Rocky Linux 8.4局域网yum源共享实战：从单机到多机的完整配置指南

Rocky Linux 8.4 企业内网Yum源共享架构：从单点部署到规模化运维的深度实践

在企业级IT基础设施的日常运维中，软件包的高效、稳定分发是保障业务连续性的基石。尤其是在内网环境，或出于安全合规要求，或为了提升软件安装与更新的速度，构建一个私有的、可共享的软件仓库（Yum源）几乎是每个系统管理员必须掌握的技能。Rocky Linux，作为RHEL的可靠替代品，其稳定性和社区支持使其在企业环境中日益普及。本文将从一个真实的、可扩展的视角出发，为你详细拆解如何在Rocky Linux 8.4环境下，将一份ISO镜像，从一个单机使用的本地源，演变为一个可供整个局域网成百上千台服务器共享的、健壮的企业级Yum源服务。这不仅仅是几个命令的堆砌，更涉及服务架构、权限控制、性能优化和故障排查的完整闭环。

1. 架构规划与基础环境准备

在动手敲下第一条命令之前，清晰的架构规划能避免后续大量的返工。我们的目标是在一台服务器（我们称之为源服务器，假设IP为192.168.1.100）上部署共享服务，使局域网内所有其他Rocky Linux服务器（客户端）都能通过HTTP协议访问其上的软件包。

核心架构图景：

• 源服务器角色：承担ISO镜像的挂载、HTTP服务发布、访问控制等职责。
• 客户端角色：仅需修改Yum仓库配置，指向源服务器的HTTP地址。
• 网络前提：确保所有服务器位于同一局域网段，网络互通，且防火墙策略允许相关端口（默认HTTP 80端口）的访问。

注意：在生产环境中，盲目关闭防火墙（firewalld）并非最佳实践。我们将采用更精细的防火墙规则控制，仅在必要时开放特定端口。

首先，在源服务器192.168.1.100上，我们需要准备好Rocky Linux 8.4的完整DVD镜像。你可以从官方或可信镜像站下载，例如文件名为Rocky-8.4-x86_64-dvd1.iso。将其上传至服务器的合适位置，例如/opt目录。

# 假设已通过scp或其他方式将镜像上传至/opt
ls -lh /opt/Rocky-8.4-x86_64-dvd1.iso

接下来，创建一个用于挂载镜像的专用目录。虽然/mnt是传统的挂载点，但为了管理清晰，我更喜欢创建一个更具描述性的目录。

sudo mkdir -p /mnt/rocky8.4-iso

现在，使用mount命令挂载ISO文件。这里的关键是-o loop选项，它允许我们将一个文件（镜像）当作块设备来挂载。

sudo mount -o loop /opt/Rocky-8.4-x86_64-dvd1.iso /mnt/rocky8.4-iso/

挂载成功后，你可以通过df -h命令查看挂载状态，并浏览镜像内容。

df -h | grep rocky8.4-iso
ls /mnt/rocky8.4-iso/

你应该能看到AppStream和BaseOS这两个核心目录，它们包含了所有的RPM软件包和仓库元数据。

2. 构建本地Yum源：单机可用性验证

在共享之前，确保源服务器自身能正确使用这个本地源是第一步。这能帮助我们提前排除镜像损坏或挂载问题。

Rocky Linux 8的仓库配置文件存放在/etc/yum.repos.d/目录下。我们首先需要禁用或备份所有默认的在线仓库，然后创建一个指向本地挂载点的仓库文件。

推荐的操作流程：

1. 备份现有仓库配置：这是一个好习惯，便于随时恢复。

   sudo mkdir -p /etc/yum.repos.d/backup
   sudo mv /etc/yum.repos.d/Rocky-*.repo /etc/yum.repos.d/backup/
   

2. 创建本地仓库文件：新建一个文件，例如/etc/yum.repos.d/local-rocky.repo。

   sudo vi /etc/yum.repos.d/local-rocky.repo
   

3. 编辑仓库配置：将以下内容写入文件。这里我们配置了两个仓库：local-baseos和local-appstream。

   [local-baseos]
   name=Rocky Linux $releasever - Local BaseOS
   baseurl=file:///mnt/rocky8.4-iso/BaseOS
   gpgcheck=0
   enabled=1
   
   [local-appstream]
   name=Rocky Linux $releasever - Local AppStream
   baseurl=file:///mnt/rocky8.4-iso/AppStream
   gpgcheck=0
   enabled=1
   

   • baseurl：使用file://协议指向本地挂载路径。
   • gpgcheck=0：禁用GPG签名检查（因为本地镜像通常已内置签名，但为简化初始配置可先关闭，后续可启用）。
   • enabled=1：启用该仓库。

4. 清理并重建缓存：让Yum/DNF识别新的仓库配置。

   sudo dnf clean all
   sudo dnf makecache
   

   如果看到成功从local-baseos和local-appstream仓库下载元数据的提示，说明本地源配置成功。

5. 功能验证：尝试安装一个软件包进行测试。

   sudo dnf install -y htop
   

   如果安装过程顺利，没有去尝试连接网络地址，则证明本地源工作正常。

3. 部署HTTP共享服务：从本地到网络

单机可用只是起点。要让局域网内其他机器访问，我们需要一个HTTP服务器来发布/mnt/rocky8.4-iso目录的内容。Apache HTTP Server (httpd) 是Rocky Linux上的标准选择，稳定且易于配置。

3.1 安装与配置HTTPD

在源服务器上安装httpd：

sudo dnf install -y httpd

安装完成后，默认的网站根目录是/var/www/html。我们不建议直接挂载或复制整个ISO内容到这里，而是创建一个符号链接（软链接）。这样做的好处是，当挂载点发生变化时，只需更新链接，而无需修改HTTPD配置。

sudo ln -sf /mnt/rocky8.4-iso /var/www/html/rocky8.4

现在，通过浏览器访问http://192.168.1.100/rocky8.4/，应该就能看到ISO镜像的目录列表了。

3.2 精细化的防火墙配置

直接关闭防火墙是粗暴且不安全的。我们应该只开放必要的80端口（如果使用HTTPS则是443端口）。

# 查看firewalld当前活跃的zone，通常是public
sudo firewall-cmd --get-active-zones

# 在public zone中永久添加http服务，并立即生效
sudo firewall-cmd --permanent --zone=public --add-service=http
sudo firewall-cmd --reload

# 验证规则
sudo firewall-cmd --zone=public --list-all

你应该能在输出中看到services: cockpit dhcpv6-client http ssh之类的信息，其中包含了http。

3.3 优化HTTPD服务与权限

默认配置可能需要对目录浏览进行优化。编辑Apache的配置文件/etc/httpd/conf/httpd.conf，确保用于链接的目录有适当的Options。通常，在主<Directory "/var/www/html">指令块中，Options Indexes FollowSymLinks是默认存在的，这允许索引和跟踪符号链接，正好满足我们的需求。

设置HTTPD服务开机自启并立即启动：

sudo systemctl enable --now httpd
sudo systemctl status httpd # 检查运行状态

4. 客户端配置与规模化接入

现在，局域网内的任何一台Rocky Linux 8.4客户端服务器，都可以配置使用这个共享源了。

4.1 基础客户端配置

在客户端机器上（例如IP为192.168.1.101），操作与源服务器初始配置类似，但baseurl指向HTTP地址。

1. 备份原有仓库。
2. 创建新的仓库文件，如/etc/yum.repos.d/company-rocky.repo。

   [company-baseos]
   name=Rocky Linux $releasever - Company BaseOS
   baseurl=http://192.168.1.100/rocky8.4/BaseOS
   gpgcheck=0
   enabled=1
   
   [company-appstream]
   name=Rocky Linux $releasever - Company AppStream
   baseurl=http://192.168.1.100/rocky8.4/AppStream
   gpgcheck=0
   enabled=1
   

3. 清理并重建缓存。

   sudo dnf clean all
   sudo dnf makecache
   

4. 验证：尝试安装软件，并观察是否从192.168.1.100下载。

4.2 高级主题：访问控制与安全增强

对于企业环境，无限制的访问可能不符合安全策略。我们可以通过HTTPD配置实现简单的IP访问控制。

在源服务器的HTTPD配置中，可以为/var/www/html/rocky8.4目录添加一个额外的配置文件（例如/etc/httpd/conf.d/rocky-repo.conf）：

<Directory "/var/www/html/rocky8.4">
    # 允许来自192.168.1.0/24网段和本机的访问
    Require ip 192.168.1.0/24 127.0.0.1
    # 或者，结合允许和拒绝规则
    # Require all granted
    # Deny from 192.168.1.50
</Directory>

修改后需要重启HTTPD服务：sudo systemctl restart httpd。

关于GPG检查：为了提高安全性，建议启用GPG检查。这需要将镜像中的公钥文件（通常位于/mnt/rocky8.4-iso/RPM-GPG-KEY-rockyofficial）分发到所有客户端，并在客户端仓库配置中指定：

gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-rockyofficial

你需要手动将公钥文件复制到客户端的/etc/pki/rpm-gpg/目录下。

4.3 自动化与批量部署

当客户端数量庞大时，手动配置每一台机器效率低下。可以采用以下方法自动化：

• 使用配置管理工具：如Ansible、SaltStack、Puppet。下面是一个简单的Ansible Playbook片段，用于批量配置客户端仓库：

  - name: 配置客户端使用内部Yum源
    hosts: rocky_clients
    tasks:
      - name: 备份原有repo文件
        shell: mkdir -p /etc/yum.repos.d/backup && mv /etc/yum.repos.d/Rocky-*.repo /etc/yum.repos.d/backup/ 2>/dev/null || true
      - name: 部署内部repo配置文件
        copy:
          content: |
            [company-baseos]
            name=Rocky Linux $releasever - Company BaseOS
            baseurl=http://192.168.1.100/rocky8.4/BaseOS
            gpgcheck=0
            enabled=1
  
            [company-appstream]
            name=Rocky Linux $releasever - Company AppStream
            baseurl=http://192.168.1.100/rocky8.4/AppStream
            gpgcheck=0
            enabled=1
          dest: /etc/yum.repos.d/company-rocky.repo
          owner: root
          group: root
          mode: '0644'
      - name: 清理Yum缓存
        command: dnf clean all
      - name: 建立新缓存
        command: dnf makecache
  

• 使用Kickstart或云初始化：在系统安装阶段就预置内部仓库配置。

5. 生产环境维护与故障排查

一个稳定的共享源服务离不开日常维护。

5.1 确保开机自动挂载

源服务器重启后，ISO镜像需要能自动重新挂载。编辑/etc/fstab文件，添加一行：

/opt/Rocky-8.4-x86_64-dvd1.iso  /mnt/rocky8.4-iso  iso9660  loop,ro,auto  0  0

参数说明：

• loop：以回环设备方式挂载。
• ro：只读挂载。
• auto：系统启动时自动挂载。

添加后，可以使用sudo mount -a测试配置是否正确，并且不会报错。

5.2 监控与日志

• HTTP访问日志：/var/log/httpd/access_log，可以监控哪些客户端在访问、访问频率如何。
• HTTP错误日志：/var/log/httpd/error_log，用于排查权限、路径等错误。
• Yum/DNF操作日志：客户端的操作可以通过系统日志（journalctl）或DNF历史（dnf history）查看。

5.3 常见问题排查表

5.4 性能优化与扩展

• 使用Nginx或Lighttpd：对于超高并发场景，Nginx在处理静态文件（RPM包）时可能比Apache httpd更有优势。
• 镜像同步与更新：本文基于静态ISO。在实际生产中，你需要定期同步官方仓库的更新。可以使用reposync工具（来自yum-utils或dnf-utils包）将远程仓库同步到本地目录，然后结合createrepo_c工具生成仓库元数据。这个过程可以编写脚本并放入cron定时任务。
• 负载均衡与高可用：对于超大规模集群，单一的源服务器可能成为瓶颈和单点故障。可以考虑使用多台服务器同步相同的仓库内容，并在前端使用负载均衡器（如HAProxy）进行分发，实现高可用。

在项目后期，我们遇到了客户端数量超过200台的情况，最初的单点HTTPD服务器在高峰时段出现了CPU和I/O瓶颈。当时的解决方案是引入了一台Nginx服务器作为前端缓存代理，并配置了更激进的静态文件缓存策略，同时将仓库文件存储迁移到了由多块SSD组成的RAID阵列上，性能提升非常显著。另一个深刻的教训是关于fstab的配置：有一次服务器异常重启后，因为ISO文件路径被移动，导致挂载失败，整个内网的软件安装都中断了。自此之后，我们不仅在fstab中使用UUID或绝对路径，还会在rc.local或systemd service中添加一个简单的挂载状态检查脚本，确保服务依赖的存储状态是健康的。这些细节，往往才是企业级运维中真正考验人的地方。