Surface Pro/Laptop 用户必看：不关Secure Boot，搞定Arch Linux双系统与驱动签名全流程
Surface Pro/Laptop 用户指南：不关闭 Secure Boot 实现 Arch Linux 双系统完美运行
对于 Surface 设备用户来说，在保持 Windows 系统完整功能的同时运行 Linux 系统一直是个技术挑战。特别是当涉及到 Secure Boot 这一安全功能时，传统方法往往建议直接关闭它，但这会导致 Windows Hello 等核心功能失效。本文将带你探索一条不同的路径——在不牺牲系统安全性的前提下，实现 Arch Linux 与 Windows 的和谐共存。
1. 准备工作：构建安全的双系统基础
在开始安装之前，我们需要做好充分的准备工作。不同于普通 PC，Surface 设备有着独特的硬件架构和安全机制，这要求我们采取更为谨慎的安装策略。
首先，你需要准备以下硬件：
- 至少 16GB 容量的 USB 3.0 闪存盘（推荐使用知名品牌确保稳定性）
- 有线 USB 键盘（Surface 内置键盘在安装初期可能无法使用）
- 备用 Surface 电源适配器（确保安装过程不会因电量不足中断）
软件准备方面：
- 最新版 Arch Linux ISO 镜像（建议从官方镜像站获取）
- Ventoy 启动盘制作工具（比传统工具更灵活可靠）
- 至少 50GB 的未分配磁盘空间（建议通过 Windows 磁盘管理工具预先划分）
提示：在划分磁盘空间时，建议保留至少 20% 的剩余空间作为系统缓冲，这对 Surface 这类高性能设备尤为重要。
制作启动盘时，推荐使用 Ventoy 而非传统工具，因为它具有以下优势：
- 支持多系统镜像共存
- 无需反复格式化 U 盘
- 保持 U 盘原有数据不受影响
- 更好的 UEFI 兼容性
具体操作命令如下：
# 下载并解压 Ventoy wget https://github.com/ventoy/Ventoy/releases/download/v1.0.88/ventoy-1.0.88-linux.tar.gz tar -xzf ventoy-1.0.88-linux.tar.gz cd ventoy-1.0.88 # 安装到 U 盘（请替换 /dev/sdX 为你的实际设备） sudo ./Ventoy2Disk.sh -i /dev/sdX2. 安装 Arch Linux 并保留 Secure Boot
传统安装指南通常会建议关闭 Secure Boot，但这会带来一系列安全妥协。我们将采用更优雅的解决方案，在保持 Secure Boot 开启的状态下完成安装。
启动安装环境的关键步骤：
- 关机状态下按住音量减键并短按电源键
- 在 Surface UEFI 界面确认 Secure Boot 处于开启状态
- 调整启动顺序，将 USB 设备设为第一启动项
- 保存设置并重启
进入 Arch Linux 安装环境后，首先需要建立网络连接。Surface 设备的无线网卡可能需要特殊处理：
# 检查网络接口状态 ip link # 对于 Marvell 无线网卡（常见于 Surface Pro 7 及更早型号） sudo modprobe mwifiex_pcie # 对于较新的 Intel 无线网卡 sudo modprobe iwlwifi分区方案对 Surface 设备尤为重要，推荐采用以下结构：
| 挂载点 | 文件系统 | 大小 | 说明 |
|---|---|---|---|
| /boot | FAT32 | 512M | EFI 系统分区 |
| / | Btrfs | 30G | 根文件系统 |
| /home | Btrfs | 剩余 | 用户数据分区 |
使用fdisk或cfdisk工具进行分区后，执行以下命令完成基础安装：
# 格式化分区 mkfs.fat -F32 /dev/nvme0n1pX # EFI 分区 mkfs.btrfs /dev/nvme0n1pY # 根分区 # 挂载分区 mount /dev/nvme0n1pY /mnt mkdir /mnt/boot mount /dev/nvme0n1pX /mnt/boot # 安装基础系统 pacstrap /mnt base linux linux-firmware3. Surface 专用内核与驱动配置
标准 Linux 内核对 Surface 设备的支持有限，我们需要安装专为 Surface 优化的第三方内核。这不仅解决了硬件兼容性问题，还能提升设备性能表现。
首先添加 Surface Linux 项目的软件源和密钥：
# 导入 GPG 密钥 wget -qO - https://raw.githubusercontent.com/linux-surface/linux-surface/master/pkg/keys/surface.asc | sudo pacman-key --add - # 验证密钥指纹 sudo pacman-key --finger 56C464BAAC421453 sudo pacman-key --lsign-key 56C464BAAC421453 # 添加软件源 echo '[linux-surface]' | sudo tee -a /etc/pacman.conf echo 'Server = https://pkg.surfacelinux.com/arch/' | sudo tee -a /etc/pacman.conf安装 Surface 专用内核和必要驱动组件：
# 更新软件包数据库 sudo pacman -Sy # 安装 Surface 内核和驱动 sudo pacman -S linux-surface linux-surface-headers iptsd libwacom-surface # 启用触摸屏服务 sudo systemctl enable iptsd针对不同型号 Surface 设备的特殊注意事项：
- Surface Pro 7 及更早型号：可能需要额外安装 marvell 固件
- Surface Laptop 3 及以上：需要特别注意音频驱动配置
- Surface Book 系列：分离机制需要特殊处理
安装完成后，更新 initramfs 并配置引导加载程序：
# 更新 initramfs sudo mkinitcpio -P # 安装和配置 GRUB sudo pacman -S grub efibootmgr sudo grub-install --target=x86_64-efi --efi-directory=/boot --bootloader-id=GRUB sudo grub-mkconfig -o /boot/grub/grub.cfg4. Secure Boot 密钥管理与内核签名
这是整个过程中最具技术挑战性的部分。我们需要将自定义内核的密钥注册到系统的 Secure Boot 数据库中，同时不破坏 Windows 原有的安全机制。
首先安装必要的签名工具：
sudo pacman -S linux-surface-secureboot-mok sbsigntools efitools获取 Surface Linux 项目的公钥并导入到 MOK（Machine Owner Key）列表：
# 下载公钥 wget https://raw.githubusercontent.com/linux-surface/linux-surface/master/keys/MOK.cer # 导入到 MOK sudo mokutil --import MOK.cer注意：执行此命令时会提示设置密码，请务必记住这个密码，它将在下次启动时使用。
重启系统后，UEFI 固件会检测到待处理的 MOK 注册请求。按照以下步骤完成注册：
- 在启动菜单中选择 "Enroll MOK"
- 选择 "Continue" 选项
- 选择 "Yes" 确认注册
- 输入之前设置的密码
- 选择 "Reboot" 完成注册
验证密钥是否成功注册：
sudo mokutil --list-enrolled最后，我们需要对 Surface 内核进行签名：
# 查找内核镜像路径 KERNEL=$(ls /boot/vmlinuz-*surface* | head -1) # 使用 sbsign 进行签名 sudo sbsign --key /etc/secureboot/keys/db.key --cert /etc/secureboot/keys/db.crt --output $KERNEL.signed $KERNEL # 替换原有内核 sudo mv $KERNEL.signed $KERNEL5. 系统优化与日常使用技巧
成功安装只是开始，要让 Surface 设备发挥最佳性能，还需要进行一系列优化配置。
电源管理优化（对移动设备尤为重要）：
# 安装 TLP 电源管理工具 sudo pacman -S tlp tlp-rdw # 启用服务 sudo systemctl enable tlp触控和笔输入优化：
# 安装额外输入工具 sudo pacman -S xf86-input-wacom libinput-gestures # 配置触摸屏旋转（适用于 Surface Pro 等可变形设备） echo 'ENV{ID_INPUT_TOUCHSCREEN}=="1", ENV{LIBINPUT_CALIBRATION_MATRIX}="0 1 0 -1 0 1 0 0 1"' | sudo tee /etc/udev/rules.d/99-surface-touchscreen.rules显示和图形性能优化：
# 安装硬件加速组件 sudo pacman -S mesa vulkan-intel libva-intel-driver # 对于带独立显卡的 Surface Book 2/3 sudo pacman -S nvidia nvidia-utils nvidia-settings常见问题排查：
WiFi 连接不稳定：
sudo tee /etc/modprobe.d/mwifiex.conf <<< "options mwifiex pcie_auto_suspend=N"摄像头无法工作：
sudo pacman -S linux-surface-camera休眠/唤醒问题：
sudo nano /etc/systemd/sleep.conf # 添加：HibernateMode=shutdown
经过这些优化后，你的 Surface 设备应该能够完美运行 Arch Linux，同时保持 Windows 系统的完整功能和安全特性。在实际使用中，Surface Linux 社区持续更新驱动和优化，建议定期检查更新：
sudo pacman -Syu