什么是 Qubes OS 以及为什么要使用它？
在深入部署步骤之前，我们需要理解 Qubes OS 的核心理念。与传统的操作系统（如 Windows 或标准 Linux 发行版）不同，Qubes OS 是一个基于 Xen Hypervisor 的安全操作系统。它采用“安全通过隔离”（Security by Isolation）的设计哲学。
简单来说，它不试图修补每一个可能被黑客利用的软件漏洞，而是将你的数字生活分割成多个相互隔离的虚拟机（称为
Qubes
）。如果你运行网页浏览器的 Qube 被恶意软件感染，攻击者无法访问你存储银行密码的 Qube，也无法访问你的主工作 Qube。这种架构使得 Qubes OS 被称为“最安全的操作系统”。
第一部分：部署前的准备工作
在按下安装按钮之前，充分的准备是成功部署的关键。Qubes OS 对硬件有特定要求，盲目安装通常会导致失败。
1. 硬件兼容性检查 (Hardware Compatibility)
这是最重要的一步。Qubes OS 严重依赖虚拟化技术，因此并非所有电脑都能流畅运行。
CPU 要求
：必须支持硬件虚拟化扩展。
Intel
：需要支持 VT-x（虚拟化技术）和 VT-d（定向 I/O 虚拟化技术）。几乎所有 2010 年以后的 Intel CPU 都支持 VT-x，但 VT-d 需要检查主板 BIOS 设置。
AMD
：需要支持 SVM（安全虚拟机）和 AMD-Vi（IOMMU）。
内存 (RAM)
：Qubes OS 运行多个虚拟机，内存消耗巨大。
最低要求
：8 GB（仅能运行极少量的 AppVM，体验较差）。
推荐配置
：16 GB（标准工作流）。
理想配置
：32 GB 或更多（用于运行多个高强度应用或开发环境）。
存储
：建议使用 SSD。Qubes OS 镜像通常在 40GB 以上，加上快照和多个 VM 的开销，256GB 是底线，512GB 或 1TB NVMe SSD 是最佳选择。
2. 下载与验证镜像
为了安全，必须验证下载的 ISO 镜像的完整性，因为 Qubes OS 本身就是为安全而生。
下载
：访问
Qubes OS 官网
下载 ISO 文件。
验证 GPG 签名
：
下载对应的
.asc
签名文件。
导入 Qubes 签名公钥。
使用 GnuPG 验证。
命令示例
：
gpg –keyserver pgp.mit.edu –recv-keys 0x427F393E
gpg –verify Qubes-R4.1.0-x86_64.iso.asc
如果输出显示 “Good signature”，则镜像未被篡改。
3. 制作启动盘
你需要一个至少 8GB 的 USB 驱动器。
Windows 用户
：使用 Rufus（选择 DD 模式）。
Linux 用户
：使用
dd
命令（
注意：务必确认目标设备是你的 USB 盘，否则会擦除硬盘
）。
sudo dd if=Qubes-R4.1.0-x86_64.iso of=/dev/sdX bs=4M status=progress oflag=sync
第二部分：详细安装步骤
1. BIOS/UEFI 设置
这是新手最容易卡住的地方。在启动电脑并按下特定键（通常是 F2, F12, Del）进入 BIOS 设置后，必须修改以下设置：
禁用 Secure Boot (安全启动)
：Qubes OS 默认不支持 Secure Boot，必须关闭。
启用虚拟化技术
：
找到
Virtualization Technology
(VT-x / SVM) 并设置为
Enabled
。
找到
VT-d
(Intel) 或
AMD-Vi
(IOMMU) 并设置为
Enabled
。这是 Qubes OS 隔离设备的关键。
禁用 Fast Boot
：确保系统能正常引导。
2. 启动安装程序
插入 USB，重启电脑，选择从 USB 启动。你会看到 GRUB 菜单，选择 “Install Qubes OS”。如果屏幕黑屏，可以尝试在启动选项后添加
nomodeset
参数。
3. 图形化安装界面
安装程序基于 Anaconda（类似 Fedora），步骤如下：
Step 1: Welcome
：选择语言和键盘布局。
Step 2: Installation Destination
：
这是最关键的一步。你会看到磁盘列表。
选项 A：完全擦除磁盘 (Delete all)
：最简单，适合新手。它会自动分区（创建
/boot/efi
,
/
,
swap
和
dom0
的私有存储）。
选项 B：高级自定义 (Custom)
：适合有经验的 Linux 用户。你需要手动创建分区。
/boot/efi
(EFI System Partition, FAT32, ~500MB)
/
(Ext4, 剩余空间的大部分)
swap
(内存的 1.5 倍大小)
注意
：Qubes OS 不需要像传统 Linux 那样为每个 VM 单独分区，它使用 LVM 或文件池。
Step 3: 网络配置
：
建议在安装过程中连接有线网络。Wi-Fi 在安装界面可能需要额外的驱动，通常建议先用有线，装好后再配置 Wi-Fi。
Step 4: 设置 Root 密码和创建用户
：
设置强密码。
重要
：默认情况下，创建的用户账户属于
wheel
组，拥有
sudo
权限。在 Qubes OS 中，
dom0
（管理域）没有网络连接，安全性极高，但你需要这个用户来管理。
Step 5: 开始安装
：等待进度条完成。
4. 首次启动与更新
安装完成后重启。你会看到 Qubes OS 的登录界面。
登录
：输入你设置的用户密码。
初始设置
：首次登录会弹出 “First Run Wizard”，引导你创建模板（Template）和系统 Qube。通常默认即可。
更新系统
：
Qubes OS 采用“模板 + AppVM”的架构。你需要更新模板（Template）才能更新所有软件。
打开
Qubes Settings
->
Updates
或者在终端中运行：
# 在 dom0 中运行，更新所有模板
sudo qubes-dom0-update
进入具体的 TemplateVM（如
fedora-36
），打开终端运行
sudo dnf update
。
第三部分：核心概念与基础操作
理解 Qubes 的逻辑是高效使用的前提。
1. 核心组件
Dom0
：管理域。这是你登录后看到的桌面环境。它控制硬件，但不联网。它是系统的“大脑”。
TemplateVM (模板)
：提供基础操作系统环境（如 Fedora, Debian, Whonix）。你
不应该
在模板中直接保存文件或安装软件，因为基于该模板的所有 AppVM 重启后都会丢失更改。
AppVM (App Qube)
：工作域。例如“Personal”（个人）、“Work”（工作）、“Untrusted”（浏览网页）。它们基于模板创建，拥有独立的文件系统（基于模板的部分是只读的，私有部分是可写的）。
NetVM (网络域)
：负责联网。通常
sys-net
负责驱动网卡，
sys-firewall
负责防火墙，
sys-whonix
负责 Tor 代理。
2. 颜色编码
Qubes OS 使用颜色来直观地表示安全级别：
黑色 (Black)
：Dom0（最高权限，无网络）。
绿色 (Green)
：Personal（受信任，你的数据）。
黄色 (Yellow)
：Work（一般工作）。
红色 (Red)
：Untrusted（浏览网页，不可信）。
灰色 (Gray)
：Whonix（Tor 匿名网络）。
3. 文件交换
如何在 Qubes 之间传输文件？
复制/粘贴
：右键点击文件 -> “Copy to other AppVM”。注意：剪贴板是隔离的，你需要在两个 Qube 中分别执行 Ctrl+V。
Qubes RPC
：通过
qvm-copy
命令或图形界面在 Qubes 间安全传输文件。
第四部分：常见问题解决指南 (Troubleshooting)
在使用 Qubes OS 的过程中，你几乎肯定会遇到问题。以下是最常见的问题及其解决方案。
问题 1：安装后无法启动 (Kernel Panic 或黑屏)
症状
：安装成功，重启后卡在黑屏或显示 Kernel Panic。
原因
：通常是硬件不兼容或 ACPI 问题。
解决方案
：
编辑 GRUB 启动参数
：
在启动菜单处，按
e
编辑启动项。
找到以
linux
开头的行，在行尾添加以下参数之一进行尝试：
acpi=off
：禁用 ACPI（可能导致无法关机，仅作测试）。
nomodeset
：禁用显卡 KMS 驱动，解决显卡初始化问题。
intel_iommu=on
或
amd_iommu=on
：强制开启 IOMMU。
检查 BIOS 设置
：再次确认 VT-d/AMD-Vi 是否开启。某些主板的 BIOS 实现有缺陷，可能需要更新 BIOS。
问题 2：Wi-Fi 无法连接
症状
：安装时没网，装好后
sys-net
无法识别无线网卡。
原因
：Qubes OS 将网络设备分配给
sys-net
，但缺少固件（Firmware）。
解决方案
：
连接有线网络
：先插网线，确保
sys-net
能联网。
在 TemplateVM 中安装固件
：
打开你的网络模板（通常是
fedora-36
或
debian-11
）。
打开终端。
Fedora 系
：
sudo dnf install linux-firmware
Debian 系
：
sudo apt update
sudo apt install firmware-linux
重启
sys-net
：右键点击
sys-net
-> Shutdown，然后再次 Start。如果还不行，可能需要特定的驱动包（如
broadcom-wl
）。
问题 3：USB 设备无法识别或挂载
症状
：插入 U 盘，Qubes OS 没有反应，或者无法在 AppVM 中挂载。
原因
：USB 控制器被分配给了
sys-usb
（默认安全设置），或者缺少驱动。
解决方案
：
检查
sys-usb
：确保
sys-usb
已经启动。它是专门用来处理 USB 设备的隔离 VM。
挂载到 AppVM
：
右键点击
sys-usb
的图标。
选择 “Attach / Detach block device”。
选择你的 U 盘，将其附加到目标 AppVM（如
work
）。
在 AppVM 中，U 盘通常会出现在
/media
或自动挂载。
如果
sys-usb
无法启动
：可能是显卡问题。尝试在
sys-usb
的设置中将显卡 passthrough 改为 “none”（无显卡），因为它不需要显示界面。
问题 4：模板更新失败或速度极慢
症状
：运行
sudo qubes-dom0-update
或
sudo dnf update
报错。
原因
：镜像源问题或网络代理问题。
解决方案
：
检查网络 Qube
：确保 TemplateVM 的网络设置指向了正确的 NetVM（通常是
sys-firewall
）。
更换镜像源 (Fedora)
：
进入 Fedora TemplateVM。
备份并编辑
/etc/yum.repos.d/qubes-r4.repo
。
将 baseurl 替换为国内的镜像源（如中科大、清华源），但要注意 Qubes 的源是特殊的，建议直接使用官方源，通过
sys-whonix
代理更新。
问题 5：显卡性能差或分辨率不对
症状
：画面卡顿，分辨率低，无法调节亮度。
原因
：Dom0 缺少显卡驱动。
解决方案
：
Dom0 是特殊的
：Dom0 运行在 Xen Hypervisor 上，它
不
使用标准的 Linux 内核驱动。
安装驱动
：
对于
Nvidia
：这是最麻烦的。你需要安装特定的
qubes-windows-tools
类似的工具，但对于 Linux，通常需要在 Dom0 安装闭源驱动。
sudo qubes-dom0-update qubes-vm-kernel-common
(确保内核工具正常)
下载 Nvidia 驱动到 Dom0（不推荐，因为 Dom0 不应联网）。
更好的方法
：在安装时选择
nomodeset
，然后在
sys-net
或
sys-usb
中处理显卡 passthrough，Dom0 使用基本的 VESA 模式。
对于
Intel/AMD
：通常开箱即用。如果不行，检查 BIOS 设置，确保显卡设置为
Integrated
或
Discrete
模式（有时混合显卡会导致问题）。
问题 6：如何备份 Qubes OS？
症状
：担心系统崩溃，需要迁移数据。
解决方案
：Qubes OS 提供了强大的备份工具。
创建备份 VM
：创建一个专门用于备份的 VM，给予它较大的存储空间。
使用 Qubes Backup Tool
：
打开
Qubes Settings
->
Backup and Restore
。
选择 “Backup”。
选择要备份的 Qubes（建议全选，或者只选你修改过的 AppVM 和 TemplateVM）。
设置加密密码。
选择存储位置（可以是另一个物理磁盘，或者通过 NFS 挂载的远程存储）。
恢复
：在新安装的 Qubes OS 上选择 “Restore”，输入密码即可还原所有 VM。
第五部分：最佳实践与进阶技巧
1. 分离个人数据与工作数据
永远不要在
dom0
中存储任何个人文件。创建专门的
Personal
Qube 用于存储个人文档，
Work
Qube 用于工作。利用 Qubes 的隔离特性，防止跨域污染。
2. 使用 Whonix 进行敏感浏览
Qubes OS 官方集成 Whonix。你可以创建基于 Whonix-Workstation 的 AppVM，所有流量强制通过 Tor。这对于记者、活动家或需要匿名上网的用户至关重要。
操作
：在创建新 Qube 时，Type 选择 “Standalone VM (Whonix)” 或基于 Whonix Template。
3. 一次性 Qubes (Disposable VMs)
对于打开未知来源的 PDF 或链接，使用“一次性 Qube”。
操作
：右键点击文件 -> “Open in Disposable VM”。这个 VM 在关闭后会立即销毁，不留任何痕迹，极其安全。
4. 快照 (Snapshots)
类似于虚拟机的快照，Qubes OS 允许你对 VM 进行快照。
用途
：在进行危险操作（如测试新软件）前创建快照。如果搞坏了，直接恢复快照，无需重装系统。
操作
：在 VM 设置的 “Snapshot” 标签页中管理。
结语
Qubes OS 的学习曲线确实陡峭，它要求用户改变使用电脑的习惯。你不能再随意点击链接，必须思考每个操作应该在哪个隔离环境中进行。然而，一旦掌握了这些概念，你将拥有一个比任何传统操作系统都更安全、更私密的计算环境。
记住黄金法则：Dom0 是神圣不可侵犯的，不要在 Dom0 中联网，不要在 Dom0 中存储数据。
遵循这个原则，你的 Qubes OS 体验将会非常安全且稳定。