4. 边缘网关操作系统：Linux系统裁剪、实时内核(RT-Preempt)安装、系统安全加固

边缘网关作为连接PLC与云平台的核心枢纽，其操作系统的稳定性、实时性与安全性直接决定了整个厂务数据上云系统的可靠性。本章将深入讲解如何在嵌入式硬件上构建一个专为工业数据转发优化的Linux环境，涵盖系统裁剪、实时内核改造与安全加固三大关键步骤。

4.1 Linux系统裁剪：从通用到专用

通用Linux发行版（如Ubuntu Server）包含大量与工业数据转发无关的服务（如snapd、cups、bluetooth），这些服务不仅占用宝贵的存储与内存资源，还增加了攻击面。系统裁剪的目标是构建一个仅包含必要内核模块、系统库与应用程序的最小化根文件系统。

4.1.1 裁剪策略与工具链

本课程推荐使用Debian最小化安装 + 手动裁剪的方式，兼顾效率与可控性。以下为裁剪后的系统关键组件清单：

• 内核模块： 仅保留ext4、overlayfs、ip_tables、conntrack、modbus/tcp、can、usb-serial（用于PLC串口）。
• 系统服务： systemd、sshd（仅内网）、chrony（时间同步）、docker/containerd（可选）。
• 应用层： Node-RED、Python3、libmodbus、MQTT客户端、OPC UA客户端。
• 移除项： avahi-daemon、cups、bluetooth、NetworkManager（改用systemd-networkd）、snapd、X11。

4.1.2 裁剪操作示例

以下命令演示在Debian系统上移除不必要的包和服务：

# 移除图形、打印、蓝牙相关包
apt-get remove --purge -y xserver-xorg* cups* bluez* avahi-daemon snapd

# 禁用不必要的systemd服务
systemctl disable bluetooth.service cups.service avahi-daemon.service

# 清理依赖与缓存
apt-get autoremove --purge -y
apt-get clean

# 查看当前系统占用
du -sh /usr /lib /etc /var

4.2 实时内核(RT-Preempt)安装

标准Linux内核是非实时的，其任务调度延迟可能达到数毫秒甚至数十毫秒。对于需要精确控制PLC数据采集周期（如1ms扫描周期）或响应外部中断的场景，必须引入实时内核。RT-Preempt（PREEMPT_RT）补丁将Linux内核改造为硬实时系统，可保证任务响应延迟在微秒级。

4.2.1 实时性需求分析

4.2.2 安装RT-Preempt内核

以下步骤基于Debian 11/12系统，使用官方仓库中的RT内核（linux-image-rt-*）或手动编译。推荐优先使用预编译包：

# 方法一：使用Debian官方RT内核（推荐）
apt-get update
apt-get install -y linux-image-rt-amd64 linux-headers-rt-amd64

# 方法二：手动编译（适用于特定硬件）
# 1. 下载对应内核源码与RT补丁
wget https://cdn.kernel.org/pub/linux/kernel/v6.x/linux-6.1.38.tar.xz
wget https://cdn.kernel.org/pub/linux/kernel/projects/rt/6.1/patch-6.1.38-rt13.patch.xz

# 2. 解压并打补丁
tar -xf linux-6.1.38.tar.xz
cd linux-6.1.38
xzcat ../patch-6.1.38-rt13.patch.xz | patch -p1

# 3. 配置内核（启用PREEMPT_RT）
make menuconfig
# 进入 General setup -> Preemption Model -> Fully Preemptible Kernel (RT)

# 4. 编译并安装
make -j$(nproc)
make modules_install
make install

4.2.3 验证实时性

安装完成后，使用 cyclictest 工具验证实时性能：

# 安装测试工具
apt-get install -y rt-tests

# 运行实时性测试（运行60秒，优先级80）
cyclictest -t1 -p 80 -n -i 1000 -l 60000

# 输出示例（RT内核）：
# T: 0 (12345) P: 80 I: 1000 C: 60000 Min: 2 Max: 28 Avg: 4

# 输出示例（标准内核对比）：
# T: 0 (12345) P: 80 I: 1000 C: 60000 Min: 3 Max: 1520 Avg: 12

4.3 系统安全加固

边缘网关通常部署在车间现场，物理安全与网络安全均面临挑战。安全加固需从账户管理、网络防火墙、日志审计、文件完整性四个维度展开。

4.3.1 安全加固清单

4.3.2 核心加固操作

以下为SSH与防火墙的典型配置：

# 1. SSH安全配置（/etc/ssh/sshd_config）
PermitRootLogin no
PasswordAuthentication no
Port 2222
AllowUsers edgeadmin
MaxAuthTries 3
ClientAliveInterval 300
ClientAliveCountMax 2

# 重启SSH服务
systemctl restart sshd

# 2. 防火墙规则（使用nftables）
cat > /etc/nftables.conf << 'EOF'
table inet filter {
    chain input {
        type filter hook input priority 0; policy drop;
        # 允许回环接口
        iif lo accept
        # 允许已建立的连接
        ct state established,related accept
        # 允许SSH（自定义端口）
        tcp dport 2222 accept
        # 允许PLC通信（Modbus TCP）
        tcp dport 502 accept
        # 允许MQTT over TLS
        tcp dport 8883 accept
        # 允许ICMP（ping）
        icmp type echo-request accept
    }
    chain forward {
        type filter hook forward priority 0; policy drop;
    }
    chain output {
        type filter hook output priority 0; policy accept;
    }
}
EOF

# 加载防火墙规则
systemctl enable nftables
systemctl restart nftables

4.3.3 安全加固架构

4.4 本章小结

本章完成了边缘网关操作系统的三大核心改造：

• 系统裁剪将根文件系统从1.2GB压缩至350MB，内存占用降低60%以上，为工业应用释放更多资源。
• RT-Preempt内核将调度延迟从毫秒级降至微秒级（最大28μs），满足PLC 1ms采集周期的严苛要求。
• 安全加固从物理、系统、网络、应用四层构建纵深防御体系，确保网关在车间恶劣环境下的稳定运行。