在维护CentOS服务器的过程中，经常会遇到需要禁用某个内核模块的场景。比如某个网卡驱动与硬件不兼容导致网络频繁掉线，或者系统自动加载了不安全的多余模块带来安全隐患。Linux内核提供了blacklist（黑名单）机制，专门用来阻止指定模块被自动加载。本文将围绕CentOS下内核模块黑名单的配置方法、工作原理以及常见问题的排查做一次完整的梳理。
一、理解内核模块与blacklist的工作原理
Linux内核采用模块化设计，绝大部分驱动和功能组件并不直接编译进内核，而是以可加载模块（Loadable Kernel Module）的形式存放在/lib/modules/$(uname -r)目录下。系统启动时，udev会根据检测到的硬件信息自动匹配并加载对应模块，应用层也可以通过modprobe命令手动加载。这种设计让内核保持精简，同时兼顾了硬件兼容性。
blacklist机制的底层实现依赖于modprobe工具。当执行modprobe加载模块时，程序会先读取/etc/modprobe.d/目录下的所有配置文件，如果发现目标模块出现在blacklist列表中，就会拒绝这次自动加载请求。需要注意的是，blacklist只拦截“自动加载”和“间接依赖加载”，它并不会阻止用户显式执行modprobe 模块名这样的手动加载操作。这一点是很多人配置黑名单后仍然看到模块被加载的根本原因，后面会详细展开。
查看当前系统已加载的模块可以使用lsmod命令，查看某个模块的详细信息可以使用modinfo 模块名。这两个命令在排查黑名单是否生效时非常实用，建议先熟悉它们的基本输出格式。
二、通过modprobe.d配置文件设置黑名单
这是最标准、最推荐的做法。在/etc/modprobe.d/目录下创建一个以.conf结尾的配置文件，文件名可以自定义，比如blacklist.conf或以模块名命名的文件。配置语法非常简单：
# 创建黑名单配置文件 vi /etc/modprobe.d/blacklist-nouveau.conf # 写入以下内容 blacklist nouveau options nouveau modeset=0 # 保存后重新生成initramfs（如果该模块在initramfs中被加载） dracut -f
上面的例子演示了禁用NVIDIA开源驱动nouveau的过程，这是CentOS上最常见的黑名单应用场景，通常在安装官方NVIDIA闭源驱动之前必须执行。除了blacklist行，示例中还加入了options行，为模块设置参数，这是一种双保险策略：即使模块意外被加载，也能让它处于不工作的状态。
还有一种更强的语法是install 模块名 /bin/false，它的含义是当系统尝试加载该模块时，用一条必然失败的命令替代真正的加载动作，这样连手动modprobe都会被拒绝。两种写法可以配合使用：
# blacklist只拦截自动加载，install可以让手动加载也失败 blacklist nouveau install nouveau /bin/false
如果被禁用的模块在系统启动早期就由initramfs加载，比如磁盘驱动相关模块，那么仅仅修改modprobe.d配置是不够的，因为initramfs是独立的压缩镜像，内部包含自己的模块配置。必须执行dracut -f重新生成initramfs，让新的黑名单配置被打包进去，否则重启后模块依然会被加载。
三、通过GRUB启动参数和临时方式禁用模块
除了配置文件，还可以在GRUB内核启动参数中直接禁用模块。编辑/etc/default/grub文件，在GRUB_CMDLINE_LINUX变量中追加modprobe.blacklist=模块名参数：
# 编辑GRUB配置 vi /etc/default/grub # 在GRUB_CMDLINE_LINUX中追加参数，例如： GRUB_CMDLINE_LINUX="crashkernel=auto rd.lvm.lv=centos/root modprobe.blacklist=nouveau" # 重新生成GRUB配置（BIOS启动用grub2-mkconfig，UEFI注意输出路径差异） grub2-mkconfig -o /boot/grub2/grub.cfg # 重启生效 reboot
这种方式的优势在于优先级高，参数在内核启动早期就生效，适合处理那些在initramfs阶段加载的模块，而且不需要重建initramfs。缺点是参数写死在引导配置中，后续维护时容易被遗忘，批量管理多台服务器时不如modprobe.d配置文件直观。
临时禁用的场景则更简单，直接用rmmod卸载即可：
# 卸载模块（等价命令还有modprobe -r） rmmod nouveau # 确认模块已经不在加载列表中 lsmod | grep nouveau
需要注意的是，rmmod只能卸载当前未被使用的模块。如果有其他程序或内核组件正在引用该模块，卸载会报错。此外，rmmod的效果在重启后就会消失，只适合临时验证某个模块是否是问题根源，正式禁用还是要落到配置文件层面。
四、常见问题排查与注意事项
配置了blacklist但模块仍然被加载，是最常见的故障现象。排查思路如下：第一，检查是否被依赖连带加载。blacklist只对模块名本身生效，如果其他模块依赖它，udev在加载依赖方时仍会把它拉起来。解决办法是把依赖链上的上层模块一起加入黑名单，或者使用modprobe --show-depends 模块名查看依赖关系。第二，检查是否被initramfs加载，执行lsinitrd | grep 模块名确认，如果存在则需要重建initramfs。第三，检查配置文件语法，blacklist后面必须直接跟模块名，不能写路径，文件必须以.conf结尾且位于/etc/modprobe.d/目录内。
另一个容易踩的坑是禁用模块后系统出现异常。比如某块网卡依赖被禁用的驱动，禁用后网络直接断开；再比如禁用了存储相关模块导致系统无法启动。因此在生产环境操作前，务必先用modinfo确认模块的用途和别名信息，在测试环境验证通过后再执行。如果操作不当导致系统无法启动，可以在GRUB编辑界面临时去掉blacklist参数进入系统修复。
最后建议养成规范的操作习惯：每个模块使用独立的配置文件，文件名体现用途，例如blacklist-usb-storage.conf用于禁用USB存储设备防止数据外泄。变更后统一执行dracut -f并重启验证，验证命令使用lsmod和dmesg | grep -i 模块名组合检查。通过这套流程，CentOS下内核模块的加载行为就能做到可控可查，系统安全性和稳定性都会得到明显提升。
CentOS内核模块blacklist模块黑名单修改时间：2026-08-31 16:46:56