这是本站最具颠覆性的内容，也是人们预期的难度与实际难度之间差距最大的一项。现代 Linux 桌面系统二十分钟就能装好，看起来和你习惯的没什么两样，运行浏览器、视频播放器和办公套件时你根本不会多想。摩擦是真实存在的，但它是具体的，而本指南主要就是告诉你，在你撞上它之前，它在哪里。
01为什么我们建议这样做
要清楚区分哪些是已证实的事实，哪些是怀疑，因为在这个领域，两者经常被混为一谈。
Windows 和 macOS 默认都会发送大量遥测数据，而减少这些数据的设置并不能完全消除它们。两者都推动账户登录、云同步和设备关联标识符。两者都曾推出过扫描或索引本地文件的功能。这些都没有争议，都写在公开文档里。
我们认为，主流商业操作系统很可能包含可供国家使用的访问机制，无论是通过刻意安排、法律强制，还是保留未公开的漏洞。我们无法证明这一点，也不会假装不是这样。我们告诉你这是我们的假设，因为它塑造了我们自己的选择，而你有权自行权衡。
实际论证并不依赖于这个怀疑是否成立。在 Linux 上，源代码是公开的，系统默认不会回传数据，更新不会被用来添加你未要求的功能，使用你自己的电脑也不需要账户。即使从最平淡的角度看，这也比替代方案的表面积小得多。
02选哪一个
有数百个发行版，选择让人瘫痪。但不应该如此：就这个目的而言，它们的相似远多于不同。从第一个开始，只有当你确有理由时才去读其余的。
不是因为它最私密或技术最优雅，它两者都不是。而是因为它拥有迄今为止最大的社区和最多的文档，而这才是真正决定一个转换者能否留下来的因素。当出问题、你搜索错误信息时，返回的答案会是为 Ubuntu 写的。硬件厂商针对它做测试。软件首先为它发布软件包。
它对从 Windows 或 macOS 过来的人也确实友好：二十分钟就能装好，安装程序中提供全盘加密，之后不再向你要求任何东西。
Linux Mint
基于 Ubuntu 构建，移除了 Canonical 的商业附加内容，布局更接近 Windows。如果下面的说明让你介意，但你仍然想要 Ubuntu 的兼容性及其底层解决方案，那就选它。
linuxmint.com ↗Fedora Workstation
软件更新，安全默认设置强大，开箱即启用 SELinux，并且最接近 Linux 开发的主流。每年变化稍多一些。如果你的硬件非常新，这很不错。
fedoraproject.org ↗Canonical 是一家公司，Ubuntu 也因此带有一些随之而来的东西：snap 软件包会被优先推送，取代传统软件包，并按自己的时间表更新；安装程序会提出发送硬件和使用数据（拒绝它，那只是一个复选框，不是一场斗争）；有些版本还在终端中宣传商业服务。
这些都不带敌意，也没有任何隐藏，但这正是 Mint 存在的原因，也是我们在这里点名它的原因，而不是让你以后自己发现。如果这让你介意，Mint 就是没有这些的同一系统。
Arch 及其衍生版非常优秀，但并不适合作为第一个 Linux。 Kali 是用于安全测试的工具集，而不是桌面系统——把它作为日常系统运行是一个常见且糟糕的主意。 Tails 和 Qubes 解决的是完全不同的问题；它们在主指南中有自己的章节。
03在不丢失任何东西的情况下安装它
把你关心的一切复制到外部驱动器，并在继续之前验证你能从该驱动器打开这些文件。安装操作系统是最能可靠暴露你备份根本没用的一种方式。
-
在正式决定前先试用
Linux USB 启动盘会启动到一个完整可用的桌面环境，而不会触碰你的磁盘。用它一个小时。检查那些真正会让你烦的事情：wifi 能用吗，触控板手感正常吗，有声音吗，打印机出现了吗，外接显示器表现正常吗。这就是整个降低风险的步骤，只花你一个晚上。
-
制作 USB 启动盘
从发行版自己的网站下载 ISO，并核对公布的校验和，页面会告诉你怎么做。然后用 balenaEtcher 或 Rufus 写入 USB 启动盘。这个过程会擦除该启动盘。
-
从它启动
重启，并在机器启动时按启动菜单键，通常是 F12、F10、F2 或 Esc，具体取决于制造商。选择 USB 设备。如果它没有出现，你可能需要在 Windows 中禁用快速启动，并且在某些机器上临时关闭 Secure Boot（Mint、Fedora 和 Debian 都支持 Secure Boot，所以通常可以保持开启）。
-
决定：并存，还是替换
安装程序会提供与现有系统并存安装（双启动）或擦除磁盘。 双启动是温和的路线，让你可以回头；这也意味着旧系统仍然在那里，带着你试图摆脱的一切。替换更干净。诚实选择，一个你从不启动进入的双启动，只是一个你忘记了的磁盘分区。
-
开启全盘加密
安装程序会提供此选项。请选择是。否则，任何人捡到这台笔记本电脑，都可以通过从自己的U盘启动来读取其中的所有内容，你的登录密码毫无作用。请使用强密码短语；每次启动时你都需要输入一次。
-
让它安装，然后更新
大约二十分钟。首次启动时，运行更新程序并重启。安装就完成了。
04第一周
获取软件
这是最大的习惯改变，而且是向好的改变。你不会从网站下载安装程序。你打开软件管理器，搜索，然后点击安装。软件包来自你的发行版维护的仓库，经过加密签名，并集中更新，这消除了一整类在Windows上占主导地位的攻击。
你还会遇到另外两个来源：Flatpak，它将应用与其依赖项打包在一起，并在沙箱中运行——适合第三方软件，并且已经集成到Mint和Fedora中。还有终端，它通常是最快的途径：
| 任务 | Debian / Mint / Ubuntu | Fedora |
|---|---|---|
| 更新所有内容 | sudo apt update && sudo apt upgrade | sudo dnf upgrade |
| 安装软件 | sudo apt install vlc | sudo dnf install vlc |
| 卸载软件 | sudo apt remove vlc | sudo dnf remove vlc |
| 搜索 | apt search video editor | dnf search video editor |
| 安装 Flatpak | flatpak install flathub org.videolan.VLC | |
什么替代什么
| 你之前用的 | 改用 | 说明 |
|---|---|---|
| 办公 | LibreOffice / OnlyOffice | 两者都能打开和保存 Word 和 Excel 文件。OnlyOffice 对复杂的 Microsoft 格式还原得更忠实。 |
| Photoshop | GIMP / Krita / Photopea | 说实话有差距。GIMP 功能强大但操作不同；Photopea 在浏览器中运行，最接近原版。 |
| 视频剪辑 | Kdenlive / DaVinci Resolve | Kdenlive 免费且好用。Resolve 是专业软件，可在 Linux 上原生运行。 |
| 媒体播放器 | VLC / mpv | 和在其他所有平台上一样，什么都能播放。 |
| 说明 | Obsidian / Joplin / Logseq | 均可原生运行。 |
| 仅限 Windows 的应用 | Bottles / 虚拟机 | 许多应用可通过兼容层运行。对于无法运行的应用，请在虚拟机中运行 Windows，而不是重新双系统启动。 |
| 游戏 | Steam | Steam 的兼容层可运行大部分 Windows 游戏目录。带有内核级反作弊的竞技游戏是例外，通常无法运行。 |
值得了解的几条命令
你可以在不使用终端的情况下使用 Linux 多年。掌握这五条命令，能在出问题时让你快得多，也能让求助变得高效得多。
| 命令 | 作用 |
|---|---|
ls · cd · pwd | 列出文件夹内容、进入某个文件夹、显示你当前所在位置。 |
sudo | 以管理员身份运行下一条命令。它会要求你输入密码。使用前先想清楚。 |
journalctl -xe | 系统日志，最新的在最后。当某个东西悄无声息地失败时，原因就在这里。 |
systemctl status <name> | 那个后台服务在运行吗，它停止时说了什么。 |
df -h · free -h | 磁盘空间和内存，以人类易读的单位显示。 |
论坛回答和 AI 助手都会给出看起来合理、偶尔会毁掉数据的命令。sudo 会交出一切。如果你不知道某条命令是做什么的，先问清楚它的作用——助手会很乐意逐行解释自己给出的建议，而这个习惯比上表中任何一条命令都更有价值。
05合理的默认设置，以及该在哪里止步
全新安装的桌面 Linux 已经处于不错的状态。有几件事值得做；其余的则超出了桌面实际所需。
-
打开防火墙
大多数桌面发行版都预装了防火墙，但默认未启用。在 Mint 中，打开“防火墙配置”并启用它。在终端中，运行
sudo ufw enable。默认拒绝入站连接是笔记本电脑的正确姿态。 -
不要动 AppArmor 或 SELinux
你的发行版会默认启用其中之一。为了让某个软件能运行而禁用它，是 Linux 桌面上最常见的自找安全漏洞。应该修复具体的规则，或者换用其他工具。
-
不要安装你不需要的 SSH 服务器
桌面电脑不需要接受远程登录。如果你确实想远程访问这台机器，优先在你自己的机器之间使用私有网络，而不是向互联网开放端口。
-
保持更新开启，并真正重启
启用无人值守的安全更新没问题。内核更新只有在重启后才会生效，所以一台从不重启的机器仍在运行旧内核。
-
实验前先创建快照
Timeshift 可以创建系统快照，让你在几分钟内回滚。在第一周就设置好它，之后你改动东西时会大胆得多。
06它不会为你做的事
- 默认无遥测，使用你自己的机器无需账户。
- 来自中央仓库的签名软件，几乎完全消除了下载安装程序的攻击途径。
- 可审查——你或任何人都可以查看它做了什么。
- 默认开启强制访问控制，安装程序中提供全盘加密。
- 旧硬件继续可用，能用十年甚至更久。
- Linux 并非对恶意软件免疫。桌面 Linux 只是目标较小，并非无懈可击，恶意软件包或脚本照样能正常运行。
- 它不会隐藏你的流量。你的网络能看到的东西，它依然能看到。
- 它不保护浏览器，而真正的风险大多集中在那里。
- 它挡不住定向间谍软件。资金充足的攻击者手握一套漏洞利用链，不会因为你选了哪个桌面系统就停下。
- 它无法修复其下已被攻陷的固件层。
07人们真正会问的问题
我的硬件能用吗？
几乎肯定可以。安装前先用 U 盘测试一下，你就能确定，而不是靠猜。历史上比较麻烦的是某些 wifi 芯片组、指纹读取器和非常新的 Nvidia 显卡；这三者都已大幅改善。近期的 Apple Silicon Mac 是真正的例外——支持是有的，但那更像一个项目，而不是一次安装。
是不是要一直跟终端搏斗？
不会。Linux 之所以难，往往是因为你独自面对一个对你毫无意义的报错。现在助手可以解释具体的报错、指出相关工具，并一次提出一个诊断步骤。这填补了一部分知识鸿沟；但它不会让生成的命令变得安全，也不会让助手成为管理员。
有一条规则要始终牢记：绝不要粘贴你无法用自己的话解释清楚的命令。先问它是做什么的，它会告诉你，这个习惯比任何单个修复都更有价值。
我玩游戏。我必须放弃吗？
不用。Steam 的兼容层能在 Linux 上运行很大一部分 Windows 游戏目录，大多数单机游戏直接安装就能玩。真正的例外是需要内核级反作弊的竞技多人游戏，它们大多拒绝运行。
所以双系统启动，把 Windows 留在机器上只用来玩那些游戏，而你的账户、邮件、文件和工作都在 Linux 这边进行。安装程序会帮你设置好。这不是最纯粹的答案，但一个真正在 Linux 上干活的人，远比一个读了指南却什么都没改变的人有价值得多。
我还能用 Microsoft Office 或 Adobe 吗？
网页版可以在浏览器中运行。桌面版无法原生运行；如果你需要，可以在 Windows 虚拟机中运行它们。对自己诚实一点，想想你是否真的需要——对大多数人来说 LibreOffice 或 OnlyOffice 就足够了，而对少数人来说绝对不够，那少数人应该为那一项任务保留一台 Windows 机器。
Linux、macOS 和 Windows 哪个更安全？
面对有针对性的攻击者，一个完全更新的 macOS 或一个启用了现代防护的锁定版 Windows，可以说比普通的 Linux 桌面更难被利用，因为两者都拥有庞大的安全团队和紧密的硬件集成。这是一个真实的答案，我们不会回避它。我们仍然建议 Linux 的原因是，这里要应对的威胁不仅仅是漏洞利用：还有厂商本身、它收集了什么、它可能被强制交出什么，以及你无法查看这一事实。Linux 是这三者中唯一可以查看的。
08来源与延伸阅读
- Linux Mint — 官方用户指南 linuxmint.com/documentation
- Fedora 文档 docs.fedoraproject.org
- Arch Wiki，最好的 Linux 文档，适用于任何发行版 wiki.archlinux.org
- Lynis — 审计你的系统并按优先级列出需要修复的内容 cisofy.com/lynis
- Timeshift — 系统快照与回滚 github.com/linuxmint/timeshift
最后审核：2026年9月25日