debian-ubuntu

Debian-Ubuntu：Debian 和基于 Debian 的发行版管理

管理 Debian、Ubuntu、Linux Mint、Pop!_OS、Devuan 及其他源自 Debian 的系统；如果问题涉及基础操作系统管理，而非安全发行版工作流，也可部分涵盖 Kali。

优先关注 Debian stable 和 Ubuntu LTS，然后再补充衍生版特有行为、PPA 工作流、snap 沙盒限制、Ubuntu HWE，以及对 init、默认打包方式或预期用途存在差异的衍生版进行明确检查。

值得固定的版本（已于 2026 年 10 月验证）：

仅当版本会实质影响兼容性或故障排查方式时，才在此固定版本。对于常规 Debian 和 Ubuntu 软件包操作，应优先参考当前发行版渠道和软件包策略，而非过时的软件包版本表。

组件	版本	重要性
Debian stable	13 (trixie)	当前 stable 基线和软件仓库行为
Ubuntu LTS	26.04 (Resolute Raccoon)	大多数 Ubuntu 指南所依据的当前 LTS 基线
Ubuntu 中期版本渠道	实时核实（26.10 "Stonking Stingray" 于 2026-10-15 发布，支持至 2027 年 7 月；25.10 于 2026 年 7 月终止支持）	中期版本更新较快；应检查当前有效的升级路径，而非记忆一个生命周期很短的代号
Ubuntu HWE 渠道	实时核实	内核元软件包和硬件启用行为比某个确切内核版本号更重要
NVIDIA 驱动分支	实时核实	专有驱动分支的选择会影响 Wayland、游戏和 DKMS 行为
Mesa 堆栈	实时核实	AMD 和 Intel 显卡行为取决于随发行版提供的 Mesa 渠道
内核安全	通过 USN 跟踪器实时核实	及时修补高危提权 CVE；需确认的 2026 年年中示例：Copy Fail CVE-2026-31431（CISA KEV，已遭利用）、Dirty Frag CVE-2026-43284/43500、Fragnesia CVE-2026-46300（ESP-in-TCP，已有公开 PoC，不在 CISA KEV 中）、ptrace CVE-2026-46333

安全复核（2026-09-10）：CVE-2026-53362 是一项高优先级 Linux IPv6 漏洞，Canonical 将其列入 CISA KEV。Ubuntu 26.04 的 linux 软件包已在 7.0.0-31.31 中修复；Ubuntu 24.04 的 linux-hwe-7.0 已在 7.0.0-31.31~24.04.1 中修复。记录中，24.04 的 linux 渠道仍标记为存在漏洞。 请核对具体发行版和内核软件包；这些版本并非通用的内核版本下限。

安全复核（2026-10-02）：CVE-2026-53266 （netfilter ebtables SNAT，高危，已于 2026-09-18 列入 CISA KEV）的修复版本相同：26.04 上的 linux 7.0.0-31.31，以及 24.04 上的 linux-hwe-7.0 7.0.0-31.31~24.04.1；与此同时，24.04 的 linux 渠道仍被列为存在漏洞。

适用场景

• 使用 apt、apt-get、dpkg、apt-cache 进行软件包管理，以及设置 pin 或 hold
• 在 Ubuntu、Mint 或 Pop!_OS 上管理 PPA（add-apt-repository、密钥处理）
• Snap 和 Flatpak 工作流、沙盒限制问题及替代方案
• 在 Debian 风格系统上排查 systemd 服务、计时器、启动和日志问题
• 在 Debian 或 Ubuntu 上处理 GRUB、initramfs、EFI、内核和恢复工作
• 发行版维护：dist-upgrade、HWE 过渡、发行版升级（do-release-upgrade）
• 桌面堆栈：Wayland 与 X11、GNOME、KDE、Cinnamon、COSMIC、门户、PipeWire、蓝牙
• 会话启动和笔记本电脑相关工作：GDM、SDDM、LightDM、挂起/恢复、电源配置、混合显卡
• GPU 和游戏：NVIDIA 专有驱动与 nouveau、AMD Mesa、Intel、Vulkan、Steam、Proton、Gamescope
• 采集和通信：OBS、WebRTC 屏幕共享、Discord/Teams、门户、虚拟摄像头
• 存储：ext4、Btrfs、LUKS、LVM、TRIM、休眠
• 固件和硬件启用：fwupd、ubuntu-drivers、HWE 堆栈、backports
• 安全：AppArmor 配置文件、unattended-upgrades、needrestart、debian-security 更新
• 远程游戏和输入：Moonlight、Sunshine、Steam Remote Play、控制器
• Debian 风格系统上的基础 Linux 运维：journalctl、dmesg、lsblk、update-alternatives

不适用场景

• Shell 语法、引号或脚本可移植性——使用 shell-scripting
• 网络架构、DNS、VPN、反向代理或防火墙设计——使用 networking
• Docker、Podman、镜像构建或容器运行时——使用 docker
• Kubernetes 集群或清单相关工作——使用 kubernetes
• 通过 playbook 配置整个 Linux 设备群——使用 ansible
• 安全审查、漏洞分诊或攻防测试——使用 security-audit 或 privilege-escalation
• RPM 系发行版及相关工具——使用 rhel-fedora。包括 RHEL、Fedora、Rocky、AlmaLinux、Oracle Linux 和 Amazon Linux。
• Ubuntu Core 和仅限 snap 的事务型工作流——不属于此技能的范围；不要将其视为普通的 apt 管理型 Ubuntu 主机
• NixOS 或声明式系统管理——使用 nixos
• Kali 攻防工具、渗透测试工作流或培训镜像相关事项——使用 kali-linux
• OPNsense 或 pfSense 设备相关工作——使用 opnsense-pfsense

---

AI 自检

在返回 Debian 或 Ubuntu 命令之前，请验证：

• 已识别发行版和版本：Debian stable/testing/unstable、Ubuntu LTS/中间版本、Mint、Pop!_OS、Devuan、Kali 或其他衍生版，以及其当前支持周期和已启用的软件仓库。相关建议很快就会出现差异。
• 已识别初始化系统：在 Devuan 或其他 Debian 衍生版上，不要假定使用 systemd；应先检查 PID 1、服务管理器和启动工具。
• 遵循发行版本模式：如果软件包转换需要 apt full-upgrade 或 apt dist-upgrade，不要建议使用 apt upgrade。没有上下文时，不要在 Ubuntu 上随意建议使用 apt dist-upgrade。
• 已考虑 Ubuntu 24.04 -> 26.04 的差异：从 Ubuntu 24.04 LTS 升级的用户会继承 24.10、25.04、25.10 和 26.04 的变更。不要把 26.04 当作 24.04 的小幅点版本更新。
• 软件仓库状态正常：没有损坏的 apt 列表、缺失的 GPG 密钥或未设置 pin 的混合版本。
• 已识别启动栈：更改启动文件前，先确认使用 GRUB 还是其他引导程序、EFI 还是 BIOS、initramfs 生成器，以及内核元软件包。
• 存在回退路径：不要移除唯一已知可用的内核，也不要破坏唯一的启动项；远程系统或加密系统尤其如此。
• 遵守第三方软件仓库的信任边界：添加 PPA 前，检查其来源、密钥和维护状态；明确说明 snap、供应商软件仓库和 pin 优先级。
• systemd 的作用范围正确：区分系统单元和用户单元，并仅在适当时使用 systemctl --user。
• Wayland 栈配置一致：合成器、门户后端、Xwayland 兼容性和用户会话服务彼此匹配。
• 已识别会话启动路径：调试环境变量传递前，先确认显示管理器、登录界面或 TTY 启动路径。
• 音频栈配置一致：PipeWire、pipewire-pulse 和 WirePlumber 不会与遗留的 PulseAudio 配置冲突。
• 蓝牙路径完整：如果音频路由、信任、配对或配置文件选择出现问题，仅有 bluetooth.service 并不足够。
• GPU 栈与硬件匹配：确认使用的是专有 NVIDIA 驱动、nouveau 还是 Mesa。调试图形问题前，先验证实际使用的驱动。
• 需要时，游戏栈包含 32 位用户空间：Steam 和 Proton 故障通常是由缺少 i386 图形库导致的。
• 采集栈配置一致：门户后端、PipeWire、WebRTC 或 Electron 客户端路径，以及任何虚拟摄像头模块的选择彼此匹配。
• 关于挂起和休眠的说法切合实际：休眠建议应与实际交换空间布局、initramfs 恢复钩子和 Secure Boot 状态相符。
• 已考虑 AppArmor 状态：在 Ubuntu 上，AppArmor 拒绝操作可能会悄无声息地导致服务、snap 或自定义二进制文件无法正常工作。
• 未忽略 snap 限制：snap 出现异常时，重新安装前先检查接口和限制级别。
• Ubuntu 桌面会话假设符合当前情况：在 Ubuntu 26.04 Desktop 上，不要假定默认提供标准 Xorg 会话或旧版 Software & Updates 图形界面。
• 已了解 HWE 内核路径：Ubuntu HWE 栈会切换内核元软件包。确认系统跟踪的是 generic 还是 hwe。
• 未屏蔽诊断错误：对于错误原因很重要的命令，不要用 2>/dev/null 隐藏失败。使用 2>&1 || true 显示错误，同时避免中止。
• 未将固件更新与软件包更新混为一谈：fwupd 和供应商工具（例如 system76-firmware）与 apt upgrade 是分开的。
• 已检查 Debian 的 alternatives：命令行为异常时，检查该二进制文件的 update-alternatives 设置。
• 已落实跨领域的 Agent 卫生规范——参见 references/agent-hygiene.md

---

工作流

步骤按顺序排列。复制此清单并跟踪进度：

• 步骤 1：确定发行版类别
• 步骤 2：收集当前状态
• 步骤 3：加载匹配的参考资料
• 步骤 4：更改一个层面；先确认会产生的影响
• 步骤 5：完成验证（若失败，修复后返回步骤 4）

步骤 1：先确定发行版类别

发行版	默认策略	变更内容
Debian stable	保守，倾向于固定版本	除非明确要求使用 testing/unstable，否则仅使用 stable 软件源。部分软件包可使用 backports。
Debian testing	类似滚动更新，但有冻结期	与 Ubuntu 更接近，但不使用 Ubuntu 专属工具。
Debian unstable (sid)	真正的滚动更新	没有发行版版本，只有 sid。出现问题的风险更高。
Ubuntu LTS	默认基线	跨版本升级使用 do-release-upgrade。将 Ubuntu 26.04 视为当前基线，但请记住，24.04 LTS 的升级用户也会继承 24.10、25.04 和 25.10 的变更。可选用 HWE 内核。存在 Snap。
Ubuntu interim	生命周期短	通常作为升级到当前 LTS 的过渡版本。很快就会 EOL。
Linux Mint	Ubuntu LTS 衍生版	侧重 Cinnamon/XFCE。使用 Mint 专属软件源和更新管理器。Ubuntu 的 PPA 通常可用。
Pop!_OS	带有额外功能的 Ubuntu 衍生版	包含 System76 固件、COSMIC 桌面、Pop 软件源和 system76-power。提供 NVIDIA ISO。
Devuan	服务模型有重大差异的 Debian 衍生版	不要假定使用 systemd、systemctl 或 Ubuntu 风格的桌面/会话配置。先确认 init 和服务管理工具。
Kali	基于 Debian 的安全发行版	可用于基础 apt、内核、启动或服务管理；但 Kali 专属分支、镜像、元软件包、培训镜像工作流和攻防发行版相关内容，请使用 kali-linux。
其他基于 Debian 的发行版	确认软件源模型	不要假定其行为与原版 Debian 或 Ubuntu 相同。

步骤 2：收集当前系统状态

cat /etc/os-release
uname -r
ps -p 1 -o comm=
dpkg-query -W -f='${Package}\t${Version}\n' 'linux-image*' systemd grub-common grub-efi-amd64 2>&1 || true
dpkg -l | grep -E "^ii.*(systemd|grub|pipewire|nvidia|mesa)" | head -15
apt-cache policy
command -v systemctl >/dev/null 2>&1 && systemctl --failed
journalctl -b -p warning..alert 2>&1 || true
findmnt /boot
findmnt /boot/efi
command -v grub-install >/dev/null 2>&1 && grub-install --version
lsblk -f
echo "Session=$XDG_SESSION_TYPE Desktop=$XDG_CURRENT_DESKTOP"
loginctl list-sessions 2>&1 || true
command -v systemctl >/dev/null 2>&1 && systemctl status display-manager 2>&1 || true
command -v systemctl >/dev/null 2>&1 && systemctl --user --failed 2>&1 || true
command -v systemctl >/dev/null 2>&1 && systemctl --user status pipewire pipewire-pulse wireplumber 2>&1 || true
command -v systemctl >/dev/null 2>&1 && systemctl --user status xdg-desktop-portal 2>&1 || true
command -v systemctl >/dev/null 2>&1 && systemctl status apparmor 2>&1 || true
command -v aa-status >/dev/null 2>&1 && aa-status 2>&1 || true
command -v wpctl >/dev/null 2>&1 && wpctl status
command -v bluetoothctl >/dev/null 2>&1 && bluetoothctl show
command -v snap >/dev/null 2>&1 && snap list | head -10
command -v flatpak >/dev/null 2>&1 && flatpak list | head -10
lspci -k | grep -Ei 'vga|3d|display'
journalctl -b | grep -Ei 'nvrm|nvidia|amdgpu|i915|xe|drm' 2>&1 || true
journalctl --user -b | grep -Ei 'portal|pipewire|webrtc|obs' 2>&1 || true
lsmod | grep '^v4l2loopback'
command -v dkms >/dev/null 2>&1 && dkms status
findmnt -t btrfs
command -v systemctl >/dev/null 2>&1 && systemctl status fstrim.timer 2>&1 || true
apt list --upgradable 2>&1 | tail -n +2

步骤 3：只加载相关参考资料

如果主机运行 Ubuntu 24.04 LTS，或用户计划从 24.04 升级到 26.04，请尽早加载 references/derivatives-and-hwe.md。其中涵盖了中间版本带来的变动、桌面会话变更、 应用替换和 GUI 工具变更；如果将 26.04 当作常规的小版本升级来处理，这些内容就会被忽略。

任务类型	参考资料
apt、dpkg、PPA、.deb 处理	references/packages-and-repos.md
systemd 单元、定时器、journal、覆盖配置	references/systemd-and-journal.md
GRUB、内核、initramfs、EFI、恢复	references/boot-kernel-and-recovery.md
Ubuntu HWE、发行版升级、Debian 类别、Mint/Pop/Devuan/Kali 专属内容	references/derivatives-and-hwe.md
Wayland、X11、GNOME、KDE、Cinnamon、COSMIC、PipeWire	references/desktop-audio-and-bluetooth.md
显示管理器、会话启动、挂起/恢复、电源、混合显卡	references/session-display-and-mobile.md
GPU 驱动、Vulkan、Steam、Proton、游戏	references/graphics-and-gaming.md
OBS、WebRTC、屏幕共享、虚拟摄像头	references/capture-and-sharing.md
ext4、Btrfs、LUKS、LVM、TRIM、休眠	references/storage-and-rollback.md
AppArmor 拒绝记录、unattended-upgrades 状态	references/security-and-updates.md
远程游戏、控制器、输入	references/remote-gaming-input-and-tooling.md
Linux 核心运维命令和 Debian 工具	references/base-linux-and-cli.md
Debian/Ubuntu 常见故障模式	references/gotchas-and-special-situations.md

默认情况下不要加载所有参考资料。选择与故障模式匹配的资料；只有在第一层没有问题时，才继续扩展。

第 4 步：一次只更改一层

• 先修复软件包状态，再调试可能因库过期而出问题的服务。
• 先修复服务配置，再判定 systemd 已损坏。
• 先修复挂载点和加载器状态，再重建 initramfs。
• 在 Ubuntu 上，区分“原生 Debian 行为”和“Ubuntu snap/HWE/PPA 行为”。
• 在 Pop!_OS 上，区分“Ubuntu 行为”和“System76 固件与电源管理行为”。
• 优先采用可撤销的步骤：软件包锁定、备份内核、apt-mark、保存配置。
• 在升级发行版、变更内核、处理文件系统或修复引导加载器之前，创建快照或备份。

重大变更（升级发行版、会移除软件包的 full-upgrade、移除内核、重新安装 GRUB、清除 PPA、更改 LUKS 或 LVM）：展示确切命令及其作用（通过 apt-get -s 模拟事务、列出将移除的软件包，或说明目标设备），取得明确确认后再执行，然后进入第 5 步。在无人值守运行中，停留在计划阶段。确切命令见 references/derivatives-and-hwe.md（升级发行版）、references/boot-kernel-and-recovery.md（内核、GRUB、实时介质 chroot）和 references/storage-and-rollback.md（LUKS、LVM）。

第 5 步：结束前进行验证

apt-cache policy package_name
systemctl status unit_name
journalctl -u unit_name -b
ls -l /boot/vmlinuz-* /boot/initrd.img-*

如果内核或引导文件发生了变更，先确认每个内核都有 initrd，并对缺少 initrd 的内核运行 sudo update-initramfs -u -k <version>。然后，仅在确认引导加载器为 GRUB 时运行 sudo update-grub（command -v update-grub），并通过 grep -E "menuentry|initrd" /boot/grub/grub.cfg 确认条目。如果某项检查失败，请修复它所指向的层，然后返回第 4 步。只有在理解引导路径且至少保留一个已知可用的条目时，才重新启动。

---

故障排查模式

保持跨层排查，避免复杂化：

1. 确认当前发行版、版本、会话类型、内核和软件包渠道。
2. 找出故障层：软件包状态、系统服务、用户服务、引导路径、桌面会话、图形或应用。
3. 更改配置前先查看日志。
4. 一次只更改一层，并重新测试。
5. 优先采用已知可用的基线，而不是不断叠加调整。

核心日志检查：

journalctl -b -p warning..alert
journalctl --user -b
dmesg --level=err,warn
journalctl -u unit_name -b
journalctl --user -u pipewire -u wireplumber -u xdg-desktop-portal -b

需要关联分析而非第一轮精确定位时，进行广泛的模式检查：

journalctl -b | grep -Ei 'nvrm|nvidia|amdgpu|i915|xe|drm' 2>&1 || true
journalctl --user -b | grep -Ei 'portal|pipewire|webrtc|obs' 2>&1 || true

如果问题看起来仅出现在桌面环境中，请对比一个干净的基线：

• GNOME、KDE、Cinnamon 与 COSMIC
• 浏览器 WebRTC 与打包客户端
• 直接启动游戏与使用 Gamescope 或 MangoHud
• 原版内核与 HWE 内核

---

默认决策

• Debian stable 意味着保守更新。 混用软件源时要锁定版本。选择性地使用 backports。在没有过渡计划的情况下，避免在 stable 上安装 testing 或 sid 软件包。
• Ubuntu LTS 意味着节奏可预测。 Ubuntu 26.04 是当前基线，但从 24.04 升级到 26.04 会包含三个中间版本和最终 LTS 的差异更新。桌面、应用和工作流的变化可能比版本号的跨度所暗示的更大。
• Ubuntu Desktop 在 26.04 中的默认情况已改变。 Ubuntu Desktop 默认仅支持 Wayland，新安装时也不再默认安装旧版 Software & Updates 图形界面。在全新安装的 26.04 系统上，24.04 时代博客文章中的图形界面优先故障排查建议可能不再适用。
• 优先使用 systemd 原生工具。 优先使用 systemctl、journalctl、timedatectl 和 localectl，再考虑发行版封装工具。
• 将 PPA 视为例外，而非默认选择。 添加 PPA 前，先检查维护者、签名密钥、更新情况和软件包来源。及时移除失效的 PPA。
• 优先使用发行版软件包，而非第三方软件源。 优先使用 Debian backports、Ubuntu 官方软件源或供应商软件包；只有在发行版提供的方案确实不足时，才考虑 PPA。将供应商软件源限制在其负责的软件包范围内。
• 先缩小范围，再扩大操作。 先使用 apt-cache policy、apt list --upgradable 和针对性安装，再考虑大范围重装。升级缓慢时，先找出被保留的软件包和分阶段更新，再强制选择依赖解析方案。将软件包索引更新限制在必要范围内；在脚本中反复运行 apt update 会浪费时间并增加负载。
• 首先将 snap 视为沙盒环境。 接口和权限限制问题比软件包缺陷更能解释多数 snap 故障。
• GRUB 和 initramfs 属于同一个子系统。 内核元软件包、update-initramfs、update-grub 和 EFI 回退机制必须相互匹配。
• 桌面故障往往是会话故障。 在 Wayland 上，用户单元、门户和会话环境变量与软件包列表同样重要。
• 游戏故障往往是软件栈不匹配。 更常见的原因是驱动分支错误、缺少 i386 用户空间、缺少固件或 Proton 路径损坏，而非“Linux 游戏体验差”。
• 采集故障通常是门户或 PipeWire 故障。 OBS、浏览器 WebRTC、Discord 和 Teams 常在屏幕录制路径上出错。
• AppArmor 的问题往往隐而不显，直到故障发生。 在 Ubuntu 上，如果服务或二进制文件莫名其妙地失败，请检查 aa-status 和日志中的拒绝记录。
• 固件与软件包是分开的。 fwupd 和供应商工具用于更新硬件固件。不要指望 apt upgrade 能修复 BIOS 或 SSD 固件。

---

快速分诊清单

症状	首先检查
安装后软件包异常	先运行 apt update。依赖损坏？运行 apt -f install。有锁定的软件包？运行 apt-mark showhold。混用了不同发行版？运行 apt-cache policy
更新后服务无法运行	是否需要合并配置？运行 ucf 或 dpkg --configure -a。检查单元覆盖配置和 journalctl -b
内核操作后无法启动	检查 GRUB 菜单、备用内核和 initramfs。从实时介质启动后，挂载根分区和 ESP，然后在 chroot 前绑定挂载 /dev、/proc、/sys 和 /run；请使用启动恢复参考文档，不要照搬单行 chroot 命令。
PPA 导致系统故障	如果可用，运行 ppa-purge；或者先通过 apt-cache policy 检查软件包来源，再手动降级并移除
Snap 应用运行异常	检查 snap connections、snap info、限制级别和接口
更新后桌面异常	检查 XDG_SESSION_TYPE、portal、Xwayland 和用户服务。在 Ubuntu 26.04 上，确认用户没有误以为默认仍提供旧版 Ubuntu Xorg 会话。
蓝牙音频问题	检查 BlueZ 配对、PipeWire 节点和声卡配置文件
游戏黑屏或崩溃	检查 GPU 驱动（专有驱动还是 Mesa）、Vulkan、Steam i386 库、Gamescope/MangoHud
屏幕共享故障	检查 Wayland 还是 X11、portal 后端和 PipeWire 用户单元
挂起/恢复导致桌面故障	检查睡眠状态、GPU 日志、锁屏和显示管理器
更换内核后 NVIDIA/模块消失	检查 DKMS 状态：运行 dkms status，确认模块是为 uname -r 构建的，并检查 HWE 过渡
一切都说不通	查看常见问题参考文档——混用软件源、过期的 PPA、DKMS 状态异常、AppArmor 拒绝记录、HWE 元软件包不匹配

---

参考文件

• references/packages-and-repos.md - apt 和 dpkg 快速检查、依赖损坏和安装中断后的恢复、PPA 安全和 ppa-purge
• references/systemd-and-journal.md - systemd 服务调试、单元覆盖配置、用户单元、journal 分诊
• references/boot-kernel-and-recovery.md - GRUB、内核元软件包、initramfs、EFI、恢复和实时 ISO chroot
• references/derivatives-and-hwe.md - Ubuntu HWE、发行版升级、Debian 版本差异、Mint、Pop!_OS、Devuan 和 Kali 范围说明
• references/desktop-audio-and-bluetooth.md - X11 与 Wayland、GNOME、KDE、Cinnamon、COSMIC、portals、PipeWire、蓝牙
• references/session-display-and-mobile.md - 显示管理器、会话启动、挂起/恢复和电源问题的初步检查
• references/graphics-and-gaming.md - NVIDIA、AMD、Intel、Vulkan、Steam、Proton、Gamescope、MangoHud
• references/capture-and-sharing.md - OBS、WebRTC 屏幕共享、Discord/Teams、硬件编码、虚拟摄像头
• references/storage-and-rollback.md - ext4、Btrfs、LUKS、LVM、TRIM、休眠、恢复
• references/security-and-updates.md - AppArmor、unattended-upgrades 和 needrestart 的初步检查
• references/remote-gaming-input-and-tooling.md - 远程串流和控制器输入的初步检查
• references/base-linux-and-cli.md - Linux 核心检查命令和 update-alternatives 等 Debian 工具
• references/gotchas-and-special-situations.md - Debian/Ubuntu 常见故障模式的简短清单

---

输出约定

完整约定请参阅 references/output-contract.md。

• 技能名称： DEBIAN-UBUNTU
• 交付内容类别： audits
• 模式： 有条件。当调用任务是分析、审查、审计或改进现有仓库内容时，遵循 references/output-contract.md 中有关报告篇幅和证据的规则，并将交付内容写入 docs/local/audits/debian-ubuntu/<YYYY-MM-DD>-<slug>.md。当调用任务是回答问题、讲解概念、构建新产物或生成内容时，可自由作答，不受该约定限制。
• 严重级别： P0 | P1 | P2 | P3 | info（参见共享约定；仅用于审计/审查模式）。

相关技能

• shell-scripting - shell 语法、zsh 或 bash 行为、脚本可移植性
• networking - 网络服务、DNS、VPN、防火墙设计
• docker - 容器运行时和镜像相关事项，而非主机发行版管理
• kubernetes - 位于主机 OS 管理之上的集群和清单工作
• ansible - 在多台机器上将 Linux 变更编写为代码
• security-audit - 加固和安全审查，而非常规的软件包／服务管理
• rhel-fedora - RPM 系发行版管理，而非 Debian 系的行为
• nixos - NixOS 和声明式 Nix 系统管理，而非基于 apt 的管理
• kali-linux - Kali 特有的分支、镜像和攻击工作流相关事项
• opnsense-pfsense - OPNsense 和 pfSense 设备相关工作，而非 Linux 主机管理
• arch-linux - Arch Linux 和 CachyOS 管理（此技能的上游灵感来源）
• update-docs - 在进行了大量系统管理变更并引入新的运维注意事项后使用

---

规则

1. 运行会造成重大影响的变更前，先确认。 展示确切命令及其执行计划，等待明确同意，然后进行验证。无人值守运行时，必须停留在计划阶段。
2. 确认已安装的 Ubuntu 内核路线。 HWE 可能是 Desktop 安装的默认选项，也可能是显式选择。检查与发行版版本对应的元软件包，并在切换路线前验证驱动兼容性。
3. 绝不跳过发行版版本。 Debian 和 Ubuntu 升级必须一次跨越一个受支持的版本步骤（Ubuntu LTS 到 LTS 算一个受支持的步骤）；先通过 full-upgrade 完成当前版本升级。