要查看内核编译参数（如config_nf_conntrack），应优先检查/proc/config.gz（需config_ikconfig和config_ikconfig_proc均启用），其次查/boot/config-$(uname -r)，最后可从vmlinuz用extract-ikconfig提取；sysctl -a仅显示运行时参数，与编译配置无关。
要看具体的内核配置参数（即 Kconfig 编译选项，比如 CONFIG_NF_CONNTRACK 是否启用），不能只用 sysctl -a —— 它只显示运行时可调参数，和编译时是否包含某功能完全无关。
/proc/config.gz 是最直接的来源，但得先确认它是否存在
这个文件是内核自带的完整编译配置压缩包，只要内核启用了 CONFIG_IKCONFIG 和 CONFIG_IKCONFIG_PROC 就会生成。验证方式很简单：
- 运行
zcat /proc/config.gz 2>/dev/null | head -n 1，有输出说明可用；无输出或报No such file or directory就不支持 - 权限不足时加
sudo，部分发行版（如 Ubuntu）默认限制非 root 访问 - ARM 或嵌入式设备上缺失率很高，x86_64 服务器常见启用
- 用
zgrep CONFIG_IKCONFIG /proc/config.gz可进一步确认两个依赖选项是否都为y
/boot/config-$(uname -r) 是最常用的 fallback 方案
多数主流发行版（Ubuntu、CentOS、Debian）会在安装内核时把配置文件复制到 /boot/ 下，命名规则固定：
- 先执行
uname -r得到当前内核版本，例如6.8.0-45-generic - 再尝试读取
cat /boot/config-$(uname -r)；注意路径中必须有短横线-，少一个就失败 - 该文件是静态快照，只要没换过内核镜像，就和当前运行内核严格一致
- 自定义编译的内核可能没生成此文件，或被手动删掉
从 vmlinuz 提取配置：当上面两个都失效时才考虑
如果 /proc/config.gz 和 /boot/config-* 都不可用，且你确定内核编译时启用了 CONFIG_IKCONFIG（只是没暴露到 /proc），可以用 extract-ikconfig 工具从内核镜像反解：
- 命令是
extract-ikconfig /boot/vmlinuz-$(uname -r)，路径要对，别错写成vmlinux或initrd -
extract-ikconfig通常随kernel-devel包安装：apt install linux-source（Debian/Ubuntu）或yum install kernel-devel（RHEL/CentOS） - 慎用
/proc/kcore：体积巨大、读取极慢，且很多系统禁止访问
别误把 sysctl 当成 Kconfig 查看工具
sysctl -a 显示的是 /proc/sys/ 下的运行时参数，和内核编译配置（Kconfig）是两套体系：
-
sysctl net.ipv4.ip_forward返回1，只代表转发开关打开了，不代表内核一定编译了 IPv4 转发支持（CONFIG_IP_FORWARD） -
sysctl改不了CONFIG_SMP这类决定内核架构的选项——它们在编译时就固化了 - 想查某个功能是否“能用”，必须看 Kconfig；想查“当前怎么用”，才看
sysctl
真正容易被忽略的是验证环节：拿到配置文件后，用 grep CONFIG_NETFILTER /boot/config-$(uname -r) 比直接翻全文高效得多；但如果你跳过前面的可用性检查，很可能在 ARM 设备或精简内核上白忙一场。
