systemctl: как запустить, остановить и включить службу в Linux (systemd)

В большинстве современных дистрибутивов службами (веб-сервер, база данных, SSH) управляет systemd. systemctl управляет службами, journalctl показывает их журналы.

systemctl

Команда	Что делает
systemctl status nginx	состояние, PID, последние строки журнала
sudo systemctl start nginx	запустить сейчас
sudo systemctl stop nginx	остановить
sudo systemctl restart nginx	перезапустить
sudo systemctl reload nginx	перечитать конфигурацию без остановки
sudo systemctl enable nginx	включить автозапуск при загрузке
sudo systemctl enable --now nginx	включить и сразу запустить
sudo systemctl disable nginx	выключить автозапуск
systemctl is-active nginx	active или inactive — удобно в скриптах
systemctl list-units --type=service	все службы
systemctl --failed	службы, которые упали
sudo systemctl daemon-reload	перечитать изменённые unit-файлы

start и enable — разные вещи: первая запускает службу сейчас, вторая отвечает за запуск после перезагрузки.

journalctl

journalctl -u nginx               # журнал службы
journalctl -u nginx -f            # вживую
journalctl -u nginx --since "1 hour ago"
journalctl -p err -b              # ошибки с последней загрузки
journalctl --disk-usage           # сколько места занимает журнал

Unit-файл

Свои службы описывают в /etc/systemd/system/имя.service:

[Unit]
Description=My app
After=network.target

[Service]
User=myapp
ExecStart=/opt/myapp/server
Restart=on-failure
NoNewPrivileges=true
ProtectSystem=strict
PrivateTmp=true

[Install]
WantedBy=multi-user.target

Строки User=, NoNewPrivileges=, ProtectSystem= и PrivateTmp= ограничивают ущерб, если службу взломают. Оценить, насколько служба изолирована: systemd-analyze security имя.

С точки зрения безопасности

Атакующие закрепляются в системе, создавая свою службу: она переживёт перезагрузку и выглядит как обычная часть системы. При расследовании проверяют недавно изменённые файлы в /etc/systemd/system и службы с подозрительными путями в ExecStart.