怎么试 Qubes OS 4.3.2 (2026):隔离分区的 Linux
图:AI 生成插图。写作时没拿到真实 Qubes OS 截图。
Qubes OS 是当前唯一一款把”通过隔离实现安全”这个模型推到极致的桌面
Linux 发行版:你所有的数字活动都跑在各自的轻量级 Xen 虚拟机里,而宿
主机操作系统 (Dom0) 本身只是一层薄薄的控制平面,不再承载任何用户面
向的应用。Qubes OS 4.3.2 于 2026-09-08 发布,是 4.3 系列的最新稳定
点版本,如果你今天想试这个项目,装这个版本就对了。
这是一份 2026 年在真实硬件上试 Qubes 的实战指南:4.3 比 4.2 新在哪、
安装过程长什么样、日常使用”多个 qube”的工作流应该是什么预期。
4.3 比 4.2 新在哪
如果你几年前读过 Qubes 然后被繁琐的安装流程劝退,这次的好消息偏多。
4.3 的 Dom0 基础升级到了 Fedora 41(4.2 时代还是 Fedora 37),意味着:
- Dom0 默认的 Xfce4 桌面用上了新得多的 GTK 工具包,不再有那种
2018 年感觉的界面 - 4.3 的
qubes-core-admin-client支持qvm-features这个声明式
的 per-qube 元数据,自动化安装少受不少罪 - Disposable VM 的启动速度明显加快,要归功于 4.3.0 重构的
qvm-create --class DispVM --template - 内核依然是定制版的 Xen-aware 构建(目前 6.12.x),别期待新潮的主线
功能 - 硬件支持依然是最大的痛点:Qubes 仍然要求固件里开启 VT-x 与
VT-d(IOMMU),新一点的 AMD Ryzen 7000/9000 系统比 Intel 12/13 代
顺利得多,后者的非核心显卡隔离已经坏了几个月
4.3.2 这个点版本(2026-09-08 发布)主要是 bug 修复:修好了某些
Lenovo ThinkPad X1 Carbon Gen 13 固件上的 USB 直通、恢复了
sys-usb 在挂起恢复后的自启动、收紧了对 whonix-workstation
更新的默认 qrexec 策略。
日常到底在做什么
如果你只用过单租户的 Linux 发行版,Qubes 的概念模型会显得不太寻常。
你做的每一件事都发生在一个 qube 里 —— 一个可能只存在一次会话
(Disposable VM)、也可能跨重启持久化、还可能通过顶栏颜色标签被标
记为”可信”或”不可信”的虚拟机。
我最常开的五个 qube 长这样:
| Qube 名 | 颜色 | 用途 | 网络? |
|---|---|---|---|
work |
蓝 | 工作邮件、日历、工作浏览器 | 经 sys-firewall |
personal |
绿 | 个人邮件、网银、密码管理器 | 经 sys-firewall |
vault |
黄 | 仅离线的 GPG 密钥与机密存储 | 永不联网 |
untrusted |
红 | 随机附件、可疑下载 | 经 sys-firewall |
whonix-workstation-17 |
紫 | 想走 Tor 流量的事 | 经 sys-whonix |
这件事的意义在于:untrusted 里的附件试图回拨家里时,它已经在一个
与你其它任何东西都没有剪贴板或文件系统访问的 VM 里 —— 除非你显式
通过 qvm-copy-to-vm 和 qvm-paste 拷贝东西给它。当
whonix-workstation 被攻破时,被攻破的是 Tor 链路,而不是你的真身
份。
很多人会错过的点:Qubes 不是”一个能放应用的虚拟机监控器”,它是”一
套恰好能跑应用的安全策略”。
在裸机上装 Qubes 4.3.2
官方 ISO(约 1.4 GB)从 https://www.qubes-os.org/downloads/ 下载。
安装器是 Fedora 同款 Anaconda 图形流程,只是多了个自定义磁盘布局
界面。
最低门槛:
- 16 GB 内存(8 GB 理论能跑,但每个持久 qube 想要 2 GB + Dom0 的 4 GB)
- 带 VT-x + VT-d(Intel)或 AMD-Vi(AMD)的 CPU,且都要在固件里打开
- 一块 SSD —— Qubes 跑在机械盘上真的会很难受
- 有线网安装初始系统;Wi-Fi 直通可行,但需要手动把
sys-net绑到
USB 网卡上
安装器会带你过三个高层选择:
- 磁盘布局:默认是 LVM-on-LUKS。如果你有专门给 Qubes 用的
SSD,选”全盘加密除 /boot 之外”的方案。Qubes 上全盘加密比
Fedora 更有意思 —— 威胁模型本身就包含了”有人关机后把 SSD 拔
走,试图读取每个 qube 镜像背后存储”的场景。 - 默认模板:Fedora 41(Xfce)、Debian 12、Whonix 17、还有最小
Fedora 模板都默认勾上。不打算 provision 的取消勾选即可。 - USB 键鼠策略:默认情况下 USB 输入设备走
sys-usb。如果你
的键盘用非标准 HID 协议(游戏键盘常有这毛病),取消勾选 —— 否
则你会盯着卡住的 GRUB 提示符纳闷为啥按键没反应。
最后重启,你会进入 Dom0 的 Xfce4 会话,看到一个不起眼的单窗口写着
“Create a new qube。”点它。
装完后的前 30 分钟
第一天的体验大多是在说服自己这个模型真的能跑通。几个有用的命令:
# 列出所有 qube 及其状态
qvm-ls --raw-data | column -t -s,
# 从 fedora-41-xfce 模板创建一个持久 qube
qvm-create --label red --class AppVM --template fedora-41-xfce personal
# 从 fedora-41-xfce 创建一个 Disposable VM 模板
qvm-create --label gray --class TemplateVM --template fedora-41-xfce fedora-41-dvm
# 把某个 qube 的网络改走 sys-whonix(Tor)而非 sys-firewall
qvm-prefs --set netvm sys-whonix personal两个 UI 上的贴心细节值得记一下:顶栏的 Q 菜单(那个 Xen-aware
的、列出所有运行中 qube 及其应用的菜单)、还有 Ctrl+Alt+Shift
作为”把键盘鼠标从当前 qube 释放出来”的快捷键。在你把第二个内化之
前,偶尔会把密码敲到错的 qube 里,然后不得不撤销它。
2026 年,适不适合你?
老实说大概率不适合,如果你的威胁模型是”我要一台安全笔电日常上上网”。
日常的摩擦是真实的 —— 剪贴板操作略慢、qube 之间的文件传递是显式
而非无缝的、除了 Dom0 你没法轻易地把 GPU 透给任何 qube。
适合你,如果你的威胁模型是:”我想在同一台工作站上,一个恶意的 PDF
读不到我的 GPG 密钥、浏览器里的 XSS 不能钓到我的网银会话、一个被
攻破的 Tor 出口节点去匿名不了我的真实 IP。”这才是 Qubes 服务的人
群,在这个维度上它无可替代。
一个实用的折中:在第二块 SSD 上装 Qubes 做双系统。”正常生活”用
Fedora 或别的,我不信任的事在 Qubes 里干。Qubes 的核心开发者自己就
这么用。
Qubes 4.3.2 是这一年多以来第一个我在当前 AMD Ryzen 笔电上能称之为
“顺滑”而非”凑合”的发布。如果你一直在等一个理由试一下,就是这个。
项目主页:https://www.qubes-os.org/ — 安装指南、硬件兼容列表、
安全架构总览都在那里。
评论