如果你想确认 Linux 内核编译参数，例如 CONFIG_NF_CONNTRACK 是否启用，建议按照这个顺序排查：先查看 /proc/config.gz，前提是已经开启 CONFIG_IKCONFIG 和 CONFIG_IKCONFIG_PROC；如果这里查不到，再去看 /boot/config-$(uname -r)；如果仍然不可用，最后可以直接从 vmlinuz 中使用 extract-ikconfig 提取内核配置。顺便提醒，sysctl -a 显示的只是 Linux 内核运行时参数，并不等同于内核编译配置。
要查看具体的 Linux 内核配置参数，也就是 Kconfig 编译选项，例如 CONFIG_NF_CONNTRACK 是否被编译进内核，不能只依赖 sysctl -a —— 它展示的是运行时可调整参数，与内核编译阶段是否包含某项功能并不是一回事。
/proc/config.gz 是查看内核配置参数最直接的方法，但要先确认文件是否存在
这个文件通常是内核自带的完整编译配置压缩包，只要内核启用了 CONFIG_IKCONFIG 和 CONFIG_IKCONFIG_PROC，一般就会生成。检查方法很简单：
- 执行
zcat /proc/config.gz 2>/dev/null | head -n 1，如果有输出，说明该方式可用；如果没有输出或提示No such file or directory，说明当前系统不支持 - 如果遇到权限不足，可加上
sudo，部分发行版（如 Ubuntu）默认限制普通用户访问 - 在 ARM 或嵌入式 Linux 设备上，这个文件缺失的情况比较常见，而在 x86_64 服务器环境中通常更容易看到
- 还可以使用
zgrep CONFIG_IKCONFIG /proc/config.gz，进一步确认这两个依赖选项是否都为y
/boot/config-$(uname -r) 是最常见的备用查询方案
大多数主流 Linux 发行版，如 Ubuntu、CentOS、Debian，在安装内核时都会把对应的内核配置文件复制到 /boot/ 目录下，文件命名规则通常固定：
- 先运行
uname -r获取当前内核版本，例如6.8.0-45-generic - 然后尝试读取
cat /boot/config-$(uname -r)；注意路径中必须包含短横线-，少写一个都会导致失败 - 这个文件属于静态配置快照，只要当前运行的内核镜像没有更换，它通常就与当前内核版本一一对应
- 如果是自行编译的自定义内核，可能没有生成该文件，也可能被管理员手动删除
从 vmlinuz 提取配置：只有前两种方式都不可用时再考虑
如果 /proc/config.gz 和 /boot/config-* 都无法使用，并且你确认内核编译时启用了 CONFIG_IKCONFIG（只是没有暴露到 /proc），那么可以借助 extract-ikconfig 工具，从内核镜像中反向提取配置：
- 常用命令是
extract-ikconfig /boot/vmlinuz-$(uname -r)，路径一定要写对，不要误写成vmlinux或initrd extract-ikconfig通常随kernel-devel相关包提供：apt install linux-source（Debian/Ubuntu）或yum install kernel-devel（RHEL/CentOS）- 不建议依赖
/proc/kcore：文件体积很大、读取速度慢，而且很多系统默认禁止访问
不要把 sysctl 误当成查看 Kconfig 的工具
sysctl -a 显示的是 /proc/sys/ 下的运行时内核参数，而内核编译配置（Kconfig）属于完全不同的体系：
- 例如
sysctl net.ipv4.ip_forward返回1，只能说明当前 IPv4 转发开关已开启，并不能证明内核编译时一定包含了对应支持（CONFIG_IP_FORWARD） sysctl也无法修改像CONFIG_SMP这样决定内核架构能力的选项——这类参数在编译时就已经固定- 如果你想确认某个功能“是否被内核支持”，必须查看 Kconfig；如果你想了解这个功能“当前如何运行”，才应该查看
sysctl
实际排查中，最容易被忽略的往往是验证步骤：拿到配置文件后，直接使用 grep CONFIG_NETFILTER /boot/config-$(uname -r) 查找目标参数，通常比手动翻完整个配置文件更高效；但如果前面的可用性检查没有做好，在 ARM 设备或精简版内核环境中，很可能只是白费时间。
