遍输出对不对确认无误再加。-i改动是不可逆的加个备份后缀更稳sed -i.bak s/旧/新/g file。按行操作sed -n 10,20p file打印 10 到 20 行sed 5d file删第 5 行sed /关键词/d file删匹配行sed 1i\新内容 file在第一行前插入。指定行替换sed 3s/旧/新/只改第 3 行。sed的正则默认是基础正则要用-E才支持扩展写法。替换内容里出现/时会冲突可以把分隔符换成别的字符sed s#/old/path#/new/path#g这个技巧在处理文件路径时特别顺手。3.5 sort、uniq、wc、cut统计流水线的四个零件这几条命令单看都很简单组合起来才是威力所在。sort排序-n按数值、-r倒序、-k2按第二列、-u去重、-t指定分隔符。uniq去重但必须先排序因为它只处理相邻重复行-c统计次数。wc -l数行数-c数字节。cut -d指定分隔符、-f指定列。一个典型的分析流水线# 统计访问量前 10 的 IP awk {print $1} access.log | sort | uniq -c | sort -nr | head -10这条命令几乎是日志分析的标准起手式。拆开看取第一列、排序让相同 IP 相邻、uniq -c计数、按次数倒序、取前十。每一步都只做一件事串起来就是完整分析。类似的还有统计状态码分布、统计接口耗时区间套同一个骨架换一下取值列就行。4. 系统状态出问题先看哪几个指标4.1 CPU 与负载top、uptime、vmstat机器卡了第一反应是top。看几个关键位置顶部load average是 1、5、15 分钟的平均负载跟核数对比着看单核机器负载 4 就已经很吃力八核机器负载 4 还算轻松。%Cpu(s)那一行重点看wa也就是 IO 等待这个值高说明瓶颈在磁盘不在 CPU。进程列表里按P按 CPU 排序、按M按内存排序、按1展开每个核的占用。uptime一条命令给出运行时长和负载登录机器先敲它能快速判断是长期高负载还是刚起来。vmstat 1 5每秒采样一次共五次重点看r运行队列大于核数说明在排队、b阻塞进程、si和so换页非零说明内存吃紧、waIO 等待。这些工具的输出要建立“基线”意识也就是你平时正常时是多少。没有基线看到wa是 5% 你也不知道是好是坏。我的习惯是给每类机器记一个粗略正常区间出问题时对着比快得多。4.2 内存free 与 /proc/meminfofree -h是最直观的。重点看available而不是free因为 Linux 会把空闲内存拿去做缓存free很小很正常available才是应用真正还能用的量。buff/cache高不是问题反而说明缓存用得好。swap那一行要警惕。used持续增长说明物理内存不够系统在换页性能会明显掉。这时候vmstat的si/so也会有反映。要看更细的指标去/proc/meminfo里面MemAvailable、Dirty待写回磁盘的数据量、Slab内核对象占用都值得关注。一个常见误区看到free很低就急着清缓存。清缓存只能短暂缓解不解决根本问题而且会拖慢后续读性能。真正该做的是找谁占用了内存ps aux --sort-%mem | head一眼就能看到大户。4.3 磁盘df、du、iostat 三件套磁盘问题分两种空间满和 IO 慢排查手段不一样。空间满先df -h找哪个挂载点满了再进那个目录用du -sh * | sort -rh | head找大目录逐层往下钻。du -sh统计当前层每个子项大小sort -rh按人类可读的大小倒序这个组合定位大文件非常快。有个经典陷阱df显示满du加起来却对不上。原因通常是文件被删了但进程还开着句柄空间没释放。用lsof | grep deleted找出来重启对应进程或者清掉句柄就恢复了。IO 慢用iostat -x 1重点看%util接近 100% 说明磁盘饱和和await平均等待时间明显偏高说明队列积压。iotop能直接看到是哪个进程在读写需要额外安装。排查 IO 问题时这两个配合用定位速度会快很多。4.4 网络ss、ip、ping、curlss是查看连接状态的主力比netstat快。ss -tlnp看监听的 TCP 端口和对应进程这是“服务到底起没起”的第一验证命令。ss -s看汇总统计ss -tn state established看已建立的连接。ip addr看网卡和 IPip route看路由表ip link看链路状态。ifconfig是老命令很多新系统默认没装知道替代关系就行。ping测连通性-c 4发四个包。traceroute看路径中间某跳不通不一定代表目标不通有些节点默认不回。curl是验证服务可用性的利器curl -I只看响应头curl -v看完整过程curl -o /dev/null -s -w %{http_code} %{time_total}\n输出状态码和耗时做健康检查脚本时这个写法很常用。端口起了但连不上排查顺序我一般是ss -tlnp确认监听地址是不是0.0.0.0而不是127.0.0.1然后看本机防火墙规则再看对端能不能telnet或curl通最后看云环境的网络策略。这个顺序能把大部分“端口不通”的问题一次定位。4.5 进程管理ps、pstree、kill、nohupps aux看全量进程ps -ef是另一种风格两者都能用。ps aux --sort-%cpu | head找 CPU 大户--sort-%mem找内存大户。ps -ef | grep 关键词找特定进程注意这条命令本身也会出现在结果里加| grep -v grep排除掉。pstree -p用树形结构看父子关系排查“某个进程反复重启”时特别有用能看清是谁在拉它。kill -9是强杀但更推荐先kill -15让进程自己收尾很多服务需要时间落盘和释放资源直接-9可能丢数据。pkill -f 关键词按命令行匹配杀进程killall 进程名按名字杀。长期运行的任务用nohup 命令 挂到后台输出默认进nohup.out。更规范的做法是用systemd托管或者用screen、tmux这类会话工具断开连接后还能回来接着看。nohup的坑在于它不处理标准输入交互式脚本挂上去可能卡住。5. 用户、服务与定时任务5.1 用户与组useradd、usermod、passwd新建用户useradd -m -s /bin/bash 用户名-m建家目录、-s指定 shell。设密码passwd 用户名。改属性用usermod比如把用户加进附加组usermod -aG 组名 用户名-a一定要加否则会把用户从其他附加组里踢出去这个坑很常见。查用户信息id 用户名看所属所有组。删用户userdel -r 用户名-r一并删家目录不加-r会留下孤立的目录和文件。组管理groupadd、groupdel、gpasswd -a 用户 组。用户相关的配置文件要认识/etc/passwd存基本信息/etc/shadow存密码哈希只有 root 可读/etc/group存组信息。改这些文件一定要用专门命令手动编辑容易格式错乱导致登录不了。5.2 sudo 与权限边界生产环境不建议直接用 root 登录走sudo更可控。sudo -l看当前用户能执行哪些命令sudo -u 用户名 命令以指定用户身份执行sudo -i切到 root 的登录环境。/etc/sudoers的编辑必须用visudo它会在保存时做语法检查直接编辑出错可能导致所有人都用不了 sudo。常见配置是给某个组免密执行特定命令粒度控制到命令级别比直接给全量权限安全得多。5.3 systemd 服务管理systemctl 与 journalctl现代发行版基本都用 systemd。常用命令一览systemctl start/stop/restart 服务名、systemctl status 服务名看状态、systemctl enable/disable 服务名控制开机自启、systemctl reload 服务名重载配置不中断服务、systemctl list-units --typeservice列出所有服务。status的输出信息量很大能看到最近几条日志、主进程 PID、启动时间、退出码。服务起不来时先看这个多数情况错误原因就在里面。日志用journalctl。journalctl -u 服务名看某个服务的日志-f实时跟踪-n 100最近 100 行--since 10 min ago按时间过滤-p err只看错误级别。这几个参数组合起来定位服务异常基本够用。systemctl daemon-reload是改完 unit 文件后必须执行的一步很多人改完配置发现不生效就是漏了这条。5.4 crontab定时任务的写法与坑crontab -e编辑当前用户的定时任务crontab -l列出crontab -r全部删除这条慎用没有确认提示。格式是五个时间字段加命令分、时、日、月、周。0 3 * * *表示每天凌晨 3 点。*/5 * * * *每 5 分钟。0 9-18 * * 1-5工作日 9 点到 18 点整点。这些写法要练熟。几个高频坑第一crontab的环境变量和你登录 shell 的不一样脚本里最好写绝对路径或者在任务开头显式加载环境。第二命令里的%有特殊含义要做日期格式化得转义成\%。第三标准输出和错误输出默认会发邮件机器没配邮件就会堆积建议重定向到日志文件 /var/log/任务.log 21。第四任务执行时间重叠时可能并发跑加个锁文件或用flock控制。6. 日志排查与故障定位实战6.1 日志都在哪先有个地图系统日志集中在/var/log。messages或syslog是系统级日志secure或auth.log是登录认证日志cron是定时任务日志dmesg或kern.log是内核日志。应用日志一般在自己目录下nginx 在/var/log/nginx/数据库各有各的位置。用 systemd 的服务日志统一走journalctl位置在/run/log/journal或/var/log/journal重启后是否保留取决于配置。dmesg -T看内核日志并转成可读时间排查硬件、OOM、磁盘报错必看。OOM 杀进程会在dmesg里留下明显记录应用莫名其妙消失时先查这里。6.2 三个高频故障场景的命令组合场景一服务起不来。顺序是systemctl status 服务名看状态和最近日志journalctl -u 服务名 -n 100 --no-pager拉详细日志如果是配置文件问题再用服务程序 -t做配置语法检查很多服务支持这个参数。端口冲突的话ss -tlnp | grep 端口看谁占着。场景二磁盘突然满了。df -h定位挂载点du -sh /* | sort -rh | head逐层钻lsof | grep deleted查已删未释放的句柄find / -type f -size 1G找大文件。四步下来基本能锁定。场景三接口变慢。top看 CPU 和负载vmstat 1看 IO 等待ss -s看连接数是否异常增长iostat -x 1确认磁盘然后去应用日志里grep慢请求关键字。如果连接数暴涨但 CPU 不高多半是连接没释放或者下游卡住往这个方向查。6.3 排查的基本原则先看现象再动手我踩过最深的坑是“一上来就改配置”。正确的顺序是先收集现象什么时候开始的、影响范围多大、有没有相关变更、日志里第一条异常是什么。把这些理清楚再动手能避免大量无效操作。改之前一定要备份原文件改完立即验证验证不通过立刻回滚。这个流程听着笨但救过我很多次。7. 常见问题速查与个人避坑经验7.1 高频问题对照表现象优先排查命令常见原因磁盘显示满但 du 对不上lsof | grep deleted文件被删但进程仍持有句柄端口监听正常但外部连不上ss -tlnp、ip addr监听在 127.0.0.1 或网络策略限制服务反复重启pstree -p、journalctl -u被守护进程拉起且内部报错退出内存看着快没了free -h、ps aux --sort-%mem缓存占用属正常需看 available定时任务不执行crontab -l、/var/log/cron环境变量缺失或路径写错命令找不到which、echo $PATHPATH 未包含或包未安装权限拒绝但权限看着对ls -lZ、getenforce安全模块策略拦截日志不更新ls -l /proc/PID/fd日志被轮转但进程仍写旧 inode7.2 我个人的几条经验第一命令要形成“肌肉记忆”的唯一办法是真用。我当时是给自己搭了一台测试机把每天学到的东西写成小脚本跑一遍出问题自己修。比看十篇文章管用。第二凡是带-r、-f、-i、-9的参数敲之前停一秒想清楚影响范围。这一秒能省掉后面几个小时的恢复工作。第三善用history和CtrlR。history | grep 关键词找以前执行过的命令CtrlR反向搜索历史。复杂命令跑通之后可以考虑在.bashrc里设alias但别把危险命令设成短别名容易误触。第四所有改动先备份。配置文件加个.bak后缀脚本改动先复制一份数据库操作前先导出。这个习惯看着土但它是最有效的兜底。第五学会看手册。man 命令是最权威的命令 --help是最快的。网上文章可能过时或者有错手册不会。刚开始看man会觉得晦涩看多了就习惯了而且能发现很多别人文章里没提的参数。最后分享一个我常用的组合查某个时间段内某个关键词的日志并统计分布journalctl --since 2024-01-01 00:00 --until 2024-01-01 12:00 \ | grep -i error \ | awk {print $5} \ | sort | uniq -c | sort -nr | head这条命令能快速告诉你错误集中在哪个来源比一行行翻日志效率高太多。命令本身不复杂关键是知道什么时候该把哪几条串起来这个判断力只能靠一次次真实排查积累出来。