📚 课程目录第4章常见问题

4. 常见问题

在USB Gadget开发中，ConfigFS（Configuration File System）是用户空间配置USB设备功能的桥梁。挂载失败或权限不足是工程师最常遇到的启动障碍，通常表现为 mount: /sys/kernel/config: permission denied 或 configfs is not supported。本章系统梳理三类核心原因：内核编译选项缺失、挂载点权限设置不当、以及LSM（Linux Security Module）策略拦截。

4.1 内核支持：CONFIG_USB_CONFIGFS 必须开启

ConfigFS 依赖内核编译时启用 CONFIG_USB_CONFIGFS 及其子功能。若内核未包含该选项，mount -t configfs none /sys/kernel/config 将返回 Operation not supported。

  检查方法： 运行 zcat /proc/config.gz | grep CONFIG_USB_CONFIGFS 或查看 /boot/config-$(uname -r)。输出应为 CONFIG_USB_CONFIGFS=y 或 =m。

下表列出关键内核选项及其作用：

内核选项	类型	说明
`CONFIG_USB_CONFIGFS`	bool / tristate	主开关，必须开启
`CONFIG_USB_CONFIGFS_SERIAL`	tristate	串口（ACM）功能
`CONFIG_USB_CONFIGFS_ACM`	tristate	抽象控制模型
`CONFIG_USB_CONFIGFS_ECM`	tristate	以太网控制模型
`CONFIG_USB_CONFIGFS_MASS_STORAGE`	tristate	大容量存储
`CONFIG_USB_CONFIGFS_F_HID`	tristate	HID 设备

常见陷阱： 即使主选项开启，若所需子功能（如 CONFIG_USB_CONFIGFS_ECM）未编译为模块或内置，后续创建对应功能目录时会报 Function not implemented。

以下SVG图展示ConfigFS在内核中的依赖关系与挂载流程：

4.2 挂载点权限设置

即使内核支持，若挂载点 /sys/kernel/config 不存在或权限不足，mount 也会失败。常见场景包括：

挂载点未创建： 某些最小化系统未预创建 /sys/kernel/config 目录。
权限不足： 非 root 用户执行 mount，或挂载点被其他进程占用。
文件系统类型冲突： 已挂载其他文件系统到同一路径。

标准挂载步骤：

# 创建挂载点（若不存在）
mkdir -p /sys/kernel/config

# 挂载 configfs
mount -t configfs none /sys/kernel/config

# 验证挂载
mount | grep configfs

下表列出常见挂载失败错误码及对策：

错误信息	可能原因	解决方案
`mount: /sys/kernel/config: No such file or directory`	挂载点目录不存在	`mkdir -p /sys/kernel/config`
`mount: /sys/kernel/config: Permission denied`	非 root 用户执行	使用 `sudo` 或以 root 身份执行
`mount: /sys/kernel/config: Device or resource busy`	路径已被挂载	`umount /sys/kernel/config` 后重试
`mount: unknown filesystem type 'configfs'`	内核未编译 configfs 支持	重新编译内核，开启 `CONFIG_USB_CONFIGFS`

以下SVG图展示挂载点权限检查的决策流程：

4.3 SELinux / AppArmor 策略影响

启用 SELinux 或 AppArmor 的系统会额外限制 ConfigFS 的访问。即使 root 用户执行 mount，LSM 策略也可能阻止操作或阻止后续文件创建。

4.3.1 SELinux 场景

SELinux 默认策略通常不允许 mount 操作在 /sys/kernel/config 上执行。典型错误：

avc:  denied  { mount }  for  pid=1234  comm="mount"  name="/"  dev="configfs"  scontext=unconfined_u:unconfined_r:unconfined_t:s0  tcontext=system_u:object_r:unlabeled_t:s0  tclass=filesystem

解决方案：

临时关闭 SELinux： setenforce 0（仅用于调试）。
添加策略规则： 使用 audit2allow 生成允许规则。
修改文件上下文： semanage fcontext -a -t configfs_t "/sys/kernel/config(/.*)?" 并执行 restorecon -R /sys/kernel/config。

4.3.2 AppArmor 场景

AppArmor 通过 profile 限制 mount 系统调用。常见错误日志位于 /var/log/syslog：

audit: type=1400 audit(1234567890.123:45): apparmor="DENIED" operation="mount" profile="/usr/sbin/mount" name="/sys/kernel/config/" pid=1234 comm="mount" requested_mask="m" denied_mask="m"

解决方案：

临时禁用 AppArmor： systemctl stop apparmor（调试用）。
编辑 profile： 在 /etc/apparmor.d/ 中添加 mount options=(rw) /sys/kernel/config/。
重新加载： apparmor_parser -r /etc/apparmor.d/usr.sbin.mount。

生产环境建议： 不要永久关闭 LSM。应编写最小权限策略，仅允许 mount 操作在 /sys/kernel/config 路径上执行，并限制后续文件创建范围。

以下SVG图展示LSM策略对ConfigFS的拦截路径：

4.4 综合排查清单

当遇到 ConfigFS 挂载失败时，按以下顺序排查：

检查内核配置： grep CONFIG_USB_CONFIGFS /boot/config-$(uname -r)
确认挂载点存在： ls -ld /sys/kernel/config
检查挂载状态： mount | grep configfs
查看 dmesg 日志： dmesg | tail -20 寻找 configfs 相关错误
检查 LSM 日志： ausearch -m avc --start recent（SELinux）或 grep apparmor /var/log/syslog（AppArmor）
临时关闭 LSM 验证： setenforce 0 或 systemctl stop apparmor

快速验证脚本：

#!/bin/bash
# configfs_check.sh - 快速诊断 ConfigFS 挂载问题
echo "=== 1. 内核选项 ==="
zgrep CONFIG_USB_CONFIGFS /proc/config.gz 2>/dev/null || echo "未找到 /proc/config.gz"
echo "=== 2. 挂载点 ==="
ls -ld /sys/kernel/config 2>&1
echo "=== 3. 当前挂载 ==="
mount | grep configfs || echo "未挂载"
echo "=== 4. SELinux 状态 ==="
getenforce 2>/dev/null || echo "SELinux 未启用"
echo "=== 5. dmesg 错误 ==="
dmesg | grep -i configfs | tail -5