Surface Pro/Laptop 用户必看：不关Secure Boot，搞定Arch Linux双系统与驱动签名全流程

Surface Pro/Laptop 用户指南：不关闭 Secure Boot 实现 Arch Linux 双系统完美运行

对于 Surface 设备用户来说，在保持 Windows 系统完整功能的同时运行 Linux 系统一直是个技术挑战。特别是当涉及到 Secure Boot 这一安全功能时，传统方法往往建议直接关闭它，但这会导致 Windows Hello 等核心功能失效。本文将带你探索一条不同的路径——在不牺牲系统安全性的前提下，实现 Arch Linux 与 Windows 的和谐共存。

1. 准备工作：构建安全的双系统基础

在开始安装之前，我们需要做好充分的准备工作。不同于普通 PC，Surface 设备有着独特的硬件架构和安全机制，这要求我们采取更为谨慎的安装策略。

首先，你需要准备以下硬件：

• 至少 16GB 容量的 USB 3.0 闪存盘（推荐使用知名品牌确保稳定性）
• 有线 USB 键盘（Surface 内置键盘在安装初期可能无法使用）
• 备用 Surface 电源适配器（确保安装过程不会因电量不足中断）

软件准备方面：

• 最新版 Arch Linux ISO 镜像（建议从官方镜像站获取）
• Ventoy 启动盘制作工具（比传统工具更灵活可靠）
• 至少 50GB 的未分配磁盘空间（建议通过 Windows 磁盘管理工具预先划分）

提示：在划分磁盘空间时，建议保留至少 20% 的剩余空间作为系统缓冲，这对 Surface 这类高性能设备尤为重要。

制作启动盘时，推荐使用 Ventoy 而非传统工具，因为它具有以下优势：

1. 支持多系统镜像共存
2. 无需反复格式化 U 盘
3. 保持 U 盘原有数据不受影响
4. 更好的 UEFI 兼容性

具体操作命令如下：

# 下载并解压 Ventoy wget https://github.com/ventoy/Ventoy/releases/download/v1.0.88/ventoy-1.0.88-linux.tar.gz tar -xzf ventoy-1.0.88-linux.tar.gz cd ventoy-1.0.88 # 安装到 U 盘（请替换 /dev/sdX 为你的实际设备） sudo ./Ventoy2Disk.sh -i /dev/sdX

2. 安装 Arch Linux 并保留 Secure Boot

传统安装指南通常会建议关闭 Secure Boot，但这会带来一系列安全妥协。我们将采用更优雅的解决方案，在保持 Secure Boot 开启的状态下完成安装。

启动安装环境的关键步骤：

1. 关机状态下按住音量减键并短按电源键
2. 在 Surface UEFI 界面确认 Secure Boot 处于开启状态
3. 调整启动顺序，将 USB 设备设为第一启动项
4. 保存设置并重启

进入 Arch Linux 安装环境后，首先需要建立网络连接。Surface 设备的无线网卡可能需要特殊处理：

# 检查网络接口状态 ip link # 对于 Marvell 无线网卡（常见于 Surface Pro 7 及更早型号） sudo modprobe mwifiex_pcie # 对于较新的 Intel 无线网卡 sudo modprobe iwlwifi

分区方案对 Surface 设备尤为重要，推荐采用以下结构：

使用fdisk或cfdisk工具进行分区后，执行以下命令完成基础安装：

# 格式化分区 mkfs.fat -F32 /dev/nvme0n1pX # EFI 分区 mkfs.btrfs /dev/nvme0n1pY # 根分区 # 挂载分区 mount /dev/nvme0n1pY /mnt mkdir /mnt/boot mount /dev/nvme0n1pX /mnt/boot # 安装基础系统 pacstrap /mnt base linux linux-firmware

3. Surface 专用内核与驱动配置

标准 Linux 内核对 Surface 设备的支持有限，我们需要安装专为 Surface 优化的第三方内核。这不仅解决了硬件兼容性问题，还能提升设备性能表现。

首先添加 Surface Linux 项目的软件源和密钥：

# 导入 GPG 密钥 wget -qO - https://raw.githubusercontent.com/linux-surface/linux-surface/master/pkg/keys/surface.asc | sudo pacman-key --add - # 验证密钥指纹 sudo pacman-key --finger 56C464BAAC421453 sudo pacman-key --lsign-key 56C464BAAC421453 # 添加软件源 echo '[linux-surface]' | sudo tee -a /etc/pacman.conf echo 'Server = https://pkg.surfacelinux.com/arch/' | sudo tee -a /etc/pacman.conf

安装 Surface 专用内核和必要驱动组件：

# 更新软件包数据库 sudo pacman -Sy # 安装 Surface 内核和驱动 sudo pacman -S linux-surface linux-surface-headers iptsd libwacom-surface # 启用触摸屏服务 sudo systemctl enable iptsd

针对不同型号 Surface 设备的特殊注意事项：

• Surface Pro 7 及更早型号：可能需要额外安装 marvell 固件
• Surface Laptop 3 及以上：需要特别注意音频驱动配置
• Surface Book 系列：分离机制需要特殊处理

安装完成后，更新 initramfs 并配置引导加载程序：

# 更新 initramfs sudo mkinitcpio -P # 安装和配置 GRUB sudo pacman -S grub efibootmgr sudo grub-install --target=x86_64-efi --efi-directory=/boot --bootloader-id=GRUB sudo grub-mkconfig -o /boot/grub/grub.cfg

4. Secure Boot 密钥管理与内核签名

这是整个过程中最具技术挑战性的部分。我们需要将自定义内核的密钥注册到系统的 Secure Boot 数据库中，同时不破坏 Windows 原有的安全机制。

首先安装必要的签名工具：

sudo pacman -S linux-surface-secureboot-mok sbsigntools efitools

获取 Surface Linux 项目的公钥并导入到 MOK（Machine Owner Key）列表：

# 下载公钥 wget https://raw.githubusercontent.com/linux-surface/linux-surface/master/keys/MOK.cer # 导入到 MOK sudo mokutil --import MOK.cer

注意：执行此命令时会提示设置密码，请务必记住这个密码，它将在下次启动时使用。

重启系统后，UEFI 固件会检测到待处理的 MOK 注册请求。按照以下步骤完成注册：

1. 在启动菜单中选择 "Enroll MOK"
2. 选择 "Continue" 选项
3. 选择 "Yes" 确认注册
4. 输入之前设置的密码
5. 选择 "Reboot" 完成注册

验证密钥是否成功注册：

sudo mokutil --list-enrolled

最后，我们需要对 Surface 内核进行签名：

# 查找内核镜像路径 KERNEL=$(ls /boot/vmlinuz-*surface* | head -1) # 使用 sbsign 进行签名 sudo sbsign --key /etc/secureboot/keys/db.key --cert /etc/secureboot/keys/db.crt --output $KERNEL.signed $KERNEL # 替换原有内核 sudo mv $KERNEL.signed $KERNEL

5. 系统优化与日常使用技巧

成功安装只是开始，要让 Surface 设备发挥最佳性能，还需要进行一系列优化配置。

电源管理优化（对移动设备尤为重要）：

# 安装 TLP 电源管理工具 sudo pacman -S tlp tlp-rdw # 启用服务 sudo systemctl enable tlp

触控和笔输入优化：

# 安装额外输入工具 sudo pacman -S xf86-input-wacom libinput-gestures # 配置触摸屏旋转（适用于 Surface Pro 等可变形设备） echo 'ENV{ID_INPUT_TOUCHSCREEN}=="1", ENV{LIBINPUT_CALIBRATION_MATRIX}="0 1 0 -1 0 1 0 0 1"' | sudo tee /etc/udev/rules.d/99-surface-touchscreen.rules

显示和图形性能优化：

# 安装硬件加速组件 sudo pacman -S mesa vulkan-intel libva-intel-driver # 对于带独立显卡的 Surface Book 2/3 sudo pacman -S nvidia nvidia-utils nvidia-settings

常见问题排查：

1. WiFi 连接不稳定：

   sudo tee /etc/modprobe.d/mwifiex.conf <<< "options mwifiex pcie_auto_suspend=N"

2. 摄像头无法工作：

   sudo pacman -S linux-surface-camera

3. 休眠/唤醒问题：

   sudo nano /etc/systemd/sleep.conf # 添加：HibernateMode=shutdown

经过这些优化后，你的 Surface 设备应该能够完美运行 Arch Linux，同时保持 Windows 系统的完整功能和安全特性。在实际使用中，Surface Linux 社区持续更新驱动和优化，建议定期检查更新：

sudo pacman -Syu