Gentoo 中文社区 – Gentoo 中文社区

社区主域名迁往 gentoozh.org

Wed, 01 Jul 2026 00:00:00 +0000

Gentoo 中文社区官网今天正式迁往 gentoozh.org。论坛（forum.gentoozh.org）也已搭好，预计于 7 月 5 日前后上线。旧地址（gentoo.org.cn、gentoocn.org）全部 301 永久跳转，书签和已有链接不会失效，但建议尽快更新。

不仅仅换个域名

域名迁移是最近一系列整合的收尾。社区沉寂了十多年，积下来的东西不少：TG、QQ 群七八个、域名三四个、官网多年没人动、gentoo-zh GitHub 组织的权限无法统一管理。群组分散导致社群割裂，交流变得十分困难。

最近把这些整理了一下：

官网重建
gentoo-zh 组织拥有了权限
IRC 和 Matrix 桥接好了
各个群统一了
域名的控制权集中了
组织 Gentoo Wiki 中文翻译

其中域名是最重要的一块。这两周的推进速度较快，通知也多，还请大家见谅。

为什么选择 gentoozh.org

旧域名有合规方面的要求，架设论坛、Matrix、下载站这类服务需要走一套我们作为志愿者项目难以完成的流程。gentoozh.org 是国际域名，没有这层限制，一直在我们手里。这次 @zakkaus 会把域名和相关服务的管理权限分配给对应的负责人，避免权限再次丢失。

名字里的 zh 是 zhōnghuá（中华）的缩写，比 cn 更符合社区的定位。archlinuxcn 很早就讨论过改成 archlinuxzh，因为体量推不动。我们没有那样的历史包袱，既然要动就做到位。

感谢

gentoo.org.cn 由 aieu 老师长期持有，在社区沉寂的这十多年里一直续着。旧域名保留重定向，不会断链。

同时也感谢清风老师的指点，这次域名整合的决定很大程度上来自他的建议。清风老师在 2014 年建立了这个社区，没有他就没有 gentoo-zh 的起点。

影响

几乎没有影响，旧地址将全部跳转至新地址：

https://gentoo.org.cn → https://gentoozh.org
https://www.gentoo.org.cn → https://gentoozh.org
https://forum.gentoo.org.cn → https://forum.gentoozh.org
https://gentoocn.org 下所有地址同理

如果发现哪里还留着旧域名没更新，欢迎到 GitHub 开 issue 或直接 PR，也可以在 Telegram、Matrix 交流群中告诉我们。

希望从这里开始，gentoo-zh 能放下历史包袱重新出发，同时也希望大家一起努力

01/07/2026

扩展阅读

社区域名与基础设施讨论

如何参与 Gentoo Wiki 的翻译工作

Tue, 30 Jun 2026 00:00:00 +0000

前置要求

拥有基础的 Linux 知识
基本掌握 Gentoo 系统和 Portage 包管理的使用
良好的英语基础和语言习惯，并熟悉大部分计算机专业词汇

如果你自觉满足以上要求，哪怕不能满足个别要求，只要你有相当的耐心，那就大胆开工。

准备工作

首先需要注册 Gentoo Wiki 账号：Special:CreateAccount。

注册完成后，进入下方链接留言，为自己的账号申请翻译权限：Gentoo Wiki:Translator account requests。

在等待通过申请期间，可以通过空空前辈的翻译历史来学习。

开始

鉴于新手可能难以找到翻译的界面，可以使用这个链接搜索你想要翻译的页面：

或者你也可以直接在这个页面开始工作，新增或校验过时的翻译。

在这个页面直接翻译时，大部分内容没有上下文，请谨慎翻译句子。

例如，新增翻译：

校验过时翻译：

当你打腻了这些小怪后，就可以开始挑战翻译整篇文章了。找到自己想翻译的未翻译页面：

此时记得转到“所有”以防漏过上下文，或直接访问原文链接：

翻译规范

拼写

尽量避免不必要的缩写词。
专有名词的拼写与项目官方主页里面的拼写保持一致。

措辞

文章的措辞应做到十分正式、专业且精确。
编写时，请注意不光说怎么样，还要回答为什么？解释远胜单纯的指导。
不要加入个人评论，后者应该放到讨论页面，一般不要用第一人称。
不要说现在、当前等等，请给出具体的时间。
编辑内容时，保持和页面其它内容的一致性，用一样的人称描述。
在多个选项间提供选择时，不要感性地建议一个或另一个，请客观地描述每一个选择的优点和缺点，让用户自行选择。
翻译页面时，请尽量避免使用第二人称代词“你”或“您”。确实需要使用第二人称代词时，如果页面中现存的翻译已使用其中的一种，请与其保持一致；如果使用了多种，请考虑统一为其中的一种；如果页面中没有使用，则可以自行决定使用哪一种，但请确保在翻译中保持一致。

三个基本原则

总是正确使用编辑摘要；
不要一次进行大量的改动；
进行页面重排前应进行讨论。

这三条是中文 wiki 约定俗成的编辑规则，整理自 Arch Linux 中文 Wiki · 三个基本原则。

中文排版

中文之间不要加空格（即使样式不同，比如包含链接）；
尽量避免使用中文斜体。

中英文混排

英文和数字使用半角字符；
中文文字之间不加空格；
中文文字与英文、阿拉伯数字及 @ # $ % ^ & * . ( ) 等符号之间加空格；
中文标点之间不加空格；
中文标点与前后字符（无论全角或半角）之间不加空格；
翻译时，正文的英文常见标点等需要换为中文标点；
当半角符号 / 表示“或者”之意时，与前后的字符之间均不加空格。

以上排版规则为中文 wiki 约定俗成，整理自 Arch Linux 中文 Wiki · 风格。

关于 AI 翻译

Gentoo 理事会于 2024 年 4 月通过了 AI 政策：

严禁向 Gentoo 提交任何借助自然语言处理人工智能工具创建的内容。如果此类工具的使用不涉及版权、伦理或质量问题，则可以重新考虑此禁令。

机器翻译与大语言模型同属此类工具，因此请勿用 AI 代为翻译后直接提交，译文须由你本人完成。这既是政策要求，也关乎 wiki 质量：AI 译文常常看似通顺，实则用词不精准、容易出现歧义，因而需要大量人工复核，反而增加工作量。

借助词典、术语库、智能工具帮助理解是可以的，但最终的句子请自己斟酌、自己落笔。

扩展阅读

Gentoo Wiki 翻译帮助页面

Linux 内核 DirtyClone 本地提权漏洞：Gentoo 更新建议

Sat, 27 Jun 2026 00:00:00 +0000

JFrog 安全研究团队于 2026 年 6 月 25 日公开了 Linux 内核本地提权利用 DirtyClone。它利用 CVE-2026-43503 中 socket buffer（skb）共享分片标志传递不完整的问题，可将原本只读的文件页缓存变成内核中的写入目标。该漏洞的 CVSS v3.1 评分为 8.8。

截至 2026-06-27，Gentoo 目前提供的受支持内核版本已经包含 CVE-2026-43503 的上游修复。更新内核软件包后需要重启才能切换到新版本；旧内核仍在运行期间不受保护。

修复方案

Gentoo 对以下三个内核软件包提供安全支持：

软件包名称	目前状态
`sys-kernel/gentoo-kernel`	目前版本已覆盖上游修复
`sys-kernel/gentoo-kernel-bin`	目前版本已覆盖上游修复
`sys-kernel/gentoo-sources`	目前版本已覆盖上游修复

sys-kernel/vanilla-sources 不在 Gentoo 安全支持范围内。

先同步仓库，再更新自己正在使用的内核软件包。Gentoo 的 Distribution Kernel 文档说明，这类内核通过 Portage 安装并随软件包更新。下面以预编译内核为例；使用其他受支持内核时替换软件包名称：

emerge --sync
emerge --ask --update sys-kernel/gentoo-kernel-bin

gentoo-kernel 和 gentoo-kernel-bin 用户应确认新内核已经安装并由引导程序选中。gentoo-sources 用户还需要按自己的配置重新编译和安装内核。随后重启，并确认实际运行的版本：

uname -r

Linux CNA 记录列出的各稳定分支修复下限如下；主线方面，JFrog 记录的首个修复标签是 v7.1-rc5，Linux CNA 列出的正式修复版本是 7.1。使用自行配置的内核或不受 Gentoo 支持的内核软件包时，可据此检查：

内核分支	首个修复版本
5.10	5.10.257
5.15	5.15.208
6.1	6.1.174
6.6	6.6.141
6.12	6.12.91
6.18	6.18.33
7.0	7.0.10
7.1	v7.1-rc5；正式版为 7.1

Gentoo 已宣布正在终止对 5.10 和 5.15 分支的支持，并计划于 2026-07-03 从仓库移除相关包。仍在使用这些分支的用户应迁移到受支持的新 LTS 分支。

漏洞影响

成功利用需要同时具备以下条件：

系统运行缺少完整修复的内核；
攻击者能够在本机执行代码；
攻击者拥有或能够在用户/网络命名空间中取得 CAP_NET_ADMIN；
内核允许攻击者配置所需的 XFRM/IPsec 和数据包（packet）复制路径。

非特权用户命名空间常被用来取得网络命名空间内的 CAP_NET_ADMIN，因此启用该功能的主机风险更高。允许不受信任工作负载创建用户和网络命名空间，或向容器授予网络管理能力的多租户与容器环境，也应优先更新。

JFrog 的利用会让 IPsec 对文件页缓存执行原地解密，从而修改内存中的特权程序，例如 /usr/bin/su。磁盘文件本身不会改变，常规的磁盘完整性检查可能无法发现攻击；研究人员也没有观察到相应的内核日志或审计记录。

技术原因

SKBFL_SHARED_FRAG 表示 skb 的分片引用了由外部持有或与其他对象共享的内存。后续代码准备原地写入时，应根据这个标志先执行写时复制，避免修改仍与文件页缓存共享的物理页。

CVE-2026-43503 修复前，__pskb_copy_fclone()、skb_shift()、skb_gro_receive()、skb_gro_receive_list()、skb_segment() 和 tcp_clone_payload() 等分片转移路径没有完整传递该标志。复制后的 skb 仍引用相同页面，却被错误报告为没有共享分片。攻击者可借助数据包（packet）复制路径将这样的 skb 送入 ESP 原地解密流程，最终写入只读文件的页缓存。

该修复提交的 author date 是 5 月 16 日，5 月 21 日由网络子系统维护者合并；包含该提交的首个主线标签是 5 月 24 日发布的 Linux v7.1-rc5。CVE 于 5 月 23 日公开，JFrog 于 6 月 25 日发布完整分析。

缓解方案

以下措施只用于暂时阻断公开的 DirtyClone 利用路径，不能替代内核更新。所有命令需要以 root 身份执行（sudo su 或在每条命令前加 sudo）。

禁止创建新的用户命名空间

Gentoo 可以使用 Linux 官方 max_user_namespaces 参数，临时设置并写入持久配置：

sysctl -w user.max_user_namespaces=0
printf '%s\n' 'user.max_user_namespaces=0' > /etc/sysctl.d/99-disable-userns.conf

sysctl -w 执行时会直接输出确认行：

user.max_user_namespaces = 0

确认当前值和持久配置均已生效：

sysctl user.max_user_namespaces
# user.max_user_namespaces = 0

cat /etc/sysctl.d/99-disable-userns.conf
# user.max_user_namespaces=0

这会把当前用户命名空间中任一用户可新建的用户命名空间数量设为 0；在宿主机的初始用户命名空间中执行时，也会限制特权进程。已经存在的命名空间不会因此消失；如果依赖这项措施临时防护，建议写入持久配置后在维护窗口重启。依赖用户命名空间的程序和沙盒可能受到影响。

这项措施只阻止一般本地用户通过新建用户命名空间取得 CAP_NET_ADMIN。它不能防护已经持有该 capability 的程序、特权容器或既有用户命名空间中的攻击者，也不能阻断不依赖用户命名空间的 Copy Fail 和 DirtyFrag/RxRPC 路径；这类环境必须更新内核，或确认相应模块已被有效阻断。

部分 Debian/Ubuntu 内核另有 kernel.unprivileged_userns_clone 参数，它不是通用的上游或 Gentoo 内核接口。

阻断相关内核模块

不使用 IPsec 或 RxRPC 的系统可以阻止相关模块加载，并卸载已经加载的模块。对 DirtyClone 本身，关键是 esp4/esp6；rxrpc 对应的是较早的 DirtyFrag/RxRPC（CVE-2026-43500）路径：

mkdir -p /etc/modprobe.d
printf '%s\n' \
 'install esp4 /bin/false' \
 'install esp6 /bin/false' \
 'install rxrpc /bin/false' \
 > /etc/modprobe.d/block-dirtyfrag.conf

modprobe -r esp4 esp6 rxrpc

for module in esp4 esp6 rxrpc; do
 test ! -d "/sys/module/$module" || echo "$module is still active"
done

根据 kmod 官方手册，modprobe.d 的 install 指令会用指定命令替代正常模块加载，modprobe 的 -r 参数用于卸载模块。不要忽略卸载错误或检查命令的输出。如果模块正在使用、已经编入内核，或由 initramfs 提前加载，这项措施不会完整生效；配置还需要进入 initramfs，或改用禁止用户命名空间或更新内核。屏蔽 esp4/esp6 会停用相应的 IPv4/IPv6 ESP 功能并影响依赖它们的 IPsec 连接。

更新内核后撤销缓解措施

完成内核更新并重启到新版本后，可以移除临时配置并恢复默认值：

rm /etc/modprobe.d/block-dirtyfrag.conf
rm /etc/sysctl.d/99-disable-userns.conf
sysctl -w user.max_user_namespaces=2147483647

移除 modprobe.d 配置后，esp4/esp6/rxrpc 恢复按需加载，无需手动执行 modprobe。sysctl -w 立即恢复 user namespace 限制；2147483647 是该参数的内核默认值。

与早期漏洞的关系

DirtyClone 延续了 DirtyFrag 的页缓存写入手法，但 Copy Fail、DirtyFrag 的两条路径和 Fragnesia 各有不同根因，临时阻断方式也不能互换。参见背景文章：Linux 页缓存写入型提权漏洞梳理：Copy Fail、DirtyFrag、Fragnesia 与 DirtyClone。

Gentoo 于 5 月 19 日公告，受支持内核当时已经包含最新的 Fragnesia v5 补丁。该公告早于 DirtyClone 修复，不能单独说明 CVE-2026-43503 的状态；本文以 Linux CVE 记录和 Gentoo 在 6 月 27 日提供的内核版本为准。

参考资料

Linux CNA 的 CVE-2026-43503 JSON 记录
上游修复提交 48f6a5356a33
Dissecting and Exploiting Linux LPE Variant: DirtyClone — JFrog Security Research
Ubuntu CVE-2026-43503
Copy Fail, Dirty Frag, and Fragnesia kernel vulnerabilities — Gentoo Linux
Gentoo 内核软件包版本：gentoo-kernel / gentoo-kernel-bin / gentoo-sources
Gentoo Distribution Kernel 文档
Linux user sysctl 文档
Copy Fail（CVE-2026-31431）

Linux 页缓存写入型提权漏洞梳理：Copy Fail、DirtyFrag、Fragnesia 与 DirtyClone

Sat, 27 Jun 2026 00:00:00 +0000

2026 年 3 月至 6 月，研究人员陆续报告或公开了多组能够修改 Linux 文件页缓存的本地提权漏洞。Copy Fail、DirtyFrag、Fragnesia 和 DirtyClone 经常被放在一起讨论，因为它们都能把只读文件映射成内核中的写入目标，但它们不是同一个漏洞，也不共享完全相同的触发条件。

Copy Fail 不属于 DirtyFrag 的同一根因：它发生在 AF_ALG；DirtyFrag、Fragnesia 和 DirtyClone 则集中在网络 skb、XFRM/ESP 或 RxRPC 路径。只缓解其中一条路径，不能证明其他路径也安全。

共同的利用结果

这些漏洞利用的共同点是 Linux 页缓存和零复制路径之间的内存共享：

攻击者以只读方式打开 /usr/bin/su 等特权程序，使目标页面进入页缓存；
splice()、vmsplice() 或相关零复制路径让内核缓冲区继续引用同一物理页；
加密或解密代码在原地写回数据，但没有先建立私有副本；
页缓存中的可执行代码被修改，磁盘文件通常保持不变；
再次执行目标程序时，内核使用已被修改的缓存页面，攻击者由此取得 root 权限。

这里的关键不是绕过文件权限直接写磁盘，而是让内核误把仍与只读文件共享的页面当成可写缓冲区。因为修改发生在内存中，磁盘完整性检查可能看不到变化。

这一共同模型分别见于 Copy Fail 原始公告、DirtyFrag 原始研究、Fragnesia 原始研究和 JFrog 的 DirtyClone 分析。

差异一览

名称	CVE	主要问题	旧内核的临时阻断方式
Copy Fail	CVE-2026-31431	AF_ALG `algif_aead` 原地操作	禁止 `algif_aead`，或用 seccomp 阻止 AF_ALG socket
DirtyFrag（ESP）	CVE-2026-43284	UDP splice 分片未正确标记，ESP 对共享分片原地解密	阻止取得 `CAP_NET_ADMIN`，或禁止 `esp4`、`esp6`
DirtyFrag（RxRPC）	CVE-2026-43500	RxRPC 未对外部共享分片建立私有副本	禁止 `rxrpc`；关闭 user namespace 单独无效
Fragnesia	CVE-2026-46300	`skb_try_coalesce()` 合并分片时丢失共享标志	阻止取得 `CAP_NET_ADMIN`，或禁止 `esp4`、`esp6`
DirtyClone	CVE-2026-43503	多个分片转移函数未传递共享标志	阻止取得 `CAP_NET_ADMIN`，或禁止 `esp4`、`esp6`

更新内核始终是首选。表中的模块和 namespace 设置只适合无法立即更新的旧系统，而且必须结合实际内核配置验证是否生效。

Copy Fail：AF_ALG 原地操作

Copy Fail（CVE-2026-31431）位于内核加密接口 AF_ALG。algif_aead 曾对来自不同映射的源和目标执行原地操作，使与文件页缓存共享的页面进入可写目标 scatterlist。公开利用通过 AF_ALG、splice() 和 authencesn 构造受控写入，不需要网络连接、用户命名空间或 CAP_NET_ADMIN。原始公告给出了利用条件、修复提交和披露时间线。

上游修复 a664bf3d603d 撤销了 2017 年引入的 algif_aead 原地优化，恢复源、目标分离。无法更新时可禁止模块：

printf '%s\n' 'install algif_aead /bin/false' > /etc/modprobe.d/disable-algif-aead.conf
modprobe -r algif_aead

对于容器、CI runner 等不受信任工作负载，还可以通过 seccomp 禁止创建 AF_ALG socket。该措施只覆盖 Copy Fail，不会阻止 DirtyFrag 的 ESP 或 RxRPC 路径。

DirtyFrag：两条漏洞链在一起

根据原始研究，DirtyFrag 不是单一 CVE，而是公开利用中串联的两条页缓存写入路径：

CVE-2026-43284（XFRM/ESP）：IPv4/IPv6 的 UDP splice 路径没有为外部共享分片设置 SKBFL_SHARED_FRAG，ESP 随后跳过写时复制并原地解密。
CVE-2026-43500（RxRPC）：RxRPC 过去只在 skb 已克隆时建立私有线性副本，没有覆盖仍持有外部共享分页分片的 skb。

ESP 路径写入能力强、模块普遍存在，但配置 XFRM 通常需要在网络命名空间中取得 CAP_NET_ADMIN。RxRPC 路径不要求创建 user namespace，却依赖系统提供并加载 rxrpc 模块。原始研究将两条路径组合，是为了覆盖不同发行版的默认配置，而不是因为两者必须同时触发。

两条主线修复分别是 f4c50a4034e6 和 aa54b1d27fe0。

Fragnesia：合并 skb 时丢失标志

Fragnesia（CVE-2026-46300）是独立的后续漏洞。skb_try_coalesce() 把来源 skb 的分页分片挂到目标 skb 时，没有同步 SKBFL_SHARED_FRAG。后续 ESP 代码因此认为目标 skb 没有共享分片，并在页缓存页面上原地解密。V12 的原始说明记录了利用模型、受影响条件和临时缓解。

公开利用使用 ESP-in-TCP：先把文件页面 splice 到 TCP 接收队列，再切换到 espintcp ULP 处理已有数据。攻击者在新建的 user/network namespace 中取得 CAP_NET_ADMIN，配置 XFRM 状态并控制 AES-GCM 参数，最终逐字节修改 /usr/bin/su 的页缓存副本。

DirtyClone：标志在更多转移路径中丢失

DirtyClone 是 JFrog 对 CVE-2026-43503 中 __pskb_copy_fclone() 利用变种的命名。按照 JFrog 的技术分析，攻击者使用 netfilter TEE 或等价的 nf_dup_ipv4() 路径复制数据包；复制后的 skb 继续引用文件页缓存，却没有保留共享分片标志。它随后进入 ESP 原地解密路径，形成受控写入。

CVE-2026-43503 的上游修复不只处理 __pskb_copy_fclone()，还覆盖 skb_shift()、skb_segment()、skb_gro_receive()、skb_gro_receive_list() 和 tcp_clone_payload() 等分片转移函数。主线提交为 48f6a5356a33，5 月 21 日合并；首个包含修复的主线标签是 5 月 24 日发布的 v7.1-rc5。

详细的 Gentoo 更新和临时缓解命令参见：Linux 内核 DirtyClone 本地提权漏洞：Gentoo 更新建议。

为什么修复会连续出现

最初的修复处理了会直接写入共享页面的加密路径，也开始使用 SKBFL_SHARED_FRAG 标记外部分片。后续研究发现，只要某个 skb 合并、复制或分片转移函数没有传递该标志，写入端仍可能把共享页面误判为私有页面。

因此这些补丁不是简单重复：DirtyFrag 修正初始标记和写入端检查，Fragnesia 修正合并路径，CVE-2026-43503 再补齐其他分片转移路径。JFrog 的结论是，只有应用整组已知修复，才能覆盖当前公开的利用模型。

披露与修复时间线

日期	事件
2026-03-23	Copy Fail 报告给 Linux 内核安全团队
2026-04-01	Copy Fail 修复进入主线
2026-04-22	CVE-2026-31431 发布
2026-04-29	Copy Fail 公开披露；DirtyFrag/RxRPC 的漏洞详情和补丁提交内核安全团队及 netdev
2026-04-30	DirtyFrag/ESP 的漏洞详情和初版补丁提交内核安全团队及 netdev
2026-05-01	CVE-2026-43500 在 Linux CNA 记录中预留
2026-05-04	DirtyFrag/ESP 的 shared-frag 方案补丁提交 netdev；它后来成为最终合并的修复
2026-05-07	DirtyFrag/ESP 修复 `f4c50a4034e6` 合并到 netdev；DirtyFrag 研究完整公开
2026-05-08	`f4c50a4034e6` 合并到主线；CVE-2026-43284 发布
2026-05-10	DirtyFrag 的 RxRPC 修复进入主线
2026-05-11	CVE-2026-43500 发布
2026-05-13	Fragnesia 披露并向 netdev 提交修复；该提交在主线 linux.git 中的 committer date 为 5 月 14 日
2026-05-16	覆盖多个分片转移函数的补丁写成并提交上游；这是 `48f6a5356a33` 的 author date
2026-05-19	Gentoo 发布内核公告；JFrog 报告独立发现的 `__pskb_copy_fclone()` 变种
2026-05-21	CVE-2026-43503 修复合并到主线
2026-05-23	CVE-2026-46300 与 CVE-2026-43503 发布
2026-05-24	Linux v7.1-rc5 发布，成为首个包含 CVE-2026-43503 修复的主线标签
2026-06-25	JFrog 发布 DirtyClone 完整分析

时间线分别依据 Copy Fail 公告、DirtyFrag 详细时间线、Fragnesia 说明、JFrog 时间线、上游提交元数据和 Linux CNA 的 CVE 发布记录整理。

f4c50a4034e6 的补丁邮件头显示作者日期为 5 月 4 日、committer date 为 5 月 5 日，但这两个日期本身不是 netdev 或主线的合并日期。DirtyFrag 的详细时间线明确记录该补丁在 5 月 7 日进入 netdev、5 月 8 日进入主线。README 概述中“5 月 7 日公开时没有 patch 或 CVE”的注释与详细时间线所列的 4 月 30 日、5 月 4 日公开补丁不一致，因此本文以事件更完整、带有邮件列表及提交链接的详细时间线为准，不用该注释推导合并时间。

每个漏洞在哪个版本修复

下表按 Linux CNA 的 CVE JSON、上游提交元数据和原始研究整理。“上游修复记录”明确区分提交对象日期、子系统开发树和主线 linux.git；任何日期都不表示所有发行版从当天起自动安全，稳定分支和发行版仍需分别回移补丁。

漏洞	上游修复记录	Linux CNA 的主线修复版本	Linux CVE 记录中的稳定分支修复版本
Copy Fail（CVE-2026-31431）	2026-04-01	7.0	5.10.254、5.15.204、6.1.170、6.6.137、6.12.85、6.18.22、6.19.12
DirtyFrag/ESP（CVE-2026-43284）	2026-05-07 进入 netdev；5 月 8 日进入主线	7.1	5.10.255、5.15.205/206、6.1.171/172、6.6.138、6.12.87、6.18.28、7.0.5
DirtyFrag/RxRPC（CVE-2026-43500）	2026-05-10	7.1	6.6.140、6.12.88、6.18.29、7.0.6；5.10、5.15、6.1 没有列出官方稳定版修复下限
Fragnesia（CVE-2026-46300）	2026-05-13 披露并提交 netdev；该提交在主线 linux.git 中的 committer date 为 5 月 14 日	7.1	5.10.257、5.15.208、6.1.174、6.6.141、6.12.91、6.18.33、7.0.10
DirtyClone（CVE-2026-43503）	2026-05-16 提交；5 月 21 日合并；5 月 24 日发布首个修复标签	7.1；首个修复标签为 v7.1-rc5	5.10.257、5.15.208、6.1.174、6.6.141、6.12.91、6.18.33、7.0.10

CVE-2026-43284 的 Linux CVE 记录目前在 5.15 和 6.1 分支各列出两个连续修复版本，表中如实保留。使用这两个分支时应选择较新的 5.15.206、6.1.172 或更高版本，并继续检查发行版是否回移了 CVE-2026-43500。

哪个版本以后才覆盖整条漏洞链

如果使用未经发行版额外打补丁的上游稳定内核，必须同时满足五个 CVE。下表是将五份 Linux CNA 记录逐分支比较、取其中最晚修复下限后得到的结果；它是对官方版本数据的汇总计算，不是某一份 CVE 记录单独给出的整组结论：

上游分支	覆盖本文五个 CVE 的最低可确认版本	结论
5.10	无法只凭版本确认	CVE-2026-43500 没有列出该分支的官方修复下限，必须核对发行版或自行回移的补丁
5.15	无法只凭版本确认	同上
6.1	无法只凭版本确认	同上
6.6	6.6.141	该版本及以后覆盖五个 CVE
6.12	6.12.91	该版本及以后覆盖五个 CVE
6.18	6.18.33	该版本及以后覆盖五个 CVE
6.19	无法只凭版本确认	Linux CNA 只为 Copy Fail 列出 6.19.12，后续四个 CVE 没有列出 6.19 稳定版修复下限；应迁移到受维护分支
7.0	7.0.10	该版本及以后覆盖五个 CVE
7.1	7.1	正式版覆盖五个 CVE；CVE-2026-43503 从 v7.1-rc5 起已修复

不存在“某个日期以后编译的内核一定安全”这种判断方法。补丁在主线合并后，各稳定分支和发行版的回移时间不同；相反，发行版也可能在较旧的版本号上提前回移补丁。应同时检查内核分支、完整软件包版本和发行版安全状态。

Gentoo 用户如何判断是否安全

判断整个漏洞链是否修复，不能只检查某一个 CVE，也不能只看内核主版本。发行版可能提前回移补丁，也可能保留同一版本号而增加修订后缀。

Gentoo 在 5 月 19 日的公告中说明，sys-kernel/gentoo-kernel、sys-kernel/gentoo-kernel-bin 和 sys-kernel/gentoo-sources 是安全支持范围，当时已经包含最新的 Fragnesia v5 补丁。6 月 27 日可用的受支持版本也已经达到 CVE-2026-43503 的上游修复版本。

截至 2026-06-27，可作为 Gentoo 已知受保护基线的稳定软件包版本如下。“受保护”包括补丁修复，也包括 Gentoo 明确采用的功能停用缓解；不同架构的稳定关键字可能不同，应以本机 emerge -pv 的结果为准：

分支	`gentoo-kernel` / `gentoo-kernel-bin`	`gentoo-sources`	状态
5.10	不再列为安全基线	不再列为安全基线	Gentoo 正在终止该分支的支持，计划于 2026-07-03 移除
5.15	不再列为安全基线	不再列为安全基线	同上
6.1	6.1.174_p1	6.1.174-r1	CVE-2026-43503 已修复；Gentoo patchset 将 AF_RXRPC 标为 `BROKEN`，阻断缺少上游回移的 RxRPC 路径
6.6	6.6.141_p1	6.6.141-r1	当前稳定受保护基线
6.12	6.12.93 / 6.12.93-r1	6.12.93-r1	当前稳定受保护基线
6.18	6.18.35 / 6.18.35-r1	6.18.35-r1	当前稳定受保护基线

6.1 的处理可以在 gentoo-kernel / gentoo-kernel-bin 的 6.1.174_p1 patchset以及 gentoo-sources 的 genpatches-6.1-190.base 中核对：前者的 0013-net-rxrpc-mark-AF_RXRPC-as-BROKEN-and-reverse-depend.patch 和后者的 1525_net-rxrpc-mark-AF_RXRPC-as-BROKEN.patch 都将 AF_RXRPC 标记为 BROKEN。这是一项缓解，不应写成已经回移 CVE-2026-43500 的修复代码。

其他版本信息来自 Gentoo 软件包数据库：gentoo-kernel、gentoo-kernel-bin和 gentoo-sources。这里列的是 6 月 27 日仓库中的已知受保护稳定基线，不是永久固定的推荐版本。用户应同步仓库、更新到当前可用版本并重启，而不是继续停留在表中的最低版本或依赖临时 workaround。

测试分支方面，7.0.12 及以上的 gentoo-kernel / gentoo-kernel-bin / gentoo-sources 已超过上游 7.0.10 的完整修复下限；gentoo-sources 7.1.x 也包含整组修复。这些版本在 6 月 27 日仍使用 ~arch 关键字，不应与稳定分支混为一谈。

sys-kernel/vanilla-sources 不在 Gentoo 安全支持范围内。自行配置的内核、其他内核软件包或自行挑选补丁的用户，应分别核对以下五个 CVE：

CVE-2026-31431
CVE-2026-43284
CVE-2026-43500
CVE-2026-46300
CVE-2026-43503

尤其要注意：CVE-2026-43500 的官方稳定分支回移范围与其他漏洞不同，不能仅凭 CVE-2026-43503 的修复版本推断整个漏洞链已经补齐。

参考资料

Copy Fail（CVE-2026-31431）
Dirty Frag: Universal Linux LPE
Fragnesia（CVE-2026-46300）
Dissecting and Exploiting Linux LPE Variant: DirtyClone — JFrog Security Research
Copy Fail, Dirty Frag, and Fragnesia kernel vulnerabilities — Gentoo Linux
Gentoo Distribution Kernel 文档
kmod 的 modprobe.d 与 modprobe 官方手册 / modprobe.8.scd
Linux CNA CVE JSON：CVE-2026-31431 / CVE-2026-43284 / CVE-2026-43500 / CVE-2026-46300 / CVE-2026-43503

Gentoo Linux with ZFS（转载）

Thu, 18 Jun 2026 00:00:00 +0000

背景

在学生时代我就非常喜欢 Gentoo Linux，在使用 Gentoo Linux 的过程中学习到了非常多有用宝贵的 Linux 基础知识，这些知识在我的职业生涯早期发挥了相当重要的作用。但是由于工作后的忙碌，以及工作需要使用公司的设备，逐渐没有空维护我的 Gentoo 操作系统。同时也由于笔记本性能后来确实无法跟上，后来将我的 XPS 13 多装了一个 Arch Linux 使用至今。

所幸随着我的游戏机纯 Windows 系统的性能逐渐下滑，无法维持正常的游戏质量，我决定新购设备，同时满足我的游戏以及回归 Gentoo 的需求。

本文主要记录这次安装 Gentoo 的过程，有些东西可能不会详细展开。

编者注：如作者所说，本文是一份安装实录、并不逐步展开，默认你对 Gentoo 已有基础（分区、chroot、emerge、内核与引导等）。想认真学、把系统弄明白，推荐照 Gentoo 官方手册（中文）一步步装——自己动手、搞懂每一步，本来就是本社区的初衷。如果只是想先体验一下，社区定制的 Live ISO 带图形安装器（Calamares），能快速装上（同样支持 ZFS）；但那只是一条省事的捷径，认真用 Gentoo 还是建议自己走一遍手册。

设备配置

CPU: AMD Ryzen 9 9950X3D 16-Core Processor
MainBoard: MPG X870E CARBON WIFI
Memroy Size: DDR5 96G
Disk: 2 * 2T (ZFS mirror)

准备

文件

adminCD，支持 zfs 的 liveCD 安装环境
Gentoo Stage3 ISO 文件

我们使用 Gentoo 的 adminCD 来进行安装，我使用的是 ventoy 进行 USB 启动镜像制作。

Gentoo 相关的文件，可以在 Downloads 中找到，也可以选择一个镜像站进行加速下载。

编者建议：想给下载 Gentoo 文件提速，可以用中文社区下载页汇总的官方镜像站，见下载页 → 镜像源；下载页的社区 Live ISO 同样支持 ZFS 安装（含原生加密）。

BIOS setup

关闭 secure boot

安装

ZFS

由于我安装 Windows 时未手动分区，万恶的 Windows 这次只给我分了 100M 的 EFI 分区，所以我在此处需要进行额外的处理。

我要将 2根 SSD 前 16G 切出来做 ESP 分区，都切是为了做对齐，总体的分区布局如下：

Part. # Size Partition Type Partition Name
----------------------------------------------------------------
1007.0 KiB free space
1 16.0 GiB EFI system partition EFI System Partition
2 1.8 TiB Linux filesystem ZFS0
327.5 KiB free space

Part. # Size Partition Type Partition Name
----------------------------------------------------------------
1007.0 KiB free space
1 16.0 GiB Linux filesystem
2 1.8 TiB Linux filesystem ZFS1
327.5 KiB free space

编者注（补充操作）：原文只给了分区布局、没说具体怎么分。建分区、设类型、格式化的标准操作，照官方手册「准备磁盘」做即可（cfdisk / gdisk 都行）。本文是 ZFS 镜像布局，照官方做的同时注意这几点：

认盘别认错：先 lsblk -f + ls -al /dev/disk/by-id/，用型号 + 序列号（…2406GT / …240A4C）对上是哪根，别只认 nvme0 / nvme1。
每根盘第一个 16G：盘 A 设 EFI System、mkfs.vfat -F 32 做 ESP；盘 B 设 Linux swap（别当 SLOG——下面建池命令本站已去掉 SLOG，见那里的编者注）。
两根盘剩余的第二个分区不用格式化——直接留给下面的 zpool create ... mirror，由 ZFS 接管（建池后才会显示 zfs_member）。

使用如下的命令创建 ZFS Pool，我们在 2 根 SSD 都划分了 16G，但是其中只需要一个 16G 做 ESP 分区，由于我的内存已经相对够大，所以我将另一根未设为 ESP 类型的，用作 ZFS 的 SLOG。根据需求，你也可以作为 SWAP 分区。

其中的 id 可以通过 ls -al /dev/disk/by-id/ 得到。

zpool create -o feature@allocation_classes=enabled \
 -o feature@async_destroy=enabled \
 -o feature@bookmarks=enabled \
 -o feature@bookmark_v2=enabled \
 -o feature@device_rebuild=enabled \
 -o feature@device_removal=enabled \
 -o feature@draid=enabled \
 -o feature@embedded_data=enabled \
 -o feature@empty_bpobj=enabled \
 -o feature@enabled_txg=enabled \
 -o feature@encryption=enabled \
 -o feature@extensible_dataset=enabled \
 -o feature@filesystem_limits=enabled \
 -o feature@hole_birth=enabled \
 -o feature@large_blocks=enabled \
 -o feature@large_dnode=enabled \
 -o feature@livelist=enabled \
 -o feature@log_spacemap=enabled \
 -o feature@obsolete_counts=enabled \
 -o feature@project_quota=enabled \
 -o feature@resilver_defer=enabled \
 -o feature@spacemap_histogram=enabled \
 -o feature@spacemap_v2=enabled \
 -o feature@userobj_accounting=enabled \
 -o feature@zpool_checkpoint=enabled \
 -o feature@zstd_compress=enabled \
 -o ashift=12 \
 -o autoexpand=on \
 -o autoreplace=on \
 -o autotrim=on \
 -O acltype=posixacl \
 -O canmount=off \
 -O devices=off \
 -O normalization=formC \
 -O relatime=on \
 -O xattr=sa \
 -O compression=zstd \
 -O dnodesize=auto \
 -O overlay=off \
 zroot \
 mirror \
 nvme-ZHITAI_TiPlus7100_2TB_ZTA72T0AB2452406GT-part2 \
 nvme-ZHITAI_TiPlus7100_2TB_ZTA72T0AB245240A4C-part2

编者注　命令里各参数（-o 池属性、-O 数据集属性、feature@* 池特性）的权威含义，见 OpenZFS 官方文档：zpoolprops · zpool-features · zfsprops。

另：原文这里把另一根盘的 16G 当 ZFS 的 SLOG（即 log 一项）。消费级盘没有掉电保护（PLP）、又和镜像挤在同一颗盘上，对桌面 / 游戏机只会拖慢——本站已从上面的 zpool create 里去掉该 SLOG（那 16G 按原文自己提的退路当 swap 或空着即可）。

创建 rootfs 卷，注意此处我使用了 zfs 加密，如果不需要可以去掉。

zfs create -o mountpoint=legacy \
 -o canmount=noauto \
 -o encryption=aes-256-gcm \
 -o keylocation=prompt \
 -o keyformat=passphrase \
 zroot/root

创建 home 卷，此处将加密设置成与父卷一样的方式，但是不添加密码，我们就可以在开机时输入密码后共享同一个密码，无需二次解密。

zfs create -o mountpoint=legacy \
 -o canmount=noauto \ 
 -o encryption=aes-256-gcm \
 zroot/root/home

挂载对应的卷和分区，注意此处挂载的是 ESP 分区

mount -t zfs zroot/root /mnt/gentoo
mount -t zfs zroot/root/home /mnt/gentoo/home
mount /dev/nvme0n1p1 /mnt/gentoo/boot

安装 Gentoo

下载解压 stage 3，我这里 example 选择 systemd 和 desktop 的，根据需求选择你要的。

官方手册：安装 stage3 文件、配置编译选项（make.conf）

cd /mnt/gentoo
wget https://distfiles.gentoo.org/releases/amd64/autobuilds/20250406T165023Z/stage3-amd64-desktop-systemd-20250406T165023Z.tar.xz
tar xpvf stage3-*.tar.xz --xattrs-include='*.*' --numeric-owner

配置 /etc/portage/make.conf：

USE="cjk dist-kernel dracut egl -handbook -kwallet networkmanager sddm systemd-boot wayland wacom"
MAKEOPTS="--jobs 16 --load-average 25"
INPUT_DEVICES="wacom"
CFLAGS="-march=native -O3 -pipe"
CXXFLAGS="${CFLAGS}"
CPU_FLAGS="aes avx avx2 avx512_bf16 avx512_bitalg avx512_vbmi2 avx512_vnni avx512_vp2intersect avx512_vpopcntdq avx512bw avx512cd avx512dq avx512f avx512ifma avx512vbmi avx512vl f16c fma3 mmx mmxext pclmul popcnt rdrand sha sse sse2 sse3 sse4_1 sse4_2 sse4a ssse3 vpclmulqdq"
CPU_FLAGS_X86="${CPU_FLAGS}"
GENTOO_MIRRORS="https://mirrors.ustc.edu.cn/gentoo https://mirrors.tuna.tsinghua.edu.cn/gentoo https://distfiles.gentoo.org"

其中的 CPU_FLAGS 可以通过 cpuid2cpuflags 得到。

配置必要的 package USE /etc/portage/package.use/custom：

# required by Locez
*/* CPU_FLAGS_X86: aes avx avx2 avx512_bf16 avx512_bitalg avx512_vbmi2 avx512_vnni avx512_vp2intersect avx512_vpopcntdq avx512bw avx512cd avx512dq avx512f avx51
2ifma avx512vbmi avx512vl f16c fma3 mmx mmxext pclmul popcnt rdrand sha sse sse2 sse3 sse4_1 sse4_2 sse4a ssse3 vpclmulqdq
*/* VIDEO_CARDS: -* amdgpu radeonsi nvidia

遵循新的标准，在这里继续配置 CPU_FLAGS 和 VIDEO_CARDS，其中显卡的需要根据硬件具体进行配置，我这里含有 AMD 的集显和 nvidia 的显卡

准备 chroot

官方手册：chroot、安装基础系统

cp --dereference /etc/resolv.conf /mnt/gentoo/etc/
mount --types proc /proc /mnt/gentoo/proc
mount --rbind /sys /mnt/gentoo/sys
mount --make-rslave /mnt/gentoo/sys
mount --rbind /dev /mnt/gentoo/dev
mount --make-rslave /mnt/gentoo/dev
mount --bind /run /mnt/gentoo/run
mount --make-slave /mnt/gentoo/run

chroot /mnt/gentoo /bin/bash
source /etc/profile
export PS1="(chroot) ${PS1}"

配置时区与区域

ln -sf /usr/share/zoneinfo/Asia/Shanghai /etc/localtime

cat /etc/locale.gen | grep -v ^#
en_US.UTF-8 UTF-8
zh_CN.UTF-8 UTF-8

locale-gen

配置内核与 ZFS 内核模块

官方手册：配置内核

emerge-webrsync
emerge -av sys-kernel/linux-firmware
emerge -av sys-kernel/gentoo-kernel-bin
emerge -av sys-fs/zfs sys-fs/zfs-kmod

配置 dracut 生成 initramfs，添加 ZFS 支持，以便开机的时候能正确使用加载 ZFS，其中 systemd-ask-password 是因为上述创建 ZFS Pool 的步骤中，我们在创建子卷的时候填写了密码，用这个来提示我们输入密码。

注意：配置前后的空格是必须的

/etc/dracut.conf.d/zol.conf

fsck="yes"
add_dracutmodules+=" zfs systemd-ask-password "

生成 initramfs

emerge --config sys-kernel/gentoo-kernel-bin

安装更新系统

emerge --ask --verbose --update --deep --newuse @world app-shells/fish
systemctl enable networkmanager

安装 KDE 与 SDDM

官方手册：桌面环境（KDE 只是作者的选择，GNOME / Xfce / Sway 等都行）

emerge -auDv kde-plasma/plasma-meta sddm
systemctl enable sddm

修改 sddm 配置，文章有实效性，最新的配置可以参考： plasma-wayland.conf

[General]
DisplayServer=wayland
GreeterEnvironment=QT_WAYLAND_SHELL_INTEGRATION=layer-shell
InputMethod=
[Theme]
Current=breeze
[Wayland]
CompositorCommand=kwin_wayland --no-global-shortcuts --no-lockscreen --inputmethod maliit-keyboard --locale1

创建普通用户，并且配置对应权限分组，其中 sddm 踩坑在登录后需要 daemon group 才能正常运行（截至 20250413 仍然是这样，请注意时间有效性）。

官方手册：收尾工作（用户管理）

useradd -m -G daemon,adm,wheel,audio,video,users -s /usr/bin/fish locez
passwd locez

生成 fstab

官方手册：配置系统（fstab）

emerge -a genfstab
genfstab -U / > /etc/fstab

配置启动项，通过 bootctl 安装，并且检查 /boot 下的配置是否正确

官方手册：配置引导器

bootctl install
ls /boot

❯ cat /boot/loader/entries/gentoo-6.12.21-gentoo-dist.conf
# Boot Loader Specification type#1 entry
# File created by /usr/lib/kernel/install.d/90-loaderentry.install (systemd 256.10)
title Gentoo Linux
version 6.12.21-gentoo-dist
sort-key gentoo
options dokeymap root=ZFS=zroot/root ro
linux /gentoo/6.12.21-gentoo-dist/linux
initrd /gentoo/6.12.21-gentoo-dist/initrd

编者注：文中用 systemd-boot 直接引导 ZFS 根（root=ZFS=zroot/root）。如果想用专为 ZFS 设计的引导方案，也可以了解 ZFSBootMenu——社区 Live ISO 的 ZFS 安装用的就是它；这也只是一种选择。

重启进入系统

exit
cd
umount -l /mnt/gentoo/dev{/shm,/pts,}
umount -n -R /mnt/gentoo
zpool export zroot
reboot

到此为止， Gentoo 的整个安装过程已经结束，顺利的话能直接进入系统，不顺利的话只能 liveCD 继续 chroot 修问题啦。

如果需要 chroot 修问题，这个时候需要在 liveCD 中解密，首次创建的时候输入密码没这个步骤

zpool import zroot
zfs load-key zroot/root

登录进去普通用户以后如果声音不正常还需要启动 pipewire 和 wireplumber

systemctl --user enable --now pipewire-pulse pipewire wireplumber

双系统启动配置

由于使用了 2 个 ESP 分区，双系统启动有两种方式，一种是开机的时候选择启动项，另一种则使用 systemd-boot 管理。

虽然 systemd-boot 无法直接管理另一个 ESP 分区中的启动，但是我们可以通过 UEFI SHELL 进行跳转。

首先安装 edk2，将其拷贝到我们的 /boot 中，这样启动选择后可以得到一个 UEFI SHELL，我们可以通过这个 SHELL 得到 Windows 的 FS alias

emerge -1 -a edk2-bin
cp /usr/share/edk2-ovmf/Shell.efi /boot/shellx64.efi

重启然后登录到 UEFI SHELL 中，使用 map 命令得到 Windows 的 UEFI 的 FS alias

然后手动创建以下启动项 /boot/loader/entries/windows.conf，其中 HD0b 就是 FS alias

title Windows 11
efi /shellx64.efi
options -nointerrupt -nomap -noversion HD0b:EFI\Microsoft\Boot\Bootmgfw.efi

引用

转载声明　本文为转载，已获原作者授权。原作者 Locez（个人站 locez.com），原文《Gentoo Linux with ZFS》（发布于 2025-04-13，更新于 2026-02-11）。原文以 Creative Commons Attribution-NonCommercial-ShareAlike 4.0 International（CC BY-NC-SA 4.0）协议发布，本文经作者授权、并同样以该协议转载。

本站对原文做了少量修改并标注（均为本站观点，非原作者意见）：zpool create 命令里的 SLOG（log）已去掉（理由见正文该命令下的编者注）；另补充了新手阅读提示、分区要点、下载镜像建议、ZFSBootMenu 说明，以及各步骤对应的 Gentoo 官方手册（中文）章节链接，方便照官方最新文档操作。

中文社区近期更新：Live ISO、官网、下载站与测速

Tue, 09 Jun 2026 00:00:00 +0000

把社区最近这段时间的改动整理一下，分项目说。各项都附了仓库链接，想看完整改动可以翻提交记录。

Live ISO

中文社区定制的 KDE Plasma 6 桌面 Live ISO（Gentoo-zh/Live-ISO）：

三语言开箱即用：引导菜单分简体 / 繁体 / 英文三档，整套 live 环境跟着所选语言走；装好的系统也沿用你在安装器里选的语言。
预置中文输入法：fcitx5 + rime，开箱即可输入，内置朙月拼音、注音、五笔86、仓颉、粤拼。
闭源 NVIDIA 可选：引导菜单选 NVIDIA 项会常规加载闭源驱动（需先关 Secure Boot）；不选则用开源 nouveau。
顺手的 live 桌面开关：桌面放了几个仅 live 用的一键图标，需要时点一下即可——临时关闭自动休眠 / 锁屏（折腾或装机时不被打断）、开启免密 sudo、一键开启 SSH（方便远程装机或调试）。
装好的系统是干净的：上面这些 live 便利（连同默认的 SDDM 免密自动登录）都只在 live 里，安装器装机时会复位 / 清掉，装好的系统回到 KDE 正常默认：登录要密码、sudo 要授权、休眠锁屏照常。
开箱即用的细节：PipeWire 音频、网络开机自动连、MAKEOPTS 与 CPU 指令集按你的机器自适应。

装系统推荐照 Gentoo 官方手册一步步来更稳妥；live 里也带了图形安装器（Calamares），想快速装也可以用。

安装器（Calamares）

安装器配置 Gentoo-zh/calamares-settings-gig：装机后会清掉 live 专用的残留设置，并按你在 live 里选的显卡方案配置 NVIDIA。分区时根文件系统默认 btrfs，也可选 xfs / ext4 / ZFS——选 ZFS 并勾选加密就是 ZFS 原生加密（aes-256-gcm）、由 ZFSBootMenu 引导（GRUB 读不了带原生加密的 ZFS 池，所以 ZFS 根改用 ZBM）。这套装机流程（含 ZFS 加密安装）在虚拟机上做过实机安装测试。

Live ISO 用的 overlay

Live ISO 构建所需的包来自 Gentoo-zh/gig——它是 Gig OS overlay 的 fork、专给 Live ISO 用，跟社区主 overlay gentoo-zh 不是一个。这次把其中的 Calamares 更新到支持 Python 3.14 的 3.3.14-r8，修复了 emerge --sync 的报错，并清理了一批冗余 / 失效的包。

自动构建与发布

构建流水线 Zakkaus/gentoozh-liveiso-infra：Live ISO 每周一自动编译，编好后上传到 Cloudflare R2。流水线会逐字节核对「R2 上的 = 这次编出来的」、并确认下载页已反映新镜像，一致才算上线；也加了对滚动树过渡期 USE / 关键字变化的自适应处理（见 Python 3.14 成为默认版本）。

官网

官网 gentoozh.org（源码 gentoo-zh.github.io）从 Blowfish 迁移到了 Hextra——更轻、更快、对文档和文本浏览器更友好（细节见迁移那篇）。表现层抽成了独立的 Hextra 补丁包 gentoozh-theme，补全了 SEO、页脚与无障碍。下载页也接入了下载站、补了 Live ISO 的功能说明和硬件要求，并新增了 FAQ 页。这次还给公共页面加了英文国际化，简 / 繁 / 英可切。

下载站

下载站 mirror.gentoozh.org（源码 Zakkaus/gentoozh-mirror）迁到了 Cloudflare，不再用自建服务器：ISO 存 Cloudflare R2（r2.gentoozh.org，零出口流量、全球边缘、可缓存），落地页改成 Cloudflare Worker——在边缘即时读 R2，列出最新镜像和全部历史版本，永远反映当前内容。页面保留简 / 繁 / 英三语与浅 / 深色。

测速站

测速改用 Cloudflare 官方测速——下载本来就走 Cloudflare 边缘，用它测更贴近实际下载速度；原先自建的 speed.gentoozh.org 随下载站上云一并下线。

想试 Live ISO 就到下载页。有问题欢迎到 Telegram 群或各项目的 GitHub 反馈。

Python 3.14 成为默认版本（2026-06-01）

Mon, 01 Jun 2026 00:00:00 +0000

2026-06-01 起，Gentoo 把系统默认的 Python 从 3.13 换成了 3.14。

如果你从没自己设过 PYTHON_TARGETS 或 PYTHON_SINGLE_TARGET（大多数人都没设过），那基本不用管——下次 emerge 升级时，系统会自动开始往 3.14 切。

官方公告原文：Python 3.14 to become the default on 2026-06-01（2026-04-16 发布；本机也能用 eselect news read 看）。

大多数人：等它自己升就行

很多包还在往 3.14 适配，所以不用着急——跟着平时的 @world 升级，让它慢慢切过去就好。

升级的过程是这样的：每个包在重新编译时，顺带就切到新的 Python。所以一串互相依赖的包，得都支持 3.14 了，升级才推得动；中途可能有个别命令暂时找不到依赖（已经开着的程序一般不受影响）。这些都是过渡期的正常现象，全部升完就好了。

如果你在 make.conf 里设过 Python 版本，先删掉

如果你在 make.conf 里写过 PYTHON_TARGETS 或 PYTHON_SINGLE_TARGET，先把它们删掉——官方不建议在 make.conf 里设 Python 版本，它会盖掉各个包自己该用的默认值。

下面要写的配置，统一放到 /etc/portage/package.use/python 这个文件里（package.use 是个目录，文件名随便取，这里就叫 python）。

想自己控制升级时机

下面几种做法，挑一种就行。

① 跟着默认走，自动升

什么都不设，系统会自己处理。万一中途卡住，手动跑一遍后面的「升级命令」。

② 先不升，暂时留在 3.13

往 /etc/portage/package.use/python 写：

*/* PYTHON_TARGETS: -* python3_13
*/* PYTHON_SINGLE_TARGET: -* python3_13

这只是拖一拖，早晚还是要升的。

③ 现在就升到 3.14

往 /etc/portage/package.use/python 写：

*/* PYTHON_TARGETS: -* python3_14
*/* PYTHON_SINGLE_TARGET: -* python3_14

然后跑后面的「升级命令」。等默认正式切过去之后，记得把这两行删掉——不然将来会挡住自动升到 3.15。

④ 更稳妥的分步升级

先让 3.13、3.14 两个版本并存，再慢慢撤掉 3.13。相关的包要编两遍，更慢，但中途出问题的概率更低。

第一步，往 /etc/portage/package.use/python 写（两版并存），跑一遍「升级命令」：

*/* PYTHON_TARGETS: -* python3_13 python3_14
*/* PYTHON_SINGLE_TARGET: -* python3_13

第二步，改成下面这样，再跑一遍：

*/* PYTHON_TARGETS: -* python3_13 python3_14
*/* PYTHON_SINGLE_TARGET: -* python3_14

第三步，只留 3.14，最后再升一遍：

*/* PYTHON_TARGETS: -* python3_14
*/* PYTHON_SINGLE_TARGET: -* python3_14

升级命令

切换版本时，旧的 3.13 要从整个依赖树里一起清掉；要是有掉队的旧包没收拾干净，就会报依赖冲突。所以升级要走 --deep --changed-use @world，并且升级前先把没用的孤儿包清了：

emerge --depclean
emerge -1vUD @world
emerge --depclean

Python 3.11 和 PyPy 3.11 这次也会移除

这轮还会移除对 python3_11 和 PyPy 3.11（pypy3_11）的支持。PyPy 目前没有兼容 Python 3.12 的版本，因此 Gentoo 会暂时移除 PyPy 支持，待新版本发布后再恢复。

升级时报 USE 冲突怎么办

过渡期里，如果某个包还没适配 3.14，@world 升级时可能会报 The following USE changes are necessary to proceed。这通常是暂时的：按上面 ② 的写法，给对应的包指定 Python 版本绕过去，或者等几天让包跟上，就能继续。

有问题可以到 Telegram 群或 GitHub 反馈。

网站主题从 Blowfish 迁移到 Hextra

Fri, 29 May 2026 00:00:00 +0000

继上次将站点从 Jekyll 迁移到 Hugo 之后，本站再次更换主题：从 Blowfish 迁移到 Hextra。

为什么换 Hextra

Blowfish 功能全面，但对一个以文档和教程为主的社区站来说偏重：首屏加载的脚本与样式较多，页面性能开销偏高；默认排版用于长文阅读时也不够清爽。

Hextra 基于 Tailwind CSS，为文档与博客而生：

更轻、更快：零第三方请求（无外部字体 / CDN / 追踪），首屏文本资源约 50 KB（gzip）；贡献者头像按显示尺寸自动缩放，页面性能开销明显降低；
阅读更清晰：规整的标题层级、行距与代码块排版，长文更好读；
自带全文搜索（FlexSearch）、暗色模式与响应式布局；
通过 Hugo Modules 引入，无需 Node 工具链。

主要变化

首页重做：hero + 快捷入口 + 最新文章 + 社区贡献者；
贡献者列表：自动抓取 gentoo-zh Overlay 中提交 5 次以上者，显示提交次数并按提交量排序，每月自动更新；
文章页署名显示作者头像；
文章改用 tags 分类，文章页与列表显示 #标签，可点进 /tags/ 聚合页；
首页「最新文章」提供 RSS 订阅；分享到 Telegram / 社交平台时显示站点品牌预览卡片；
下载页突出「中文社区定制 KDE 桌面 Live ISO」，新手可开箱即用；
全站简繁双语（zh-CN / zh-TW）并存；
站内全文搜索、暗色模式。

对终端浏览器友好（TUI）

应 @talk_something 群里 lzamora70（因为lzamora70菊苣过于抽象，多次销号，所以名字不一定更新的上）的提议，本站特意针对终端 / 文本浏览器做了一轮优化——毕竟是 Gentoo：

语义化的 HTML 结构与标题层级，在 lynx / w3m / links 等纯文本浏览器中排版清晰、链接可达；
每页顶部都有「跳到正文」链接，可一键跳过导航直接阅读；
图片均有恰当的替代文字（alt）；装饰性的重复图片（头像墙的循环副本、明暗两份 logo）使用空 alt，避免在文本浏览器与读屏软件中被重复朗读；
贡献者头像墙与文章作者署名在文本模式下每人只列一次；
配合 Hextra 的「以 Markdown 查看 / 复制为 Markdown」页面菜单，方便用脚本或 LLM 直接取用页面原文。

欢迎用 lynx https://gentoozh.org/ 试试。

补充：公共页面加了英文

迁移之后，又给公共页面（关于、下载、镜像列表、贡献指南这些）补了英文国际化，方便用 gentoo-zh overlay 的海外用户——现在简 / 繁 / 英都能切。要说明的是：技术文章不一定都有英文，目前只做了公共页面；英文是借翻译软件协助生成、由至今能找到的最好最贵的模型 Claude Fable 5（ultracode）负责 review 和优化的，难免有错漏，欢迎在 GitHub 指正。

反馈

Telegram 频道：@gentoocn · 群组：@gentoo_zh
提交 Issue / PR：GitHub

感谢 Blowfish 与 Hextra 主题的开发者。

网站从 Jekyll 迁移至 Hugo

Tue, 18 Nov 2025 00:00:00 +0000

经创始人 @biergaizi 授权，@Zakkaus 于 2025 年接手本站日常维护，并将站点从 Jekyll 迁移到 Hugo。

为什么换 Hugo

Jekyll 依赖 Ruby 环境，构建较慢，主题生态也不如以往活跃。Hugo 是单一 Go 二进制，构建速度快、部署简单，原生支持多语言。主题选用 Blowfish。

迁移内容

_posts 目录改用 Hugo 的 Page Bundles 组织（content/posts/<slug>/index.zh-cn.md）
Front matter 从 YAML 改为 TOML
简繁双语并存（zh-CN / zh-TW）
作者数据集中到 data/authors/
部署改走 GitHub Actions，定期自动更新贡献者列表

注：以上是当年 Jekyll → Hugo 迁移时的结构。2026 年本站迁移到 Hextra 后已调整：front matter 统一为 YAML，内容按语言分目录（content/zh-cn/、content/zh-tw/，文件名均为 index.md），作者署名改用 front matter 的 map-form（不再使用 data/authors/）。

反馈

Telegram 群：@gentoo_zh
Telegram 频道：@gentoocn
提交 Issue / PR：GitHub

感谢 @biergaizi 与 @zhcj 创立并长期维护 Gentoo 中文社区，也感谢 Blowfish 主题的开发者。

Gentoo 停止为第三方仓库提供缓存镜像（gentoo-zh 用户请更新同步源）

Tue, 07 Oct 2025 00:00:00 +0000

根据 Gentoo 官方公告，Gentoo 已停止为第三方仓库提供缓存镜像支持。从 2025-10-30 起，所有第三方仓库（包括 gentoo-zh）的镜像配置都会从官方仓库列表里移除。

这意味着什么

eselect repository、layman 等工具照常能用
官方不再为第三方仓库提供缓存镜像，改为直接从上游源（GitHub）同步
官方仓库（::gentoo、::guru、::kde、::science）不受影响，仍走镜像

已经添加过 gentoo-zh 的话

更新一下同步 URI 即可——移除再重新启用，会自动用上正确的上游源：

# 查看已安装的仓库
eselect repository list -i

# 移除旧配置
eselect repository remove gentoo-zh

# 重新启用（自动使用正确的上游源）
eselect repository enable gentoo-zh

之后照常 emerge --sync gentoo-zh。

新添加 gentoo-zh 的用户不受影响，按 Overlay 页面正常启用就行。国内直连 GitHub 慢的话，可以走国内 git 镜像。

在 Apple Silicon Mac 上安装 Gentoo Linux（M1/M2 MacBook 安装教程）

Thu, 02 Oct 2025 00:00:00 +0000

本文记录在 Apple Silicon Mac（M1/M2 系列）上安装原生 ARM64 Gentoo Linux 的完整流程。

得益于 Asahi Linux 项目团队（尤其是 chadmed）的工作，Gentoo 现已有官方 Asahi 安装指南，本文基于该指南并补充实测细节。

硬件支持（按 Asahi Feature Support 现况）：

M1、M2 全系列：可作日常桌面使用
M3：GPU 进行中，Wi-Fi / 音频等仍 TBA，不建议作桌面
M4：核心驱动多为 TBA，暂不可用
M5：官方支持表尚未列出

本文流程以 M1/M2 为准。最后核对日期：2026 年 5 月 29 日。

流程概览

必选步骤：

下载官方 Gentoo Asahi Live USB 镜像
通过 Asahi 安装程序设置 U-Boot
从 Live USB 启动
分区并挂载文件系统
解压 Stage3 并 chroot
安装 Asahi 支持套件
重启完成安装

可选步骤：LUKS 加密、自定义内核、PipeWire 音频、桌面环境。

整个流程会在 Mac 上建立 macOS + Gentoo Linux ARM64 双启动环境。

事前准备

硬件需求

Apple Silicon Mac（仅 M1/M2 可作桌面使用；M3/M4 驱动不完整，M5 尚未列入官方支持表）
至少 80 GB 可用磁盘空间，建议 120 GB 以上
稳定的 Wi-Fi 或以太网
备份所有重要数据

已知工作情况

可用：CPU、内存、存储、Wi-Fi、键盘、触控板、电池管理、内建与外接显示、USB-C / Thunderbolt。

部分支持：GPU 加速（OpenGL 部分支持）。

不可用：Touch ID、macOS 虚拟化。

1. 准备 Gentoo Asahi Live USB

1.1 下载镜像

直接使用 Gentoo 提供的 ARM64 Live USB，无需 Fedora 中转：

https://chadmed.au/pub/gentoo/

推荐 install-arm64-asahi-latest.iso（chadmed 维护的稳定符号链接），或选择有具体日期的版本以便后续复现。若遇到启动问题，可以尝试上一个稳定日期版本。

1.2 制作启动 USB

在 macOS 中：

diskutil list
diskutil unmountDisk /dev/disk4
sudo dd if=install-arm64-asahi-*.iso of=/dev/rdisk4 bs=4m status=progress
diskutil eject /dev/disk4

2. 设置 Asahi U-Boot 环境

2.1 运行 Asahi 安装程序

在 macOS Terminal 中：

curl https://alx.sh | sh

建议先访问 https://alx.sh 查看脚本内容再执行。

2.2 跟随安装程序

选择 r（Resize an existing partition to make space for a new OS）
分配给 Linux 的空间（建议至少 80 GB，可填百分比或绝对大小）
选择 UEFI environment only (m1n1 + U-Boot + ESP)
OS 名称输入 Gentoo
按指示关机

2.3 完成 Recovery 设置

等待 25 秒确保完全关机
按住电源键直到出现 “Loading startup options…”
释放电源键
在卷列表中选择 Gentoo
进入 macOS Recovery，输入用户密码（FileVault）
按指示完成设置

如遇启动循环或要求重装 macOS，请按住电源键关机后从头开始；或开机进入 macOS 重新执行 curl https://alx.sh | sh 选 p 重试。

3. 从 Live USB 启动

插入 USB 并开机，U-Boot 会自动从 USB 启动 GRUB。若需手动指定：

setenv boot_targets "usb"
setenv bootmeths "efi"
boot

设置网络（Gentoo Live USB 现在用 NetworkManager，nmtui 是最快方式）：

nmtui # 选 Wi-Fi 网络或编辑有线连接
ping -c 3 1.1.1.1 # 先用 IP 验证连通性（避开 DNS 问题）
ping -c 3 www.gentoo.org # 再测 DNS

Apple Silicon 的 Wi-Fi 驱动已包含在内核中。若不稳定，尝试 2.4 GHz 网络。

可选启用 SSH 远程操作（Live USB 用 OpenRC）：

passwd # 设 root 密码
rc-service sshd start # 启动 SSH（OpenRC 命令）
ip a | grep inet # 查看 IP 地址

4. 分区与文件系统

不要修改现有的 APFS 容器、EFI 分区或 Recovery 分区，只在 Asahi 安装程序预留的空间中操作。

查看分区：

lsblk
blkid --label "EFI - GENTO"

典型布局：

nvme0n1p1 500M Apple Silicon boot
nvme0n1p2 307.3G Apple APFS (macOS)
nvme0n1p3 2.3G Apple APFS
nvme0n1p4 477M EFI System (不要动)
(free) ~150G Linux 可用空间
nvme0n1p5 5G Apple Silicon recovery

4.1 建立根分区

使用 cfdisk /dev/nvme0n1 在空闲空间建立 Linux filesystem 类型分区。

不加密：

mkfs.btrfs /dev/nvme0n1p6 # 或 mkfs.ext4
mount /dev/nvme0n1p6 /mnt/gentoo

加密（推荐）：

cryptsetup luksFormat --type luks2 --pbkdf argon2id --hash sha512 --key-size 512 /dev/nvme0n1p6
cryptsetup luksOpen /dev/nvme0n1p6 gentoo-root
mkfs.btrfs --label root /dev/mapper/gentoo-root
mount /dev/mapper/gentoo-root /mnt/gentoo

参数说明：argon2id 抗 ASIC/GPU 暴力破解；luks2 支持更好的安全工具；M1 自带 AES 指令集，可硬件加速 aes-xts。

4.2 挂载 EFI 分区

mkdir -p /mnt/gentoo/boot
mount /dev/nvme0n1p4 /mnt/gentoo/boot

5. Stage3 与 chroot

从此处开始可参考 AMD64 Handbook，直到内核安装章节。

5.1 下载并解压 Stage3

wget 在 HTTPS 上不支持通配符，需要先从 latest-stage3-*.txt 索引文件取得当前实际的 Stage3 文件名，再下载并用 Gentoo Release Engineering 的 GPG 公钥验证：

cd /mnt/gentoo
BASE=https://distfiles.gentoo.org/releases/arm64/autobuilds

# 1. 从官方索引取得最新 Stage3 路径
STAGE3=$(wget -qO- ${BASE}/latest-stage3-arm64-desktop-systemd.txt | grep -v '^#' | cut -d' ' -f1)

# 2. 下载 tarball + 签名
wget "${BASE}/${STAGE3}"
wget "${BASE}/${STAGE3}.asc"

# 3. 取得 Gentoo Release Engineering 签名公钥（首次需要）
gpg --keyserver hkps://keys.gentoo.org --recv-keys 13EBBDBEDE7A12775DFDB1BABB572E0E2D182910 D99EAC7379A850BCE47DA5F29E6438C817072058

# 4. 验证签名（必须看到 "Good signature from ..."）
gpg --verify "$(basename ${STAGE3}).asc" "$(basename ${STAGE3})"

# 5. 解压（保持属性）
tar xpvf "$(basename ${STAGE3})" --xattrs-include='*.*' --numeric-owner

或用 links 文字浏览器手动选取：

links https://distfiles.gentoo.org/releases/arm64/autobuilds/current-stage3-arm64-desktop-systemd/

5.2 配置 Portage 仓库

mkdir --parents /mnt/gentoo/etc/portage/repos.conf
cp /mnt/gentoo/usr/share/portage/config/repos.conf /mnt/gentoo/etc/portage/repos.conf/gentoo.conf

5.3 同步系统时间

chronyd -q
date

时间错误会导致 SSL 证书验证失败和 emerge 报错。

5.4 挂载并进入 chroot

cp --dereference /etc/resolv.conf /mnt/gentoo/etc/
mount --types proc /proc /mnt/gentoo/proc
mount --rbind /sys /mnt/gentoo/sys
mount --make-rslave /mnt/gentoo/sys
mount --rbind /dev /mnt/gentoo/dev
mount --make-rslave /mnt/gentoo/dev
mount --bind /run /mnt/gentoo/run
mount --make-slave /mnt/gentoo/run

chroot /mnt/gentoo /bin/bash
source /etc/profile
export PS1="(chroot) ${PS1}"

5.5 编辑 make.conf

nano -w /etc/portage/make.conf

CHOST="aarch64-unknown-linux-gnu"
COMMON_FLAGS="-march=armv8.5-a+fp16+simd+crypto+i8mm -mtune=native -O2 -pipe"
CFLAGS="${COMMON_FLAGS}"
CXXFLAGS="${COMMON_FLAGS}"
FCFLAGS="${COMMON_FLAGS}"
FFLAGS="${COMMON_FLAGS}"
RUSTFLAGS="-C target-cpu=native"
LC_MESSAGES=C
MAKEOPTS="-j4"
# Asahi 社区主推的 R2 镜像；中国大陆用户可换成 BFSU / USTC / 清华，详见 /mirrorlist/
GENTOO_MIRRORS="https://gentoo.rgst.io/gentoo"
EMERGE_DEFAULT_OPTS="--jobs 3"
VIDEO_CARDS="asahi"
L10N="zh-CN zh-TW zh en"

MAKEOPTS 根据核心数调整。文件末尾保留换行。

emerge-webrsync
# 时区按所在地选择：大陆 Asia/Shanghai，台湾 Asia/Taipei，香港 Asia/Hong_Kong
ln -sf /usr/share/zoneinfo/Asia/Shanghai /etc/localtime

编辑 /etc/locale.gen 取消注释需要的语系，然后：

locale-gen
eselect locale set en_US.utf8
env-update && source /etc/profile && export PS1="(chroot) ${PS1}"

建立用户：

useradd -m -G wheel,audio,video,usb,input <用户名>
passwd <用户名>
passwd root

6. 安装 Asahi 支持套件

本节取代官方 Handbook 的「安装内核」章节。

6.1 方法 A：自动化脚本（推荐）

emerge --sync
emerge --ask dev-vcs/git

cd /tmp
git clone https://github.com/chadmed/asahi-gentoosupport
cd asahi-gentoosupport
./install.sh

脚本会启用 Asahi overlay、安装 GRUB、设置 VIDEO_CARDS="asahi"、安装 asahi-meta（含内核、固件、m1n1、U-Boot）、运行 asahi-fwupdate 和 update-m1n1、最后更新系统。

如遇 USE flag 冲突：

# Ctrl+C 中断脚本
emerge --autounmask-write <冲突包>
etc-update # 通常选 -3 自动合并
cd /tmp/asahi-gentoosupport && ./install.sh

脚本完成后跳到 6.3 配置 fstab。

6.2 方法 B：手动安装

设置 Portage 与 Asahi overlay（使用 git 同步）：

emerge --sync
emerge --ask dev-vcs/git
rm -rf /var/db/repos/gentoo

sudo tee /etc/portage/repos.conf/gentoo.conf << 'EOF'
[DEFAULT]
main-repo = gentoo
[gentoo]
location = /var/db/repos/gentoo
sync-type = git
sync-uri = https://mirrors.bfsu.edu.cn/git/gentoo-portage.git
auto-sync = yes
sync-depth = 1
EOF

sudo tee /etc/portage/repos.conf/asahi.conf << 'EOF'
[asahi]
location = /var/db/repos/asahi
sync-type = git
sync-uri = https://github.com/chadmed/asahi-overlay.git
auto-sync = yes
EOF

emerge --sync

简体中文用户可以使用北外源 https://mirrors.bfsu.edu.cn/git/gentoo-portage.git。其他镜像见镜像列表。

防止官方 dist-kernel 覆盖 Asahi 版本：

mkdir -p /etc/portage/package.mask
cat > /etc/portage/package.mask/asahi << 'EOF'
virtual/dist-kernel::gentoo
EOF

配置 USE flags 与 VIDEO_CARDS：

mkdir -p /etc/portage/package.use
cat > /etc/portage/package.use/asahi << 'EOF'
dev-lang/rust-bin rustfmt rust-src
dev-lang/rust rustfmt rust-src
EOF
echo 'VIDEO_CARDS="asahi"' >> /etc/portage/make.conf
echo 'GRUB_PLATFORMS="efi-64"' >> /etc/portage/make.conf

固件许可证：

mkdir -p /etc/portage/package.license
echo 'sys-kernel/linux-firmware linux-fw-redistributable no-source-code' \
 > /etc/portage/package.license/firmware

安装：

emerge -q1 dev-lang/rust-bin
emerge -q sys-apps/asahi-meta virtual/dist-kernel:asahi sys-kernel/linux-firmware

更新固件与引导程序：

asahi-fwupdate
update-m1n1

每次更新内核、U-Boot 或 m1n1 后都必须执行 update-m1n1。

安装 GRUB：

emerge -q grub:2
grub-install --boot-directory=/boot/ --efi-directory=/boot/ --removable
grub-mkconfig -o /boot/grub/grub.cfg

--removable 必须，确保系统能从 ESP 启动；--boot-directory 与 --efi-directory 都指向 /boot/；make.conf 中必须有 GRUB_PLATFORMS="efi-64"。

最后可选 emerge --ask --update --deep --changed-use @world 更新系统。

6.3 配置 fstab

获取分区 UUID（按你实际的设备路径调整）：

# 根分区（非加密直接用设备；加密用解密后的 mapper 设备）
blkid /dev/nvme0n1p6 # 非加密
blkid /dev/mapper/gentoo-root # 加密

# EFI 分区（Asahi 安装时设的卷标 "EFI - GENTO"）
blkid --label "EFI - GENTO"

nano -w /etc/fstab

UUID=<root-uuid> / btrfs defaults 0 1
# 若用 ext4，第三栏改为 ext4
UUID=<boot-uuid> /boot vfat defaults 0 2

6.4 配置 LUKS（仅加密用户）

启用 systemd 的 cryptsetup 支持：

mkdir -p /etc/portage/package.use
echo "sys-apps/systemd cryptsetup" >> /etc/portage/package.use/fde
emerge --ask --oneshot sys-apps/systemd

获取 LUKS UUID（注意是加密容器的 UUID，不是其中文件系统的）：

blkid /dev/nvme0n1p6

编辑 /etc/default/grub：

GRUB_CMDLINE_LINUX="rd.luks.name=<LUKS-UUID>=gentoo-root root=/dev/mapper/gentoo-root rootfstype=btrfs rd.luks.allow-discards"

rd.luks.name=<LUKS-UUID>=gentoo-root：用 LUKS 容器 UUID（blkid /dev/nvme0n1p6）解锁并明确命名 mapper 为 gentoo-root，与 crypttab / luksClose 一致
root=/dev/mapper/gentoo-root：解密后的 btrfs root（避免再查一次文件系统 UUID）
rd.luks.allow-discards：允许 SSD TRIM 穿透加密层（要权衡安全性）

dracut 配置：

emerge --ask sys-kernel/dracut

# 让 dist-kernel 更新时自动调用 dracut 重建 initramfs（推荐）
echo 'sys-kernel/installkernel dracut' > /etc/portage/package.use/installkernel
emerge --ask --oneshot sys-kernel/installkernel

nano -w /etc/dracut.conf.d/luks.conf

# kernel_cmdline 留空，GRUB 的 GRUB_CMDLINE_LINUX 会覆盖
kernel_cmdline=""
# crypt 模块自动包含 cryptsetup，无需手动 install_items
add_dracutmodules+=" btrfs systemd crypt dm "
filesystems+=" btrfs "

可选写入 /etc/crypttab，系统会自动提示解锁：

gentoo-root UUID=<LUKS-UUID> none luks,discard

生成 initramfs：

# 重新生成所有已安装内核的 initramfs（dist-kernel:asahi 推荐）
dracut --force --regenerate-all

# 或只针对当前已选内核：
# KVER=$(uname -r) # chroot 内无效，需要在已装系统上执行
# dracut --force --kver "${KVER}"

grub-mkconfig -o /boot/grub/grub.cfg
grep initrd /boot/grub/grub.cfg

每次更新内核后都要重新执行此步骤。安装 sys-apps/asahi-scripts 会提供 installkernel hook 自动处理。

7. 完成与重启

echo "macbook" > /etc/hostname
systemctl enable NetworkManager
passwd root

退出 chroot 并重启：

exit
umount -R /mnt/gentoo
cryptsetup luksClose gentoo-root # 若使用加密
reboot

首次启动顺序：U-Boot → GRUB（选 Gentoo）→（若加密）输入 LUKS 密码 → 登录提示。

8. 安装后配置

8.1 网络

nmcli device wifi connect <SSID> password <密码>
# 或图形界面
nmtui

8.2 桌面环境

先切换合适的 profile（编号会因系统而异，按 profile 名称选）：

eselect profile list
# 输出类似：
# default/linux/arm64/23.0/systemd
# default/linux/arm64/23.0/desktop/gnome/systemd
# default/linux/arm64/23.0/desktop/plasma/systemd
# default/linux/arm64/23.0/desktop（通用，Xfce 等）

按需选择对应编号。本文示例（实际请用 eselect profile list 看到的编号）：

# 选 desktop/plasma/systemd 那一行的编号，例如：
eselect profile set default/linux/arm64/23.0/desktop/plasma/systemd
emerge -avuDN @world

KDE Plasma：

emerge --ask kde-plasma/plasma-meta kde-apps/kate kde-apps/dolphin
systemctl enable sddm

GNOME：

eselect profile set default/linux/arm64/23.0/desktop/gnome/systemd
emerge -avuDN @world
emerge --ask gnome-base/gnome gnome-extra/gnome-tweaks
systemctl enable gdm

Xfce：

eselect profile set default/linux/arm64/23.0/desktop
emerge -avuDN @world
emerge --ask xfce-base/xfce4-meta x11-misc/lightdm
systemctl enable lightdm

首次构建桌面环境约需 2–4 小时，建议 --jobs 3 或更少避免 OOM。

8.3 字体与中文输入

emerge --ask media-fonts/liberation-fonts media-fonts/noto media-fonts/noto-cjk media-fonts/dejavu
eselect fontconfig enable 10-sub-pixel-rgb.conf
eselect fontconfig enable 11-lcdfilter-default.conf

emerge --ask app-i18n/fcitx-chinese-addons

app-i18n/fcitx-rime 实测在当前版本无法正常使用，建议使用 fcitx-chinese-addons。

8.4 音频

emerge --ask media-libs/asahi-audio

# 如果已装 PulseAudio，先停掉避免冲突
systemctl --user disable --now pulseaudio.socket pulseaudio.service 2>/dev/null

# 启用 PipeWire（socket-activation，pipewire 守护进程会按需启动）
systemctl --user enable --now pipewire-pulse.socket
systemctl --user enable --now wireplumber.service

9. 系统维护

定期更新：

emerge --sync # 包含 Asahi overlay
# 或只同步 overlay
emaint sync -r asahi
emerge --ask --update --deep --newuse @world
emerge --ask --depclean # 先确认要删除的包再执行
dispatch-conf # 处理 .__cfg 配置变更

每次内核更新后必做：

update-m1n1
grub-mkconfig -o /boot/grub/grub.cfg

m1n1 Stage 2 包含 devicetree blobs，内核依赖它识别硬件。sys-apps/asahi-scripts 提供 installkernel hook 可以自动化。

macOS 更新会附带固件更新，建议保留 macOS 分区以便获取最新固件。

10. 常见问题

无法从 USB 启动：U-Boot 的 USB 驱动较挑剔，尝试不同 USB、使用 USB 2.0 设备、或经过 USB Hub。

启动卡住或黑屏：m1n1 / U-Boot / 内核版本不匹配。从 macOS 重跑 curl https://alx.sh | sh 选 p，并确认 chroot 中已执行 update-m1n1。

加密分区无法解锁：检查 /etc/default/grub 的 GRUB_CMDLINE_LINUX、确认 LUKS UUID（blkid /dev/nvme0n1p6）、重新 grub-mkconfig -o /boot/grub/grub.cfg。

Wi-Fi 不稳定：WPA3 或 6 GHz 频段问题。改用 WPA2、2.4 GHz 或 5 GHz。

触控板失灵：

dmesg | grep -i firmware
emerge --ask sys-apps/asahi-meta

11. 进阶选项

刘海（Notch）：在 GRUB 内核参数加入

appledrm.show_notch=1

（Asahi 核心 6.18 之前的名称是 apple_dcp.show_notch=1，从 6.18 起 apple_dcp 模块被改名为 appledrm。）

KDE Plasma 可在顶部加全宽面板，高度对齐刘海底部。

自定义内核：

emerge --ask sys-kernel/asahi-sources
cd /usr/src/linux
make menuconfig
make -j$(nproc)
make modules_install
make install
update-m1n1
grub-mkconfig -o /boot/grub/grub.cfg

记得保留可用内核作为备援。

多内核切换：

eselect kernel list
eselect kernel set <number>
update-m1n1

参考

社区支持：

Telegram 群：@gentoo_zh
Telegram 频道：@gentoocn
GitHub
Gentoo Forums
IRC #gentoo / #asahi @ Libera.Chat
Asahi Linux Discord

建设中的 Gentoo 中文社区

Sun, 24 Aug 2014 00:00:00 +0000

Gentoo 是一个基于 Linux 或 FreeBSD 的自由操作系统，它几乎能为任何应用程序或需求自动地作出优化和定制。对极限的配置、性能的追求，以及顶尖的用户和开发者社区，都是 Gentoo 的显著特点。

Gentoo 曾经先后有过两次活跃的中文社区，但在 2010 年左右已经完全消失，仅剩 IRC 频道与邮件列表有零散讨论。此次 Gentoo 中文项目的发起，算是第三次了。目标在于对各种国内 Gentoo 相关资源进行有效整合，把 Gentoo 用户引导到一起交流，给新手解决问题，让高手交流技术，提高国内 Gentoo 发行版的普及率，最终达到提高国内 Linux 技术水平、回馈 Gentoo 官方的中长期目标。

这次 Gentoo 中文社区依然在建设中，此网站仅有的功能是 ~~刷刷存在感~~ 显示文字，表明这个项目的存在。

第一阶段需要完成的工作：

Jekyll 模板
成立翻译团队
- 新闻翻译
- 文档翻译
Gentoo 中文社区 Logo 的矢量化重制
补完 Gentoo 和 gentoo-zh 的介绍性文字

第二阶段需要完成的工作：

gentoo-zh 源的镜像
Portage 树的 SquashFS 归档

Gentoo 中文社区成立

Tue, 05 Feb 2013 00:00:00 +0000

Gentoo中文社区的源起

Gentoo 中文项目，是国内爱好者进行 Gentoo Linux 交流、讨论的一个技术社区。此次 Gentoo 中文社区的建设算是第三次组建。

第一次，2004 年前后，由 LinuxSir 上面的 Gentoo 爱好者发起并维护，为 Gentoo 在国内的推广做出了贡献，但最终项目因故中止（详见 [1]）。

第二次，2007 年开始，由张乐所发起的第二次 Gentoo 中文文档的翻译项目。取得的最大成果是将 Gentoo 手册全部翻译为中文，并将其提交到官方，也就是目前我们看到的官方 Gentoo 中文手册，目前翻译项目还正常运行（详见 [2]）。

此次 Gentoo 中文项目的发起，算是第三次了。主要由清风来负责筹建各项事务，最终确定平台名称为 “Gentoo 中文社区”。期间得到许多 Gentooers 的大力支持。

Gentoo中文社区发展目标

对各种国内 Gentoo 相关资源进行有效整合，把 Gentoo 用户引导到一起交流，给新手解决问题，让高手交流技术，提高国内 Gentoo 发行版的普及率，最终达到提高国内 Linux 技术水平、回馈 Gentoo 官方的中长期目标。

Gentoo中文社区项目管理

主站服务器架设及管理：清风、比尔盖子
文档翻译：继续使用张乐的翻译平台，在这里也非常感谢他为 Gentoo 中文做出的贡献！
论坛管理：清风（暂时），招聘中。。。

Gentoo 中国（镜像）站开始运行

Sun, 03 Feb 2013 00:00:00 +0000

目前的 Gentoo 站点仅仅是官方站的镜像，但相信以后会成为 Gentoo 中国社区的主要站点！