Referência pública da linha de comando do kernel
Esta referência pública explica a finalidade, os valores aceitos, as implicações para a latency, os modos de falha e a verificação após a inicialização. Ela deliberadamente não publica uma linha de comando universal do HFTKernel: os valores exatos dependem da topologia de CPU, do posicionamento NUMA, das filas de NIC, da manutenção do tempo, do armazenamento, da política de segurança e da carga de trabalho.
Documentação de medição
Leia o guia do Jitter Tools 1.3.0 para consultar comandos, exemplos, campos de saída e comparações reproduzíveis.
Regra de engenharia
Um perfil de produção deve coordenar como um único sistema as CPUs de manutenção, as CPUs de negociação, as threads irmãs SMT, os nós NUMA, as filas de NIC e armazenamento, as threads RCU, as filas de trabalho, as fontes de tempo e a afinidade das aplicações.
O isolamento de CPU, o posicionamento de IRQ e o comportamento NUMA são controles de desempenho. Mitigações, LSM, auditoria, ASLR, watchdog e configurações de verificação de máquina exigem uma decisão de segurança e operação separada.
Um parâmetro pode não ser compatível, ser redundante, ser substituído pelo firmware ou ser alterado posteriormente pelo espaço de usuário. O estado efetivo em sysfs, procfs, dmesg, na afinidade de IRQ e na latency medida é a referência válida.
Perfil de produção mediante solicitação
A engenharia do HFTKernel coordena como um único sistema as CPUs de negociação e manutenção, as threads irmãs SMT, os nós NUMA, as filas de NIC e armazenamento, o acesso de gerenciamento, a recuperação, a manutenção do tempo e a segurança antes de selecionar os parâmetros de inicialização.
Referência de parâmetros
Pesquise por parâmetro, subsistema, valor, risco ou comando de verificação. A referência pública explica o controle sem selecionar um valor de produção.
Nenhum parâmetro corresponde a esta pesquisa. Limpe a consulta ou pesquise um subsistema como CPU, IRQ, IOMMU, segurança ou NVMe.
Parâmetros: 5
Parâmetros que selecionam o kernel e o sistema de arquivos raiz, definem o comportamento da montagem inicial, habilitam o console serial e reservam memória para kdump.
BOOT_IMAGE
Metadados do carregador de inicialização; não é um controle de latency
O GRUB costuma acrescentar este token para registrar a imagem do kernel selecionada. O kernel upstream não o usa como política de ajuste; ele é útil principalmente para diagnóstico e para correlacionar uma inicialização com uma imagem específica.
BOOT_IMAGE=/boot/vmlinuz-<version>
Caminho com formato de sistema de arquivos usado por muitas configurações do GRUB.
BOOT_IMAGE=(hd0,gpt2)/vmlinuz-<version>
Notação de dispositivo do GRUB.
omitted
Válido; o carregador de inicialização continua determinando a imagem selecionada.
Uma string BOOT_IMAGE copiada pode estar desatualizada ou ser apenas informativa. A identidade do kernel em execução é a referência válida.
cat /proc/cmdline
uname -r
cat /proc/versionroot
Seleção do dispositivo raiz pelo kernel/initramfs
Seleciona o dispositivo de blocos ou a identidade lógica que se tornará o sistema de arquivos raiz. Um initramfs pode resolver o valor antes de montar a raiz real.
root=UUID=<filesystem-uuid>
Identificador estável do sistema de arquivos; geralmente preferível a um nome de dispositivo que pode mudar.
root=PARTUUID=<partition-uuid>
Identificador estável da tabela de partições.
root=LABEL=<label> or root=PARTLABEL=<label>
Rótulo do sistema de arquivos ou da partição legível por pessoas.
root=/dev/nvme0n1p2 or root=/dev/mapper/<name>
Caminho direto do dispositivo; simples, mas o nome pode variar conforme a ordem de detecção.
Um valor incorreto impede a inicialização. Verifique se o initramfs contém os drivers necessários de armazenamento, LVM, RAID ou criptografia antes da implantação.
findmnt -no SOURCE /
blkid
cat /proc/cmdlinero
Modo de montagem inicial do sistema de arquivos raiz
Solicita que o kernel monte inicialmente o sistema de arquivos raiz como somente leitura. O sistema de inicialização normalmente realiza verificações e depois remonta o sistema de arquivos para leitura e gravação.
ro
Montagem inicial somente para leitura.
rw
Montagem inicial para leitura e gravação.
A alteração pode mudar o reparo durante o início da inicialização e o comportamento do initramfs; teste os caminhos de recuperação.
findmnt -no OPTIONS /
cat /proc/cmdlineconsole
Roteamento do console do kernel
Controla para onde as mensagens do console do kernel são enviadas. Os valores do console serial definem o dispositivo, a taxa de transmissão, a paridade e os bits de dados; destinos de console virtual e local também estão disponíveis para plataformas compatíveis.
console=tty0
Terminal virtual local.
console=ttyS<N>,<baud><parity><bits>
Console serial compatível com 8250; exemplos incluem 115200n8 e 9600n8.
console=hvc0
Console virtual do hipervisor em sistemas convidados compatíveis.
console=null
Descartar a saída do console.
multiple console= tokens
Duplicar a saída do kernel em mais de um console elegível; verifique qual dispositivo se torna /dev/console.
Um grande volume de saída no console pode ser custoso, especialmente em um dispositivo serial lento. Controle o nível e a frequência dos registros em vez de desativar o acesso de recuperação sem avaliar.
cat /proc/consoles
dmesg | head
stty -F /dev/ttyS0 2>/dev/null || truecrashkernel
Reserva de memória para kdump
Reserva memória para um kernel de captura que pode gravar um vmcore após um panic. Algumas distribuições implementam o valor auto, mas ele não é uma política de dimensionamento upstream universalmente portável.
crashkernel=<size>
Reservar uma quantidade fixa, por exemplo 512M.
crashkernel=<range>:<size>[,<range>:<size>…]
Selecionar o tamanho da reserva conforme a RAM instalada.
crashkernel=<size>,high plus crashkernel=<size>,low
Separar as reservas de memória alta e baixa nas arquiteturas compatíveis.
crashkernel=<size>,cma
Usar uma reserva baseada em CMA quando houver suporte.
crashkernel=auto
Dimensionamento automático específico da distribuição; confirme o suporte no kernel de destino e nas ferramentas de inicialização.
omitted
Sem reserva para o kernel de captura; o kdump não pode capturar um vmcore.
A RAM reservada fica indisponível para o kernel principal. Um kernel de captura com memória insuficiente falha quando é mais necessário.
grep -i "Crash kernel" /proc/iomem
systemctl status kdump 2>/dev/null || systemctl status kdump-tools 2>/dev/null || true
dmesg | grep -i crashkernelParâmetros: 5
Controles de estados C, estados P, preferência entre energia e desempenho e multithreading simultâneo.
intel_idle.max_cstate
Seleção e profundidade do driver cpuidle da Intel
Controla o estado de ociosidade mais profundo exposto pelo intel_idle. Um valor de 0 desativa o intel_idle e recorre a outro driver de ociosidade, geralmente acpi_idle; por si só, não garante que a CPU permaneça em C0.
0
Desativar o intel_idle e recorrer à alternativa da plataforma.
1
Expor apenas o estado menos profundo do intel_idle.
2–9
Permitir estados progressivamente mais profundos até o índice do driver selecionado, conforme o suporte da CPU.
omitted
Usar o padrão do driver e a tabela de estados da plataforma.
Estados de ociosidade pouco profundos melhoram a consistência da ativação, mas aumentam o consumo, o calor, a demanda de ventilação e possivelmente a pressão sobre a frequência sustentada.
cat /sys/devices/system/cpu/cpuidle/current_driver
grep -H . /sys/devices/system/cpu/cpu0/cpuidle/state*/name 2>/dev/null
turbostat --quiet --show CPU,c1,c3,c6,c7 2>/dev/null || trueprocessor.max_cstate
Limite de estados de ociosidade do processador ACPI
Limita o estado de ociosidade ACPI mais profundo registrado pelo driver de ociosidade do processador. É relevante principalmente quando o acpi_idle está ativo, incluindo casos em que outro driver de ociosidade foi desativado ou está indisponível.
0
No código upstream atual, nenhum estado C de ACPI passa pelo laço de registro; o comportamento alternativo resultante deve ser verificado na plataforma de destino.
1
Limitar a C1.
2–8
Permitir estados ACPI até a profundidade selecionada, quando expostos pelo firmware.
9 or another value above the normal limit
Pode substituir alguns limites da lista de exclusão DMI; não é uma recomendação de latency.
omitted
Usar os padrões do firmware e do driver.
Usar 0 pode produzir um comportamento alternativo específico da plataforma. Não o trate como um sinônimo portável de “somente C0”.
cat /sys/devices/system/cpu/cpuidle/current_driver
grep -H . /sys/devices/system/cpu/cpu0/cpuidle/state*/name 2>/dev/null
cat /sys/module/processor/parameters/max_cstate 2>/dev/null || trueintel_pstate
Modo do driver de escalonamento de frequência de CPU Intel
Seleciona o modo de operação do driver de escalonamento de frequência intel_pstate ou impede seu carregamento. O modo escolhido muda a semântica do controle, o comportamento de HWP e os governors disponíveis.
disable
Não ativar intel_pstate.
active
Usar o modo ativo do intel_pstate e seus algoritmos internos performance/powersave.
passive
Usar intel_pstate como driver de escalonamento sob governors genéricos de cpufreq.
force
Forçar intel_pstate em sistemas normalmente excluídos; os controles térmicos e de energia da plataforma podem ser afetados.
no_hwp
Não ativar Hardware P-states.
hwp_only
Carregar somente onde HWP estiver disponível.
support_acpi_ppc
Respeitar os limites ACPI _PPC.
per_cpu_perf_limits
Expor limites de desempenho por CPU lógica.
no_cas
Desativar o suporte ao escalonamento ciente da capacidade em sistemas híbridos.
Uma política de frequência máxima fixa pode aumentar a limitação térmica e reduzir a sustentabilidade do desempenho com todos os núcleos. Meça a residência em frequências e a tail latency em conjunto.
cat /sys/devices/system/cpu/cpu0/cpufreq/scaling_driver 2>/dev/null
cat /sys/devices/system/cpu/cpu0/cpufreq/scaling_governor 2>/dev/null
cpupower frequency-info 2>/dev/null || trueepb
Token de inicialização não padronizado; Intel Energy Performance Bias normalmente é configurado por sysfs ou x86_energy_perf_policy
Representa uma política de Energy Performance Bias em árvores do kernel ou ferramentas de inicialização que processam explicitamente o token. O Linux upstream normalmente expõe Intel EPB por CPU por meio de energy_perf_bias e não define epb= como parâmetro genérico da linha de comando do kernel.
0
Preferência máxima por desempenho na interface EPB.
1–14
Compromisso intermediário entre desempenho e energia.
15
Preferência máxima por economia de energia.
performance, balance-performance, normal, balance-power, power
Valores nomeados aceitos pela interface sysfs por CPU em kernels compatíveis.
Firmware, suspensão e retomada, conexão a quente de CPU ou um serviço de gerenciamento de energia podem sobrescrever EPB. Trate a política selecionada como estado de execução gerenciado e verifique-a continuamente.
grep -H . /sys/devices/system/cpu/cpu*/power/energy_perf_bias 2>/dev/null
x86_energy_perf_policy --debug 2>/dev/null | head -n 40 || true
dmesg | grep -i "unknown kernel command line.*epb" || truenosmt
Controle de multithreading simultâneo
Desativa as threads SMT secundárias para que cada núcleo físico exponha no máximo uma CPU lógica on-line. Isso pode reduzir a contenção entre threads irmãs nas unidades de execução, nos caches e em alguns caminhos de interrupção.
nosmt
Desativar SMT na inicialização; a reativação em tempo de execução pode continuar possível quando a plataforma e o kernel permitirem.
nosmt=force
Forçar a desativação de SMT e impedir a reativação em tempo de execução.
omitted
Usar os padrões do firmware e do kernel.
Desativar SMT reduz a capacidade de CPUs lógicas e pode concentrar mais trabalho em segundo plano em menos CPUs de manutenção.
cat /sys/devices/system/cpu/smt/control
cat /sys/devices/system/cpu/smt/active
lscpu -e=CPU,CORE,SOCKET,ONLINEParâmetros: 6
O grupo principal de controles de latency: CPUs full-dynticks, isolamento de domínios do escalonador, afinidade de manutenção, defasagem de temporizadores e transferência de callbacks de RCU.
nohz
Supressão do tick na ociosidade
Controla o comportamento de ociosidade sem tick do kernel quando ele foi compilado com o suporte NO_HZ necessário. O modo ativado permite que CPUs ociosas interrompam o tick periódico do escalonador.
on
Ativar a ociosidade sem tick onde houver suporte.
off
Desativar a ociosidade sem tick e manter os ticks periódicos.
omitted
Usar o padrão da configuração do kernel.
O parâmetro não tem efeito se o kernel em execução não tiver o suporte correspondente na compilação.
grep -E "CONFIG_NO_HZ(_IDLE|_FULL)?=" /boot/config-$(uname -r) 2>/dev/null
cat /proc/cmdlineskew_tick
Distribuição da fase do tick periódico por CPU
Controla se a atividade do tick periódico é defasada entre as CPUs em vez de disparar todos os ticks de CPU no mesmo instante. Ativar o recurso pode reduzir a contenção de bloqueios e o ruído sincronizado em sistemas grandes.
0
Não defasar intencionalmente os ticks periódicos.
1
Distribuir as fases do tick entre as CPUs.
A contrapartida é um consumo maior de energia, porque as oportunidades de ociosidade de todo o encapsulamento podem ser reduzidas.
cat /proc/cmdline
trace-cmd record -e timer -e irq -e sched sleep 5 2>/dev/null || trueirqaffinity
Máscara padrão de afinidade de IRQ
Define a lista padrão de CPUs para IRQs que não recebem uma política de afinidade mais específica. A máscara de CPU selecionada determina onde começa o processamento das interrupções sem outra atribuição.
irqaffinity=<cpu-list>
CPUs e intervalos separados por vírgulas, por exemplo 0,4-7.
omitted
Usar a máscara de afinidade padrão da arquitetura/kernel.
A CPU 0 pode se tornar um gargalo. Interrupções MSI-X gerenciadas podem não obedecer à máscara padrão da mesma forma que IRQs comuns.
cat /proc/irq/default_smp_affinity
grep -H . /proc/irq/*/smp_affinity_list 2>/dev/null | head -n 80
cat /proc/interruptsisolcpus
Isolamento de domínios do escalonador e de IRQs gerenciadas
Seleciona CPUs e indicadores de isolamento para exclusão dos domínios do escalonador, comportamento full-dynticks e prevenção de IRQs gerenciadas. O isolamento de domínios é uma decisão de inicialização irreversível até a próxima reinicialização.
isolcpus=<cpu-list>
Forma legada; o isolamento de domínios está implícito.
isolcpus=domain,<cpu-list>
Excluir as CPUs dos domínios de balanceamento de carga do escalonador.
isolcpus=nohz,<cpu-list>
Ativar o comportamento de isolamento full-dynticks para as CPUs.
isolcpus=managed_irq,<cpu-list>
Exclusão na medida do possível das máscaras de IRQ gerenciadas quando houver CPUs de manutenção disponíveis.
combined flags
Exemplo: domain,nohz,managed_irq,2-15.
O isolamento não desloca automaticamente threads do kernel, filas de trabalho, filas de dispositivos, temporizadores ou threads de aplicações. Ele é um componente de um projeto completo de manutenção do sistema.
cat /sys/devices/system/cpu/isolated
cat /sys/devices/system/cpu/nohz_full
taskset -pc $$
cat /proc/interruptsnohz_full
Conjunto de CPUs full-dynticks
Interrompe o tick periódico do escalonador nas CPUs listadas enquanto executam uma carga de trabalho adequada, reduzindo as interrupções recorrentes do kernel. Pelo menos uma CPU de manutenção permanece fora do conjunto; a CPU de inicialização é excluída automaticamente.
nohz_full=<cpu-list>
Selecionar CPUs full-dynticks, por exemplo 2-15,18-31.
nohz_full=all
Solicitar todas as CPUs possíveis; o kernel ainda mantém as CPUs de manutenção necessárias.
omitted
Sem CPUs full-dynticks selecionadas na inicialização.
Uma CPU listada ainda pode receber interrupções, trabalho de threads do kernel, falhas de página, invalidações de TLB e chamadas entre CPUs, a menos que esses caminhos sejam controlados separadamente.
cat /sys/devices/system/cpu/nohz_full
cat /proc/cmdline
grep -E "CONFIG_NO_HZ_FULL=|CONFIG_RCU_NOCB_CPU=" /boot/config-$(uname -r) 2>/dev/nullrcu_nocbs
Transferência de callbacks de RCU
Desloca a invocação de callbacks de RCU das CPUs selecionadas para kthreads dedicadas. Um token sem valor não seleciona CPUs na inicialização; é necessária uma lista explícita de CPUs ou um mecanismo de execução compatível.
rcu_nocbs=<cpu-list>
Transferir os callbacks das CPUs listadas, por exemplo rcu_nocbs=1-3.
rcu_nocbs with no argument
Sem CPUs selecionadas na inicialização; CPUs elegíveis podem ser ativadas ou desativadas posteriormente por cpusets/interfaces de execução.
rcu_nocb_poll
Fazer as kthreads nocb consultarem periodicamente em vez de dependerem de ativações; pode reduzir a latency de ativação com um custo energético substancial.
omitted
Usar o posicionamento normal de callbacks, exceto que os kernels atuais transferem automaticamente os callbacks das CPUs nohz_full.
A transferência desloca o trabalho; não o elimina. CPUs de manutenção com capacidade insuficiente podem acumular callbacks pendentes e provocar bloqueios em todo o sistema.
ps -eLo pid,tid,psr,cls,rtprio,comm | grep -E "rcuo|rcuc"
grep -E "rcu_nocbs|nohz_full" /proc/cmdline
cat /sys/devices/system/cpu/nohz_fullParâmetros: 4
Controles de manutenção do tempo e de plataforma que podem afetar a latency de ativação, o trabalho periódico e a previsibilidade dos caminhos dos dispositivos.
pcie_aspm.policy
Política de PCI Express Active State Power Management
Seleciona a política de PCIe Active State Power Management. As políticas disponíveis equilibram a latency de ativação do link com o consumo de energia da plataforma, conforme o controle que firmware e kernel têm sobre cada link.
default
Usar a política do firmware/padrão.
performance
Priorizar o desempenho e desativar ASPM/Clock PM sob a política do kernel.
powersave
Ativar estados de economia de energia do link com uma política equilibrada.
powersupersave
Usar a política de economia de energia mais agressiva disponível.
O consumo de energia aumenta, e alguns links controlados pelo firmware podem não seguir a política solicitada.
cat /sys/module/pcie_aspm/parameters/policy 2>/dev/null
lspci -vv | grep -E "LnkCap:|LnkCtl:" | head -n 80acpi_pad.disable
Controle de ACPI Processor Aggregator específico da versão ou do fornecedor
Controla uma opção de ACPI Processor Aggregator específica da árvore do kernel destinada a impedir o trabalho de injeção de ociosidade. O código upstream atual de acpi_pad pode não expor esse parâmetro de módulo, portanto o suporte deve ser verificado no kernel e na distribuição exatos.
acpi_pad.disable=1
Compatível somente com árvores do kernel que expõem esse parâmetro de módulo.
acpi_pad.disable=0
Ativar/comportamento padrão nas árvores que implementam o parâmetro.
driver/module blacklist policy
Alternativa operacional portável quando o driver é modular e foi validado como desnecessário.
Remover comportamentos de gerenciamento de energia da plataforma pode afetar as expectativas do firmware. Valide no modelo de servidor e na revisão de BIOS exatos.
ls -la /sys/module/acpi_pad/parameters 2>/dev/null || true
grep -w acpi_pad /proc/modules 2>/dev/null || true
dmesg | grep -i "unknown kernel command line.*acpi_pad" || trueclocksource
Seleção da fonte de tempo do kernel
Seleciona um clocksource do kernel pelo nome. Em sistemas modernos com TSC invariável e sincronizado, o TSC pode oferecer baixo custo de leitura e alta resolução, enquanto outras plataformas podem exigir outra fonte validada.
clocksource=tsc
Forçar TSC quando o kernel o considerar disponível.
clocksource=hpet
Usar HPET onde estiver disponível; geralmente com maior custo de leitura.
clocksource=acpi_pm
Usar o temporizador ACPI PM onde estiver disponível.
clocksource=kvm-clock, hyperv_clocksource, xen, or another listed source
Opções específicas do hipervisor ou da plataforma.
omitted
Permitir que o kernel selecione a fonte estável mais bem avaliada.
Não adicione tsc=reliable apenas para suprimir avisos. Essa substituição separada desativa as verificações de estabilidade e só é apropriada quando existe uma garantia validada da plataforma.
cat /sys/devices/system/clocksource/clocksource0/current_clocksource
cat /sys/devices/system/clocksource/clocksource0/available_clocksource
dmesg | grep -Ei "clocksource|tsc"no_timer_check
Solução alternativa de x86 para a verificação da fonte de IRQ do temporizador
Desativa uma verificação na inicialização destinada a detectar roteamento defeituoso de interrupções do temporizador. É uma solução de compatibilidade para ambientes específicos de hardware ou máquinas virtuais, não uma otimização geral de latency.
no_timer_check
Ignorar a verificação do roteamento do temporizador.
omitted
Executar as verificações normais de temporizadores do kernel.
Suprimir um diagnóstico pode ocultar um problema de roteamento do temporizador da plataforma que depois apareça como ticks perdidos ou instabilidade na manutenção do tempo.
cat /proc/cmdline
dmesg | grep -Ei "timer.*check|timer.*irq|APIC timer"Parâmetros: 9
Opções de grande impacto que reduzem a sobrecarga em troca de segurança ou diagnóstico de falhas. Elas exigem uma decisão explícita sobre o risco em produção.
selinux
Inicialização do SELinux
Controla se o SELinux é inicializado e qual modo de política é usado na inicialização. Desativar a inicialização remove a aplicação de políticas e os pontos de auditoria do SELinux do sistema ativo.
selinux=0
Desativar o SELinux na inicialização.
selinux=1 or omitted
Permitir a inicialização do SELinux quando compilado e configurado.
enforcing=0
Alternativa relacionada: inicializar o SELinux em modo permissivo para registrar as negações sem aplicá-las.
enforcing=1
Começar a aplicar as restrições quando a política permitir.
selinux=0 é uma decisão de segurança, não um requisito genérico de HFT. A reativação normalmente exige reinicialização e pode exigir nova rotulagem do sistema de arquivos.
getenforce 2>/dev/null || true
sestatus 2>/dev/null || true
cat /sys/fs/selinux/enforce 2>/dev/null || truenosoftlockup
Detector de soft-lockup
Desativa o watchdog que informa sobre CPUs que passam tempo demais sem escalonar a thread do watchdog.
nosoftlockup
Desativar a detecção de soft-lockup.
omitted
Usar a política de watchdog configurada.
watchdog_thresh=<seconds>
Ajuste relacionado: alterar o limiar de detecção de bloqueios em vez de desativá-la.
Sem o detector, uma CPU bloqueada pode permanecer despercebida até que uma verificação externa de integridade ou um watchdog de hardware atue.
cat /proc/sys/kernel/watchdog 2>/dev/null
cat /proc/sys/kernel/soft_watchdog 2>/dev/null || true
dmesg | grep -i watchdogmitigations
Política de mitigação de vulnerabilidades de CPU
Seleciona uma política de mitigação de vulnerabilidades de CPU. Os modos disponíveis equilibram a sobrecarga de troca de contexto e de controle de especulação com a proteção contra as vulnerabilidades de hardware aplicáveis.
off
Desativar todas as mitigações opcionais.
auto
Ativar as mitigações conforme o estado de vulnerabilidade da CPU e os padrões do kernel.
auto,nosmt
Mitigações automáticas mais desativação de SMT quando necessário.
omitted
Usar a política compilada/padrão.
Isso pode expor dados do kernel, de processos, de máquinas virtuais e entre threads, dependendo da CPU. O ganho de latency depende do hardware e da carga de trabalho.
grep . /sys/devices/system/cpu/vulnerabilities/*
cat /proc/cmdline
dmesg | grep -i mitigationaudit
Estado inicial do subsistema de auditoria do Linux
Controla se o subsistema de auditoria do kernel é ativado na inicialização. O estado selecionado afeta a sobrecarga de geração de eventos e as evidências disponíveis para segurança, conformidade e resposta a incidentes.
audit=0 or audit=off
Desativar a auditoria nesta inicialização; ela não pode ser totalmente ativada depois sem reinicializar.
audit=1 or audit=on
Ativar a auditoria na inicialização.
omitted
Usar o padrão configurado do kernel ou da distribuição.
Desativar a auditoria pode invalidar requisitos de conformidade, resposta a incidentes e análise forense.
auditctl -s 2>/dev/null || true
cat /proc/cmdline
dmesg | grep -i "audit.*enabled"mce
Tratamento de verificações de máquina em x86
Controla o tratamento de x86 Machine Check Exception e o comportamento de recuperação relacionado. Desativá-lo remove os relatórios assíncronos de erros de hardware, assim como a telemetria crítica para falhas de CPU, memória e interconexão.
off
Desativar o tratamento de verificações de máquina.
no_cmci
Desativar o tratamento de interrupções por erros corrigidos e usar consultas periódicas onde houver suporte.
dont_log_ce
Não registrar erros corrigidos.
ignore_ce
Ignorar erros corrigidos.
no_lmce
Desativar o suporte a Local Machine Check Exception.
bootlog or nobootlog
Controlar o registro de verificações de máquina encontradas na inicialização em kernels compatíveis.
omitted
Usar o tratamento normal de verificações de máquina.
Desativar MCE pode transformar um componente em degradação diagnosticável em corrupção silenciosa de dados, reinicializações inexplicáveis ou picos de latency impossíveis de rastrear.
dmesg | grep -Ei "mce|machine check|hardware error"
ls /sys/devices/system/machinecheck 2>/dev/null || true
systemctl status rasdaemon 2>/dev/null || truenomce
Opção legada de verificação de máquina em x86-32
Desativa o suporte a Machine Check Exception em kernels x86 de 32 bits. Não é o controle normal de x86-64 e pode ser redundante quando outra política de verificação de máquina já está selecionada.
nomce
Desativar MCE em compilações x86 de 32 bits compatíveis.
omitted
Usar a política normal da arquitetura.
Manter tokens redundantes ou não aplicáveis à arquitetura dificulta a auditoria da configuração de inicialização e pode ocultar premissas incorretas.
uname -m
cat /proc/cmdline
dmesg | grep -Ei "mce|machine check"norandmaps
Randomização do espaço de endereços do espaço de usuário
Desativa ASLR no espaço de usuário, equivalente a definir kernel.randomize_va_space=0. Os endereços virtuais se tornam mais repetíveis, mas a resistência à exploração é reduzida de forma significativa.
norandmaps
Desativar a randomização do espaço de endereços do espaço de usuário.
omitted
Usar a política ASLR de sysctl/padrão.
kernel.randomize_va_space=0, 1, or 2
Política de execução/sysctl: desativada, randomização conservadora ou randomização completa.
Isso enfraquece a defesa contra a exploração de corrupção de memória em todo o host.
sysctl kernel.randomize_va_space
cat /proc/cmdlinenowatchdog
Opção principal de watchdogs de bloqueio do kernel
Desativa os watchdogs de hard-lockup e de soft-lockup. Portanto, opções separadas para desativar watchdogs específicos podem se tornar redundantes quando este indicador está presente.
nowatchdog
Desativar os watchdogs de bloqueio do kernel.
omitted
Usar a política de watchdog configurada.
watchdog_thresh=<seconds>
Alternativa relacionada: manter a detecção, mas aumentar o limiar.
Um hard-lockup ou soft-lockup pode persistir sem que o kernel o informe. Garanta que outro mecanismo independente de verificação de atividade permaneça em funcionamento.
cat /proc/sys/kernel/watchdog 2>/dev/null
cat /proc/sys/kernel/nmi_watchdog 2>/dev/null
dmesg | grep -i watchdognmi_watchdog
Watchdog NMI de hard-lockup
Controla o detector de hard-lockup baseado em NMI e, em sistemas x86 compatíveis, sua atividade periódica de contadores de desempenho.
0
Desativar o watchdog NMI.
1
Ativar o watchdog NMI onde houver suporte.
omitted
Usar o padrão do kernel ou da distribuição.
Desativá-lo remove um sinal importante das CPUs que deixam de processar interrupções normais.
cat /proc/sys/kernel/nmi_watchdog
dmesg | grep -i "NMI watchdog"Parâmetros: 3
Controla a migração automática de páginas e a política de tradução DMA para manter a localidade estável e os caminhos dos dispositivos previsíveis.
numa_balancing
Migração automática de páginas NUMA
Controla o balanceamento NUMA automático, que amostra o acesso à memória protegendo páginas periodicamente e pode migrar tarefas ou páginas. O estado escolhido equilibra a correção automática de localidade com o ruído de falhas de página e migrações.
disable
Desativar o balanceamento NUMA automático.
enable
Ativar o balanceamento NUMA automático.
omitted
Usar o padrão do kernel ou da distribuição.
Com o balanceamento automático desativado, um posicionamento ruim da aplicação continuará ruim. Vincule a memória explicitamente e valide os contadores de acesso remoto.
sysctl kernel.numa_balancing
numactl --hardware
numastat -p $$ 2>/dev/null || trueintel_iommu
Inicialização de Intel DMAR/IOMMU
Controla a inicialização de Intel IOMMU e os recursos relacionados de remapeamento DMA ou de interrupções, conforme o suporte do hardware e do firmware.
on
Ativar o driver Intel IOMMU.
off
Desativá-lo.
igfx_off
Ignorar a unidade DMAR dos gráficos integrados.
sp_off
Desativar o suporte a superpáginas de IOMMU.
sm_on or sm_off
Permitir ou impedir o modo escalável da Intel.
strict
Solicitação obsoleta específica do driver equivalente a iommu.strict=1.
tboot_noforce
Não permitir que tboot force a ativação de IOMMU; reduz a proteção contra ataques DMA.
Defeitos de firmware e a política de tradução podem afetar a latency ou a estabilidade do dispositivo. Valide cada geração de servidor/BIOS.
dmesg | grep -Ei "DMAR|IOMMU"
find /sys/kernel/iommu_groups -maxdepth 1 -type d 2>/dev/null | head
lspci -vv | grep -i "IOMMU\|ATS" | head -n 40iommu
Política padrão de passthrough DMA
Seleciona a política padrão de domínios IOMMU para dispositivos comuns. O passthrough ou o mapeamento de identidade podem reduzir a sobrecarga de tradução DMA para dispositivos confiáveis, enquanto domínios traduzidos oferecem isolamento mais forte.
iommu=pt
Usar o modo passthrough por padrão.
iommu=nopt
Usar o modo DMA traduzido por padrão.
iommu.passthrough=1
Controle explícito moderno de passthrough.
iommu.passthrough=0
Usar tradução IOMMU por padrão.
iommu.strict=0 or 1
Política relacionada de invalidação em modo traduzido: adiada ou estrita.
iommu=off, force, noforce, soft, merge, nomerge
Controles gerais específicos da arquitetura; não são sinônimos diretos de passthrough.
O passthrough enfraquece o isolamento DMA. Um dispositivo defeituoso ou comprometido pode acessar a memória do host fora dos buffers previstos.
dmesg | grep -Ei "IOMMU.*(passthrough|Default domain)|DMAR"
find /sys/kernel/iommu_groups -maxdepth 2 -type l 2>/dev/null | head -n 40Parâmetros: 3
Comportamento de atribuição de nomes de NIC no espaço de usuário e configurações de tempo limite e novas tentativas de armazenamento que determinam a rapidez com que as falhas ficam visíveis.
net.ifnames
Política de nomes previsíveis de interfaces do systemd/udev
Controla a atribuição de nomes previsíveis de interfaces no systemd/udev. Desativá-la pode restaurar nomes legados como eth0 quando a distribuição permitir; é uma convenção do espaço de usuário passada na linha de comando do kernel, não um controle de latency de rede.
0
Desativar NamePolicy previsível.
1 or omitted
Permitir nomes previsíveis de acordo com o esquema de nomes ativo do systemd e a política .link.
A ordem legada ethX pode mudar quando o hardware, o firmware ou a ordem de detecção mudam. Uma identidade de interface incorreta é mais perigosa que qualquer preferência de nomes.
ip -br link
udevadm test-builtin net_id /sys/class/net/$(ls /sys/class/net | head -n1) 2>/dev/null | head -n 40 || true
cat /proc/cmdlinenvme_core.io_timeout
Tempo limite de comandos de E/S NVMe em segundos
Define o valor de entrada do tempo limite de E/S NVMe em segundos. O código upstream atual armazena o parâmetro do módulo como um inteiro sem sinal com padrão de 30 e depois o converte no tempo limite da camada de blocos em jiffies; portanto, o tempo limite efetivo da fila deve ser verificado após a inicialização.
30
Padrão upstream atual em segundos; verifique o kernel de destino.
a finite positive integer
Tempo limite explícito em segundos.
4294967295
Valor máximo de entrada sem sinal de 32 bits, não um token de infinito. A expressão do driver nvme_io_timeout * HZ pode sofrer estouro antes de se tornar o tempo limite efetivo da solicitação; em um kernel de 1000 Hz, esse valor pode resultar em cerca de 49.7 dias em vez de 136 anos.
Um tempo limite muito grande ou que sofreu estouro pode deixar a E/S bloqueada por um período inesperado e atrasar a redefinição, a comutação por falha ou a recuperação da aplicação. Considere o valor observado em /sys/block/<device>/queue/io_timeout como o comportamento efetivo garantido.
cat /sys/module/nvme_core/parameters/io_timeout
grep -H . /sys/block/nvme*/queue/io_timeout 2>/dev/null || true
grep '^CONFIG_HZ=' /boot/config-$(uname -r) 2>/dev/null || true
nvme list 2>/dev/null || true
dmesg | grep -i nvmenvme_core.max_retries
Número máximo de novas tentativas de comandos NVMe
Define o número máximo de novas tentativas para comandos NVMe elegíveis. O código upstream atual o armazena como um byte sem sinal e usa 5 como padrão.
0
Não tentar novamente os comandos elegíveis.
1–255
Número máximo de novas tentativas; 10 duplica o padrão upstream atual.
omitted
Usar o padrão do kernel.
Mais tentativas podem prolongar a tail latency e atrasar a comutação por falha. Menos tentativas podem expor erros transitórios de mídia ou transporte mais cedo.
cat /sys/module/nvme_core/parameters/max_retries
dmesg | grep -Ei "nvme.*(retry|timeout|reset)"Como os perfis são projetados
Um perfil fácil de manter separa as escolhas invariáveis da plataforma das listas de CPU específicas da topologia e das substituições de segurança de alto risco. O HFTKernel avalia essas camadas em conjunto e entrega uma configuração revisável, testável e reversível.
Dispositivo raiz, modo de montagem inicial, console serial e reserva de kdump testada.
Driver de ociosidade, política de frequência, PCIe ASPM, clocksource, NUMA e política IOMMU.
CPUs de manutenção, CPUs full-dynticks, transferência de RCU, máscara de IRQ padrão, afinidade de filas e cpusets de aplicações.
Máscaras de filas de trabalho, afinidade de threads do kernel, política EPB/governor, filas de NIC, vinculação de memória e CPU affinity de serviços.
Mitigações de segurança, LSM, auditoria, ASLR, watchdog e política de verificação de máquina revisados de forma independente.
Verificação após a inicialização
A linha de comando é apenas uma entrada. Esta lista de verificação confirma o kernel em execução, a topologia de CPU, o conjunto full-dynticks, o posicionamento de IRQ, o clocksource, a política de energia, IOMMU, o estado de segurança e a política de recuperação do NVMe.
printf '%s\n' '== kernel and cmdline =='
uname -a
cat /proc/cmdline
printf '%s\n' '== CPU topology and isolation =='
lscpu -e=CPU,CORE,SOCKET,NODE,ONLINE
cat /sys/devices/system/cpu/isolated
cat /sys/devices/system/cpu/nohz_full
cat /sys/devices/system/cpu/smt/control
printf '%s\n' '== idle and frequency =='
cat /sys/devices/system/cpu/cpuidle/current_driver
cat /sys/devices/system/cpu/cpu0/cpufreq/scaling_driver 2>/dev/null || true
cat /sys/devices/system/cpu/cpu0/cpufreq/scaling_governor 2>/dev/null || true
grep -H . /sys/devices/system/cpu/cpu*/power/energy_perf_bias 2>/dev/null || true
printf '%s\n' '== IRQ and RCU placement =='
cat /proc/irq/default_smp_affinity
cat /proc/interrupts
ps -eLo pid,tid,psr,cls,rtprio,comm | grep -E 'rcuo|rcuc|irq/' || true
printf '%s\n' '== clock, NUMA, and IOMMU =='
cat /sys/devices/system/clocksource/clocksource0/current_clocksource
cat /sys/devices/system/clocksource/clocksource0/available_clocksource
sysctl kernel.numa_balancing
dmesg | grep -Ei 'DMAR|IOMMU|clocksource|tsc'
printf '%s\n' '== watchdog, security, and storage =='
sysctl kernel.watchdog kernel.nmi_watchdog kernel.randomize_va_space 2>/dev/null || true
grep . /sys/devices/system/cpu/vulnerabilities/*
cat /sys/module/nvme_core/parameters/io_timeout 2>/dev/null || true
grep -H . /sys/block/nvme*/queue/io_timeout 2>/dev/null || true
cat /sys/module/nvme_core/parameters/max_retries 2>/dev/null || trueReferências principais
Verifique sempre a documentação e o código-fonte da versão exata do kernel, dos patches da distribuição, do carregador de inicialização, do firmware e da pilha do espaço de usuário implantados no host de destino.