systemctl mask比disable更彻底，因mask将服务链接至/dev/null，使服务无法开机自启、手动启动或被依赖触发；disable仅取消开机自启，仍允许手动启动。
直接用 systemctl mask 命令就能彻底屏蔽一个服务，让它既不能开机自启，也不能被手动启动或被其他服务间接拉起。
为什么用 mask 而不是 disable
disable 只是取消开机自启，你仍能手动运行 systemctl start xxx；mask 则更彻底——它把服务单元文件软链接到 /dev/null，所有启动尝试都会失败并报错 “Unit xxx is masked”。适合那些你确定永远不用、又怕误操作或依赖触发的服务。
屏蔽服务的具体操作
- 先确认服务名：运行
systemctl list-units --type=service --state=running或查systemctl list-unit-files | grep xxx - 执行屏蔽命令：
sudo systemctl mask 服务名.service（注意加 .service 后缀） - 已运行的服务不会自动停止，需额外执行
sudo systemctl stop 服务名.service - 屏蔽后验证：
systemctl status 服务名会显示 “masked” 状态
解除屏蔽和注意事项
- 恢复使用：
sudo systemctl unmask 服务名.service，之后才能 enable 或 start - 别屏蔽关键系统服务，如
systemd-journald、dbus、sshd（除非你明确不需要远程管理） - 屏蔽不影响当前正在运行的实例，必须单独 stop 才能真正停掉
- 某些服务名不带 .service 也能识别，但显式写全更稳妥
常见需要屏蔽的默认服务示例
最小化安装后常屏蔽这些高风险或无用服务：
-
avahi-daemon.service（局域网发现，服务器通常不需要） -
cups.service和cups-browsed.service（打印服务） -
bluetooth.service（蓝牙，服务器环境极少用） -
rpcbind.service（NFS 依赖，不用 NFS 就该屏蔽）
操作简单，但效果持久。关键是先看清服务是否真在跑、有没有被依赖，再动手。
