Linux常用命令速查与运维排查手册

简介《10分钟让你掌握Linux常用命令》是一份面向Linux初学者、运维入门者和日常开发人员的命令速查型PDF重点解决目录与文件操作不熟、日志排查和权限管理易出错等问题。内容按使用场景归类覆盖目录切换与创建、文件增删改查、内容查看与vim编辑、系统日志定位、软链接、tar压缩解压、文件权限、Docker容器、yum软件包管理、进程统计及内核参数优化等常见任务并配有简明示例。资源包共1个PDF文件约796KB篇幅精炼便于在桌面或移动端随时查阅。已有6171人学习适合用作入门梳理、命令速查和日常运维排错参考也可作为练习清单帮助读者逐步建立Linux命令体系。1. 一份 10 分钟能翻完的 Linux 命令速查册适合谁放在手边凌晨两点被告警叫醒登上一台跑着几个容器的机器第一反应不是打开监控面板而是敲df -h和netstat -tunlp——磁盘是不是满了、端口是不是被占了两分钟就能有答案。这份 PDF 干的就是把「先敲哪几个命令」的顺序整理成册的事目录操作、文件操作、文件内容查看、系统日志位置、软连接、压缩解压、文件详细信息、docker 容器、运维排查、yum、内核参数、用户权限、top 字段解读、lrzsz 上传下载十五个板块按使用频次排下来每条命令都配了一行能直接粘进终端的例子。它适合刚接手 Linux 服务器、命令背不全但清楚自己要干什么的人清磁盘、放行端口、翻日志、给同事开账号翻到对应板块抄一行就走。也适合把 Linux 常用命令当日常工具箱的老手拿它当一张对照表避免每次都去翻历史命令。2. 目录与文件操作路径语义、find 三种维度与 mv/cp 的边界这一章对应速查册的第一、二板块也是最容易被「看起来会」蒙过去的部分。很多人敲mkdir和cd没问题一旦涉及相对路径、递归查找、目录改名就会开始靠试错。下面把这几组命令拆开讲参数和坑一起说。2.1 相对路径和绝对路径先分清再敲 mkdir速查册里给的三条mkdir例子看起来只是前缀不同实际是三种寻址方式理解这条分界线后面所有命令的路径参数都不会再犹豫。# 在当前所在目录下创建 aaa 目录相对路径不带前缀 mkdir aaa # ./ 显式表示当前目录效果与上一条等价写出来更清楚 mkdir ./bbb # 以 / 开头是绝对路径从根目录开始找会真的在根下建 ccc mkdir /ccc # -p 递归创建父目录不存在时一路补齐不会报 No such file or directory mkdir -p temp/nginxmkdir -p这个参数是新手最容易忽略的一个。不加-p时mkdir temp/nginx只要temp不存在就直接失败加上之后中间缺少的层级会一次性建出来脚本里建目录一律带-p省掉一层判断。配套的几个定位命令记牢能省很多ls来回pwd打印当前所在的绝对路径ll看当前目录下内容的详细属性clear清屏跳转方面cd ~回当前用户家目录、cd /去根、cd -回上一次待过的目录、cd ..上一层。cd -这个「回跳」在深目录之间来回切换时特别顺手比记路径快。2.2 find 的三种检索维度名字、类型、大小find的语法是find 起始目录 条件 动作速查册里给的是最常用的三种条件值得逐个敲一遍。# 从根目录开始递归找名字精确等于 b 的文件或目录 find / -name b # 通配符版本找名字以 b 开头的所有文件和目录 find / -name b* # 限定类型为普通文件排除同名的目录 find . -type f -name *.log # 按大小精确定位145800c 表示 145800 字节c 是 byte 单位 find . -name * -size 145800c -print四个参数里-name的引号不能省。不加引号时*会被 shell 先展开成当前目录下的文件名find收到的就不是通配符了这是很经典的一次翻车。-type f用来过滤目录-type d反过来只看目录做清理脚本时几乎必加。-size的单位后缀要记清c是字节、k是 KB、M是 MB写成-size 100M表示大于 100M-表示小于。-print是默认动作写不写都会输出路径但显式写出来是有意义的——当你把-print和-exec连用时可以做到「先打印再执行」给自己留一条可回看的记录。这个细节在 2.4 节会再展开。2.3 mv 与 cp 对目录的语义差异mv和cp都接受「源 目标」两个参数但目标目录存不存在结果完全不同速查册里那几条例子正好把这个差异演示清楚了。# 当前目录下重命名tomcat001 改成 tomcat mv tomcat001 tomcat # 目标 /bbb 已存在则把 /aaa 整体移进 /bbb结果路径是 /bbb/aaa mv /aaa /bbb # 目标 usr/bbb 不存在则把 bbbb 移动过去并改名为 bbb mv bbbb usr/bbb # 复制目录必须带 -r否则只复制目录本身不复制内容 cp -r /aaa /bbb # 目标路径写全则复制并改名 cp -r /aaa /bbb/aaa判断规则可以简化成一句话目标是一个已存在的目录源就「进去」目标不存在源就「变成它」。mv还有个隐含行为——同一文件系统内是改名跨文件系统才真的搬运数据所以大目录在同一块盘上mv是秒完成的别误以为它慢。cp -r的-r是递归处理目录时不可省。想保留权限、时间戳再加-a做备份时比-r更合适。2.4 批量删除前先 printfind -exec 的安全姿势清理.pyc、清理临时文件、清理指定大小的残留包是运维里最常见的批量动作。速查册给的三条命令从危险到安全排了个序我建议永远从中间那条开始。# 危险查到就删没有任何回看机会 find . -name *.pyc -exec rm -rf {} \; # 安全只打印先确认命中范围对不对 find . -name * -size 145800c -print # 稳妥打印的同时删除终端里能看到删了哪些 find . -name * -size 145800c -print -exec rm -rf {} \;-exec后面的{}是占位符代表find当前查到的那条结果\;是结束符反斜杠是为了让 shell 不要把分号吃掉。这两处写错一个字符命令要么报错要么行为不对。真正要强调的顺序是先跑-print把输出贴到文本里数一遍确认没有误伤比如-size单位写错导致命中了整个项目目录再把-print换成-print -exec rm -rf {} \;。批量删除这类操作没有后悔药多敲一次回车换来的是可回看的执行记录。跑之前顺手pwd一下确认自己在哪个目录也是个好习惯——find .的起点是你当前所在位置不是你以为的那个路径。3. 文件内容与日志cat、less、tail、grep、vim 各管一段速查册的第三、四板块讲的是「看文件」和「改文件」这部分命令数量不多但选错工具会直接拖慢排查速度拿cat打开一个 2G 的日志终端能卡到你怀疑机器挂了。下面按场景把这几个工具的分工理清。3.1 四个查看器的分工别拿 cat 看大文件cat、more、less、head/tail都能看内容差别在加载方式和交互能力上。# 小文件直接刷完适合几十行的配置或脚本 cat a.java # 大文件分页看回车逐行、空格翻页、q 退出 more a.java # 功能更全的分页器支持方向键和 PageUp/PageDown less a.java # 只看头尾默认各 10 行-n 指定行数 head a.java head -n 7 a.java tail -n 7 a.java # 实时跟踪日志尾部排查线上问题的主力 tail -f a.java速查册里专门列了more和less的四点区别这几点在实际使用中确实关键less可以用上下方向键回看more只能往前less不必读完整个文件就能打开大文件加载快less退出后不残留内容more会把最后一屏留在终端上more不能后退。tail -f是这里面唯一带「持续」语义的命令-f表示文件被追加内容时继续输出。查应用日志、看部署过程基本都靠它。按CtrlC退出这一点和less里的q不一样别按错。3.2 grep 的 -n、-v、-i 与组合参数grep是在文件里找字符串速查册给了四个变体实际就是三个开关的排列组合。# 基础搜索 under区分大小写输出命中的整行 grep under 123.txt # -n 带上行号定位问题时报行号比报内容有用 grep -n under 123.txt # -v 反向输出所有没命中的行用来过滤噪音 grep -v under 123.txt # -i 忽略大小写 grep -i under 123.txt # 组合忽略大小写 显示行号 grep -ni under 123.txt这四条里-n和-v的实用度最高。-n让你能拿着行号直接vim 行号 文件跳过去-v在过滤日志噪音时特别好用比如grep -v 健康检查 app.log把所有探针请求的日志剔掉剩下的才是真正要看的。速查册里还提到在.bash_history里翻历史命令的用法history | grep es这类组合就是grep最常见的延伸——把历史命令当数据源来检索比一条条按上箭头快得多。3.3 vim 的三模式与退出路径vim是唯一一个「不会退出就出不来」的命令速查册把它拆成三步这个拆法很实用。# 打开文件进入一般模式此时按键是命令不是输入 vim a.java # 按 i 进入插入模式开始编辑 # 编辑完按 ESC 回到一般模式 # 保存并退出 :wq # 不保存强退改坏了想放弃时用 :q! # 没做任何修改时退出 :q关键认知是vim打开后默认在一般模式此时敲字母不会输入文字而是触发命令。新手最常见的困惑「为什么打字没反应」就源于此——先按i才能输入。:wq、:q!、:q三个命令的区别在于「保存与否」和「是否有改动」:q在文件被改过时会拒绝退出这是保护机制不是 bug。3.4 日志落在哪/var/log 下的六个文件速查册第四板块列了一张日志位置表这是很多人排查时最先需要的东西。日志路径记录内容/var/log/messages系统启动后的信息和错误日志Red Hat 系最常用/var/log/secure与安全相关的日志登录、sudo 记录都在这里/var/log/maillog与邮件相关的日志/var/log/cron与定时任务相关的日志/var/log/spooler与 UUCP 和 news 设备相关的日志/var/log/boot.log守护进程启动和停止相关的日志查登录失败、查定时任务有没有跑直接对号入座。cat /etc/redhat-release用来确认系统版本不同发行版的日志路径有差异先确认再去找能少绕一圈。用户操作痕迹还可以看cat .bash_history不过它只记录执行过的命令不记录输出且写入时机受 shell 配置影响不能当审计日志用。3.5 重定向与 CtrlC / CtrlZ 的分工速查册在这一节把两个容易混淆的中断组合键讲清楚了值得单独拎出来。# 覆盖写入文件不存在则创建 是追加 echo Hello World /root/test.txt # 把命令输出重定向到文件方便留档 netstat -tunlp ports.txtCtrlC是强制中断程序执行进程直接结束CtrlZ是把当前任务挂起进程还在只是暂停了。挂起之后可以用fg把它调回前台继续或者用bg让它在后台跑。很多人按了CtrlZ以为程序停了结果端口一直被占着就是没走fg/bg这一步。4. 打包压缩、软连接与权限tar、zip、split、ln、chmod这一章对应速查册的第五、六、七板块是操作失误率最高的区域tar的参数顺序、软连接末尾的斜杠、chmod的数字含义每一条都真实地删过别人的东西。下面按危险程度从低到高排。4.1 tar 的打包与压缩不是一回事tar的第一层是打包把多个文件合成一个第二层才是压缩用 gzip 等算法缩小体积参数里-c是创建、-x是解压、-v是显示过程、-f是指定文件名-z才是启用 gzip 压缩。# 只打包不压缩产物是 start.tar tar -cvf start.tar a.java b.java tar -cvf start.tar ./* # 打包并 gzip 压缩产物是 start.tar.gz tar -zcvf start.tar.gz a.java b.java tar -zcvf start.tar.gz ./* # 解包到当前目录 tar -xvf start.tar # 解包到指定目录-C 是大写且 C 和路径之间留空格 tar -xvf start.tar -C usr/local # 解 gzip 压缩包 tar -zxvf start.tar.gz tar -zxvf start.tar.gz -C usr/local-C这个参数踩坑率极高必须大写、必须和后面的路径隔一个空格、必须放在最后。写成-Cusr/local或者-c usr/local都会出问题前者被当成文件名后者变成创建模式直接把你当前目录打包了。.tar.xz格式的解压参数不同-z要换成-J速查册里给的写法是tar xf node-v12.18.1-linux-x64.tar.xz——新版tar能自动识别压缩格式-x加-f就够不必手写-J。这个「省略参数靠自动识别」的写法在日常里更省事。4.2 zip/unzip 与 tar 的适用边界zip的优势是跨平台发给 Windows 同事的文件用它能少一轮解释。# 压缩单个文件 zip lib.zip tomcat.jar # 压缩目录必须带 -r否则只压目录条目 zip -r lib.zip lib/ # 一次压多个文件 zip -r lib.zip tomcat-embed.jar xml-aps.jar # 解压到当前目录 unzip file1.zip # 解压到指定目录 unzip -d /usr/app/ com.lydms.english.zipzip -r的-r和cp -r一样是递归漏了它得到的压缩包里只有空目录结构。unzip -d的路径要写全且-d后面跟的是目录目录不存在时会自动建。4.3 软连接的创建与删除斜杠决定生死这是速查册里唯一用「注意」标注了两遍的地方值得原样保留创建软连接时目录后不加/删除软连接时也不加/。# 正确/data 是指向 /usr/local/app 的软连接本身 ln -s /usr/local/app /data # 删除软连接不带斜杠删的是链接 rm -rf /data # 危险带斜杠删的是链接指向的那个目录里的内容 rm -rf /data/原理是/data是链接文件/data/会被 shell 解析成「进入这个目录」进而指向目标目录。rm -rf /data删链接rm -rf /data/删目标目录内容——两个字符之差结果天壤之别。我见过不止一次有人在这上面栽跟头删完还在纳闷为什么源目录空了。创建时同理ln -s /usr/local/app /data/会在/data目录里创建一个名为app的链接而不是创建/data这个链接。目标路径写不写末尾斜杠决定了链接建在哪一层。4.4 split 拆分大文件的四个参数日志文件动辄几个 G传给外部或者做离线分析时split比压缩更实用。# 按大小拆每个文件 10KB默认后缀是 aa、ab、ac... split -b 10k date.file # -d 用数字后缀-a 3 指定后缀长度为 3 位 split -b 10k date.file -d -a 3 # 指定前缀名产物是 split_file000、split_file001... split -b 10k date.file -d -a 3 split_file # 按行数拆每个文件 10 行 split -l 10 date.file参数含义-b按字节大小切单位可以是 k、m-C是按单行最大字节数切适合有超长行的文件-l按行数切-d换成数字后缀-a控制后缀长度拆出来的文件超过 26 个时默认的两位字母不够用得配-a或-d。拆完记得验证一下cat x* 合并文件能还原这是判断拆分有没有丢字节最直接的办法。4.5 权限位与 chmod 的两种写法ls -l输出里那串-rw-r--r--是理解权限的入口。位置含义第 1 位文件类型-普通文件、d目录、l软连接第 2-4 位文件拥有者的读、写、执行权限第 5-7 位所属组其他用户的权限第 8-10 位其他用户的权限以-rw-r--r--为例拥有者可读可写不可执行组内和其他用户都只读。r4、w2、x1三个数字加起来就是八进制写法。# 符号法给拥有者加执行权限 chmod ux web.xml # 给所属组加执行权限 chmod gx web.xml # 数字法111 表示所有分类都只有执行权限 chmod 111 web.xml # 222 所有分类可写444 所有分类只读 chmod 222 web.xml chmod 444 web.xml # 实践中最常见的组合拥有者读写执行、其他只读 chmod 755 web.xml符号法适合做增量修改加一个权限数字法适合做整体设定。chmod 755是目录和可执行脚本的默认选择chmod 644是普通文件的默认选择这两个数字背下来能覆盖大部分场景。给脚本加执行权限时用ux更精确避免误改组和其他用户的权限。5. 常见问题排查五条翻车记录与定位路径速查册的第八到十五板块信息密度最高但直接照着敲容易在细节上翻车。这一章按「现象 → 原因 → 解决」整理五条实际踩过的记录覆盖端口、进程、容器、磁盘、账号五个方向。5.1 端口起不来从 ping 到 netstat 再到 lsof 的三层定位现象应用启动日志显示成功但外部访问不通curl直接超时。原因大部分情况不是服务没起而是端口没监听对外地址、被别的进程占了、或者防火墙拦了。速查册给的ping和telnet只能验证网络层验证不了端口。解决按三层往下查。# 第一层网络通不通-c 4 表示只发 4 个包 ping -c 4 10.0.0.12 # 第二层端口通不通需要目标机器开了 telnet 服务 telnet 10.0.0.12 8093 # 第三层本机谁在占这个端口需要 root 才能看到进程名 netstat -tunlp | grep 8080 # 换一种工具直接按端口查进程 lsof -i:8080 # 只看监听中的 TCP 端口 netstat -ltnetstat -tunlp的四个参数分别是 TCP、UDP、数字显示、监听状态加进程信息少一个p就看不到 PID。lsof -i:端口更直接但需要装lsof包。排查完本机再确认两件事服务绑的是0.0.0.0还是127.0.0.1绑后者只有本机能访问、防火墙有没有放行。速查册里给了service iptables stop临时关闭和chkconfig iptables off永久关闭两种生产环境别直接关改成加放行规则更稳。5.2 进程杀了又活ps 与 top 看错字段现象kill -9杀掉进程过几秒又起来了或者 CPU 一直高但ps里看不出是谁。原因前者多半是被守护进程或容器编排拉起来了杀子进程没用后者是ps显示的是进程启动以来的平均值不是实时值。解决先找父进程再看实时数据。# 看所有进程找到目标进程和它的 PPID ps -ef | grep mysql # 根据 PID 反查它占用的端口 netstat -nap | grep 2630 # 按 PID 杀-9 是强制 kill -9 2630 # 实时资源top 里的 %CPU 是采样值ps -au 是启动以来的平均值 topps -ef的-e是所有进程、-f是全格式带 PPID少了-f就看不到父进程也就找不到「谁在拉起它」。容器的场景下被杀又起的进程通常是容器的入口进程得用docker stop而不是kill。top的头部字段也值得记load average后面三个数分别是 1、5、15 分钟的平均负载跟 CPU 核数对比才有意义%CPU(s)里us是用户空间、sy是内核空间、wa是等 IOwa高说明瓶颈在磁盘不在 CPU。进程区的RES是实际占用的物理内存VIRT是虚拟内存排内存问题看RES。5.3 docker 容器起不来images、ps、ps -a 的顺序现象docker run之后docker ps看不到容器以为没启动成功。原因容器启动后立刻退出docker ps只显示运行中的得用-a才能看到已退出的。解决按顺序过一遍状态。# 1. 确认镜像在本地 docker images # 2. 搜镜像确认名字拼写 docker search mysql # 3. 后台启动并做端口映射、设初始密码 docker run -di --namefirst -p 3306:3306 -e MYSQL_ROOT_PASSWORDroot 镜像ID # 4. 只看运行中的 docker ps # 5. 包含已退出的起不来的容器在这里能看到 docker ps -a # 6. 停止、启动、重启、删除 docker stop first docker start first docker restart first docker rm firstdocker run的-d是后台运行、-i保持标准输入、-p是端口映射宿主:容器、-e传环境变量。容器起不来优先看docker ps -a里的状态码再用docker logs 容器名看退出原因——端口冲突、初始化脚本失败、内存不足日志里都有。5.4 磁盘满了df 和 du 要配合看现象写文件报No space left on device但du -sh看目录占用又不大。原因df看的是文件系统层面du看的是目录累加被删除但仍被进程占用的文件不会出现在du里却占着df的空间。解决两个命令对着看。# 文件系统层面看哪个挂载点满了 df -h # 目录层面当前目录下各子目录占用-h 人类可读 du -lh # 当前目录总占用 du -sh # 只看第一层避免深目录刷屏 du --max-depth1 -h先用df -h定位是哪个挂载点满再进到那个目录用du --max-depth1 -h逐层往下钻。如果df显示满但du加起来对不上八成是有进程还持有已删除的文件句柄用lsof | grep deleted找出来重启对应进程即可。5.5 用户加了却没权限useradd、passwd、visudo 三步现象useradd建了账号登录后sudo提示不在 sudoers 文件里。原因建用户和授权是两件事useradd只建账号提权要在visudo里单独加。解决三步走完。# 1. 建用户-m 建家目录-d 指定家目录路径 useradd -d /usr/sum -m sum # 2. 设密码不加参数直接改当前用户 passwd sum # 3. 授权用 visudo 编辑它带语法检查比直接改文件安全 visudovisudo打开后在root ALL(ALL) ALL下面加一行sum ALL(ALL) ALL保存即可。参数含义第一个字段是用户第二个是允许登录的主机括号里是可以切换到的目标用户最后是允许执行的命令。直接vim /etc/sudoers改错一个字符就可能导致所有人都无法提权visudo会在保存时校验语法这是它存在的意义。删用户用userdel sum要连家目录一起删加-r组操作用groupadd、groupdelcat /etc/group看现有分组。切用户su sum回 root 用exit。速查册里还提到改完/etc/passwd里 UID 之后要确认权限是否跟着变UID 改成 0 就等于给了 root 权限这一步别乱动。6. 把散命令串成排查链三个组合技与一份自检习惯单条命令会敲只是入门真正省时间的是把它们串成一条链。速查册里散落在各板块的管道用法其实可以归纳成三个固定套路。第一个是连接状态统计。机器出现大量连接堆积时先分类再定位# 按状态汇总 TCP 连接数一眼看出卡在哪个状态 netstat -n | awk /^tcp/ {S[$NF]} END {for(a in S) print a, S[a]} # 按对端 IP 统计 ESTABLISHED找出连接数异常的来源 netstat -nt | awk {if($NFESTABLISHED){wait[$5]}}END{for(i in wait) print i,wait[i]}CLOSE_WAIT数量大通常是应用没正确关闭连接问题在代码TIME_WAIT数量大是主动关闭方太多可以调内核参数缓解。这两种状态的处置方向完全不同先分清再动手。第二个是后台任务的日志留存。临时跑个脚本又不想占着终端# 后台运行日志写文件终端可以继续用 nohup sh test.sh test.out # 后台运行但保留终端输入能力 nohup sh test.sh nohup让进程忽略挂断信号放进后台追加日志。三个一起用才算完整少了nohup关掉终端进程就没了少了输出会丢。第三个是 Java 进程的线程定位。CPU 高但不知道哪一行代码在跑# 先找到 java 进程 PID ps -ef | grep java # 再按 nid 过滤线程栈-A 50 表示命中行往后多打 50 行 jstack 2246 | grep 0x9eb -A 50top -Hp 2246能拿到线程级 CPU 占用把十进制 PID 转成十六进制就是jstack里的nid两边对上才能定位到具体线程。这套流程我一般会写成一个两行的脚本放在机器上出事时直接执行。场景首选命令补充命令磁盘告警df -hdu --max-depth1 -h端口不通netstat -tunlp | grep 端口lsof -i:端口CPU 飙高topps -ef、jstack容器异常docker ps -adocker logs 容器名权限不足ls -l看权限位visudo查授权内核参数这块速查册放在了靠后的位置日常用得不多但需要知道入口vim /etc/sysctl.conf改完执行sysctl -p生效改之前先把原文件备份一份这是不需要犹豫的动作。血泪经验是所有会「删东西」和「改配置」的命令先-print、先备份、先pwd。我曾经在没有确认当前目录的情况下跑过一次带-size的find -exec单位写错把一整个构建产物目录清空了恢复花了半天。从那以后我每次批量删除前都强制走一遍-print再执行这个习惯救过我不止一次。希望帮到你。本文还有配套的精品资源点击获取