必须用kdump捕获内核崩溃内存镜像，90%失效因crashkernel未预留成功或捕获内核未加载；需验证/proc/cmdline含crashkernel、/sys/kernel/kexec_crash_size非零、/proc/meminfo有CrashKernel行。
要让 Linux 在内核崩溃（kernel panic）时自动转存完整内存镜像，必须用 kdump，而不是普通进程的 core dump。两者机制完全不同：前者捕获整个内核现场，后者只保存用户态进程内存。配置不生效，90% 是 crashkernel 内存没预留成功，或捕获内核根本没加载——别急着改路径，先验这俩。
验证 crashkernel 是否真正预留了内存
内核启动时没划出专用内存，kdump 就是空架子。不能只看 /etc/default/grub 里写了 crashkernel=，得看运行时状态：
-
cat /proc/cmdline | grep crashkernel—— 必须有输出，比如crashkernel=256M或crashkernel=auto -
cat /sys/kernel/kexec_crash_size—— 返回值必须是非零数字（单位字节），比如268435456表示 256MB；返回0就失败 -
grep Crash /proc/meminfo—— 应看到类似CrashKernel: 256000 kB的行
常见坑：crashkernel=auto 在 ARM64 或某些云环境（如 Alibaba Cloud Linux 3）可能因小页映射导致捕获内核响应慢，建议改用分段式，例如 crashkernel=0M-2G:0M,2G-8G:192M,8G-:256M；改完必须 update-grub 或 grub2-mkconfig 并重启。
确认捕获内核已加载进内存
systemctl status kdump 显示 active (exited) ≠ 捕获内核就绪。关键要看日志末尾是否出现 Loaded kdump kernel：
- 执行
kdumpctl status（部分发行版支持），输出应为Kdump is operational. - 检查 initramfs 是否含 kdump 模块：
lsinitrd /boot/initramfs-$(uname -r)kdump.img | grep -i "kdump\|crash"，至少要有makedumpfile和tpm相关驱动 - 升级内核后务必重建 initramfs：
kdumpctl force-rebuild或dracut -f --regenerate-all
常见坑：Ubuntu 安装 linux-crashdump 后服务自动启用，但 RHEL/CentOS 需手动 systemctl enable --now kdump；若用 NFS/SSH 存储，/etc/kdump.conf 修改后必须重建 initramfs，否则新配置不生效。
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
设置转储路径与避免静默失败
/etc/kdump.conf 里的 path 不是“写哪儿就存哪儿”，它依赖底层文件系统可写、空间充足、网络可达：
- 本地路径（如
path /var/crash）：确保该分区剩余空间 ≥ 物理内存大小 × 1.2；df -h /var/crash必须够用 - NFS 路径（如
nfs nfs-server:/export/kdump）：需提前在/etc/kdump.conf加network行，并验证showmount -e nfs-server可见共享 - SSH 路径（如
ssh user@backup）：要求目标机器已配置免密登录，且~/.ssh/authorized_keys中公钥对应私钥可用 - 临时绕过压缩失败：注释掉
core_collector行，改用core_collector cp，看能否生成未压缩vmcore；若能，则问题在makedumpfile内存碎片或参数
触发测试前必须打开 sysrq：echo 1 > /proc/sys/kernel/sysrq，否则 echo c > /proc/sysrq-trigger 无效；vmcore 默认生成在 path 下的子目录（如 /var/crash/2026-06-15-10:00/vmcore），不是平铺在根路径下。
systemd 服务崩溃不生成 core？那是另一套机制
如果你的目标是让某个 systemd 服务（比如 nginx.service）崩溃时生成 core 文件，这不是 kdump 的事，而是用户态 core dump 配置：
- 该服务 unit 文件中必须显式加
LimitCORE=infinity（/etc/security/limits.conf对 systemd 服务完全无效） -
kernel.core_pattern路径的父目录权限必须是1777（不是777），否则内核拒绝写入 - 若服务用
setuid（如sudo），还需sysctl -w fs.suid_dumpable=2 - 确认
systemd-coredump服务已启用：systemctl is-active systemd-coredump，否则core会被丢弃
真正容易被忽略的是：kdump 和 core dump 是两套并行机制，互不干扰。内核 panic 用前者，用户进程 segfault 用后者。混用配置项（比如把 kdump 的 path 当成 core_pattern）只会让你越调越乱。
