2024年6月30日我手里最后一台CentOS 7.9服务器在做例行维护时yum update 第一次大面积报错。仓库源找不到官方同步从mirror列表撤下所有rpm包被转到vault归档。这个时间点其实从2020年底红帽宣布调整CentOS项目方向起就能算到CentOS 8先行停服CentOS 7又撑了两年半。可真到生产环境几十台机器摆在面前选个什么系统来顶替压力比我预想中大很多。这篇文章把我大半年做替代选型和迁移的完整过程写下来。不打算只丢几张对比表格更多是讲清楚我为什么这样选、迁移时哪些操作最容易翻车以及换系统之后最常见的磁盘扩容、SSH升级、网络排查、应用部署实操。内容主要面向正在维护CentOS 6/7/8存量机器、需要找一个能承接业务又不至于让整个团队重新学一遍的运维和开发同学如果你手上只有几台实验机器里面的底层思路和脚本命令同样可以直接套用。1. CentOS停止维护对存量服务器到底意味着什么1.1 先把时间线和“停服”这件事说透很多刚接手服务器的人以为“CentOS停止维护”只是社区换个名字继续更新其实完全不是一回事。CentOS Linux 8在2021年12月31日结束支持CentOS Linux 7在2024年6月30日结束支持。这里的“结束支持”指的是红帽和上游社区不再为这两个分支提供安全补丁、功能更新和关键内核修复。官方仓库被移到vault.centos.org归档普通镜像站随后也把同步策略切掉了。于是产生一个很隐蔽的连锁问题系统不会立刻崩溃但所有基础组件的风险系数都在直线上升。你今天不更新不代表没事明天出了个高危漏洞你既拿不到官方补丁也不能指望第三方镜像站继续托管这些安全包。更麻烦的是软件生态会逐渐“石化”新版本的应用需要更高版本的glibc、OpenSSL或GCC运行时老系统上的依赖库一旦跟不上要么装不上要么装上之后行为异常。CentOS Stream又是另一码事。Stream是RHEL的上游滚动发行版可以理解为“RHEL开发版”和原来那个“RHEL编译后完全兼容的稳定发行版”完全是两条路线。如果团队没有多余的精力追滚动更新不建议拿Stream顶替生产业务的CentOS Linux。1.2 继续用CentOS 7你实际要面对的风险是什么我在维护过程中遇到过一个特别典型的场景客户想给跑CentOS 7的老机器升级OpenSSH因为等保扫描报了一堆SSH漏洞。热搜词里也有“centos 7.9 opensshd升级至10.5”。问题是CentOS 7默认的OpenSSH是7.4这套版本和配套的OpenSSL、PAM、Kerberos依赖链非常老从源码编译新版SSH很容易出现PAM认证失效、SELinux上下文异常、动态链接库不匹配之类的坑。升级SSH只是绕路真正核心的风险网罗起来有这么几条安全风险高危CVE出来后没有官方补丁防火墙和WAF只能缓解部分网络层攻击本地提权和中间人攻击很难防住。合规风险等保、行业安全规范、年度渗透测试都会检查操作系统版本和补丁更新情况EOL系统在审计表格里基本直接红牌。兼容性风险新网卡驱动、新RAID控制器、Docker新版本、Kubernetes运行时对内核版本有要求CentOS 7默认内核3.10很多能力跟不上。运维成本风险越老越难找人修。新人不愿意学老系统的故障排查方式老人不断重复给老系统打补丁这种技术债只会越滚越重。所以不要有“停服就停服很多老系统还不是照样跑”的侥幸心理。偶尔一两台内网隔离的小机器可以缓一缓生产关键业务必须尽快做替代。2. 替代系统横向对比RHEL系继承者和其他流派2.1 Rocky Linux社区接棒最稳的选择Rocky Linux是我给自己的物理服务器选的最多的一套系统。它是CentOS创始人之一Greg Kurtzer发起的项目目标非常明确延续CentOS原有的定位做RHEL的1:1兼容重新构建版。当前活跃版本是Rocky Linux 9配套的还有Rocky Linux 8生命周期基本跟随RHEL大约10年。官方提供了migrate2rocky工具可以在RHEL系发行版之间做就地迁移。我倾向Rocky的原因很简单它最像“原来的CentOS”。你原来用systemctl管理服务它一样原来用firewalld开端口它一样原来用yum/dnf装包它也一样。从CentOS 7跳到Rocky 9中间虽然跨了大版本但命令习惯和学习曲线几乎没有变化团队迁移成本最低。2.2 AlmaLinux有商业背景的平替方案AlmaLinux是CloudLinux公司发起的项目同样做RHEL兼容重建提供免费的社区版。它在云原生方向上比Rocky稍微激进一点官方镜像很早就覆盖了AWS、Azure、Google Cloud以及国内主流云平台。迁移工具是almalinux-deploy官方文档写得比较详细支持从CentOS 7/8、Rocky等系统迁移。AlmaLinux和RockyLinux在技术层面真的拉不开太大差距。两者都是RHEL二进制兼容rpm包基本通用。你选哪个更多取决于习惯和社区维护风格。如果你希望背后有一个商业公司兜底AlmaLinux会让人更安心如果你更信任纯粹社区治理模式Rocky更对味。2.3 Oracle Linux与openEuler变数更多但特定场景很香Oracle Linux最大的价值在于和Oracle数据库、WebLogic这些软件栈的深度配合。默认可以选择Red Hat兼容内核或Oracle自己的UEK内核UEK对新硬件特性的支持更好。如果机房里有大量Oracle数据库实例Oracle Linux能省去很多驱动和内核参数调优的麻烦。openEuler走的则是另一条路。它是开放原子开源基金会下的开源操作系统社区版本周期有明确的LTS节奏比如20.03 LTS、22.03 LTS、24.03 LTS。它对x86、ARM、RISC-V多架构的支持比较完整尤其在国产化芯片生态适配上有明显积累。命令习惯和RHEL系很接近但默认安全策略、部分包名和工具链有差异。做国产化适配或特定硬件平台交付的项目openEuler是绕不开的选项。2.4 Debian/Ubuntu换赛道但能解决一部分人痛点如果你的业务基本跑在Docker、Kubernetes、Nginx、Java/Python这类跨平台技术栈上其实Debian 12和Ubuntu 22.04/24.04 LTS完全可以做替代。这类系统的软件仓库更新速度快云原生生态好网上资料特别多。Debian标准支持约5年Ubuntu 24.04 LTS标准支持到2029年购买Ubuntu Pro还能延长支持时间。代价是运维习惯要换一批。包管理从rpm变成了deb软件包名称完全不同网络配置要从ifcfg-eth0思维切到netplanSELinux被AppArmor部分替代很多RHEL系专用命令也变了。如果团队对Linux的理解停留在“会用系统拉服务”层面这个切换成本会非常痛苦。我整理了一张对照表方便你快速做筛选系统维护方生命周期RHEL兼容性迁移工具适合场景Rocky Linux 9Rocky社区约10年高migrate2rocky传统生产服务器、数据库、中间件AlmaLinux 9CloudLinux长期免费高almalinux-deploy云上部署、容器化、稳定优先Oracle Linux 9Oracle订阅/免费高官方迁移脚本Oracle数据库栈openEuleropenEuler社区LTS约4-6年中x2openEuler国产化芯片、自主创新项目Debian 12Debian社区约5年低重新部署云原生、开发环境Ubuntu 24.04 LTSCanonical10年Pro低重新部署云原生、AI、开发桌面2.5 为什么主流建议还是优先看Rocky和AlmaLinux一个很现实的原因业务平滑。RHEL系切到RHEL系需要改动的面最小。SELinux策略、firewalld配置、systemd单元、yum/dnf包管理基本不用从零学。你原来在CentOS上编译好的自研二进制、依赖特定glibc版本的私有软件换到Rocky/Alma之后大概率能直接跑。从CentOS 7迁到Debian则是另一码事很多依赖RHEL工具链的脚本要重写数据库驱动和运行库也可能要重新编译。另一个原因是生态延续性。商业中间件、备份软件、安全客户端、监控Agent很多只针对RHEL系提供rpm安装包。你在政府采购或企业内部系统集成时经常会遇到“只支持CentOS/RHEL”的说法Rocky和Alma是用最小成本消除这类限制的答案。3. 选型判断与平滑迁移路径别把替代做成重写3.1 选型前先回答三个问题第一个问题业务依赖的软件生态是不是RHEL系比如Oracle、WebSphere、部分商业备份软件和安全终端只提供rpm包那基本只能在Rocky/Alma/Oracle Linux里选硬切Debian只会给自己找麻烦。第二个问题团队运维能力踩在哪个段位如果团队熟悉的是systemctl、firewalld、nmcli这一套Rocky/Alma是顺手的如果团队本来就更熟Docker和Kubernetes已经很少直接碰操作系统底层Debian/Ubuntu反而更轻便。第三个问题未来三年有没有国产化、自主创新适配的规划如果有尽早把openEuler纳入测试环境别等服务迁移到一半才临时换底座。我不太建议一个团队同时引入两套完全不同的系统。生产环境优先统一到Rocky/Alma新开发环境允许使用Ubuntu已经是我能接受的比较稳妥的组合了。3.2 先定版本策略再谈迁移方式CentOS 7是2014年发布的系统glibc 2.17OpenSSL 1.0.2跟Rocky 8glibc 2.28以及Rocky 9glibc 2.34之间存在很大的代差。老系统上有些私有二进制依赖旧libc直接迁到9可能跑不起来。好消息是CentOS 8和Rocky/Alma 8同属RHEL 8系几乎可以无痛平移CentOS 7迁到Rocky/Alma 9业务代码层面改动大一些需要严格做兼容性验证。我的建议是存量CentOS 7机器优先迁到Rocky/Alma 8把业务跑稳后再按节奏升级到9新采购的服务器直接装Rocky/Alma 9或Ubuntu 24.04没必要为了“统一版本”强行降低新机器配置。CentOS 8存量机器则可以直迁Rocky 8/Alma 8不会有大版本鸿沟。3.3 迁移前必做的三件事第一资产盘点与备份。迁移不是简单重装系统要先把机器上所有服务、数据盘、计划任务、配置文件摸清楚。实用操作是先用脚本把所有关键配置文件打包再对数据目录做一次rsync增量备份数据库执行逻辑备份。有条件的话用虚拟化平台或云厂商快照做整机快照这比任何处理都直接。第二软件源切换。如果部分机器短期内迁不走至少要把CentOS 7的软件源从官方默认地址切到vault。vault是CentOS的归档仓库里面保存了停服前的所有rpm包和元数据切过去之后yum还能继续装老包但不会有任何安全更新。这里我要刻意强调这只是过渡方案不是终点。第三镜像下载与校验。下载Rocky/Alma ISO或最小镜像时用官方站点或国内大厂镜像源下载完成后核对SHA256校验值。我见过很多老运维下载镜像不校验结果在安装阶段出现莫名其妙的包损坏再排查半天发现是镜像问题纯浪费时间。3.4 三种迁移方案怎么选方案A是全新安装加数据迁移。适合系统版本跨度大、业务允许停机维护的场景。在保留数据盘的前提下重装系统然后按清单重新部署软件最后把数据目录切过去。优点是系统干净配置一次到位缺点是时间成本和人工成本高。方案B是就地替换。Rocky官方提供migrate2rocky脚本AlmaLinux提供almalinux-deploy能在不重装的情况下把系统替换掉。操作前保留完整快照脚本执行过程中如果网络中断或包冲突系统可能彻底起不来。我在测试环境跑成功过几次但生产机器我基本只用它处理CentOS 8到Rocky/Alma 8这种同系平移。方案C是并行替换。搭建一套新系统部署服务和数据同步最后切流量。对无状态服务或者可以做主从复制的数据库这是风险最低的方案也是我在线上用得最多的方式。# Rocky官方工具migrate2rocky需要epel源 curl -O https://raw.githubusercontent.com/rocky-linux/rocky-tools/main/migrate2rocky/migrate2rocky.sh chmod x migrate2rocky.sh # 迁移到Rocky 9 ./migrate2rocky.sh -r 9AlmaLinux的官方迁移工具更简单# 安装almalinux-deploy yum install -y almalinux-deploy # 执行迁移 almalinux-deploy无论用哪个工具我都强烈建议先在一台克隆出来的测试机上演练一遍并记录下所有软件源切换日志避免等在业务高峰期翻车。4. 换系统后必踩的几道运维实操坎从磁盘到SSH4.1 LVM空间不够把home的空间挪给根分区热搜里有两个很扎心的场景“centos扩容”和“centos lv ao-home 挪空间”。这通常是安装系统时给根分区分配空间太小/home却占了大量空间结果数据越装越满根分区告警。RHEL系默认文件系统是XFSXFS可以在线扩容但不能在线缩容这是所有空间调整操作的底层约束。想从/home挪空间给根分区核心思路是先把/home的数据搬走删除或缩小home的LV再利用释放出的空余空间扩大根LV。下面是一个完整操作示例# 先确认卷组、逻辑卷和挂载情况 vgs lvs df -h # 备份/home目录假设备份到/data/home_bak mkdir -p /backup rsync -av /home/ /backup/home_bak/ # 卸载/home如果有进程占用会用fuser提示查一下再处理 umount /home # 删除home逻辑卷比如卷组名是vghome逻辑卷是lv_home lvremove /dev/vg/lv_home # 把根逻辑卷扩展到卷组全部空闲空间 lvextend -l 100%FREE /dev/vg/lv_root # 在线扩展XFS文件系统 xfs_growfs / # 重新创建home逻辑卷并挂载再恢复数据 lvcreate -L 50G -n lv_home vg mkfs.xfs /dev/vg/lv_home mount /dev/vg/lv_home /home rsync -av /backup/home_bak/ /home/整个过程的关键点是先备份再操作。不要把/home的数据赌在“应该没人用”这个假设上。另外如果根文件系统是ext4最后一步要用resize2fs /dev/vg/lv_root而不是xfs_growfs。还有一种常见的云盘扩容场景虚拟磁盘从40G扩到100G后系统里看到的空间没变化。这是因为LVM层还没感知到磁盘变化。需要按分区类型处理MBR分区可以用fdisk或parted重建分区但必须保证起始扇区不变然后依次执行# 让内核重新读取分区表 partprobe # 扩展物理卷 pvresize /dev/vda1 # 扩展逻辑卷和文件系统 lvextend -l 100%FREE /dev/mapper/vg-root xfs_growfs /如果云平台提示“在线扩容”操作完最好还是让业务低峰期执行partprobe避免进程持续占用导致分区表加载异常。4.2 防火墙开端口、SSH远程端口调整、固定IP和NAT没网排查又一个高频场景是“centos防火墙开放tcp端口配置文件”。RHEL系从CentOS 7开始默认使用firewalld配置文件在/etc/firewalld/下但日常操作不用直接改文件用命令行最稳# 永久开放TCP端口 firewall-cmd --permanent --add-port8080/tcp # 添加一个端口段 firewall-cmd --permanent --add-port9000-9100/tcp # 重新加载规则 firewall-cmd --reload # 查看当前规则 firewall-cmd --list-all修改SSH远程端口是另一个高频操作。只改/etc/ssh/sshd_config里的Port还不够如果SELinux处于Enforcing模式必须先把新端口加入SELinux放行列表# 添加SELinux端口标签 semanage port -a -t ssh_port_t -p tcp 2222 # 重启sshd前务必保留当前连接最好新开一个会话测试 systemctl restart sshd万一改完配置连不上系统防火墙也不放行就只能指望带外管理或快照回滚。这就是为什么我永远建议“改远程连接配置之前先确认有至少两条登录路径”。固定IP配置方面RHEL系从CentOS 8开始NetworkManager成了事实标准我用nmcli命令场景更多。CentOS Stream 10固定IP也是同一套逻辑# 查看连接名 nmcli connection show # 修改连接为静态IP nmcli connection modify eth0 ipv4.method manual \ ipv4.addresses 192.168.1.100/24 \ ipv4.gateway 192.168.1.1 \ ipv4.dns 223.5.5.5 8.8.8.8 # 重新激活连接 nmcli connection up eth0热搜里还有“centos ping 不通网关”和“centos虚拟机nat无网络”这类问题排查链路我在新系统上走的路数完全一样ip addr看网卡有没有拿到IP如果没有检查网卡是否up。ip route看默认网关是否存在不存在就补默认路由。ping 网关IP不通则查VMware/VirtualBox的NAT服务是否启动、宿主机的虚拟网卡是否禁用。ping 8.8.8.8或ping 223.5.5.5能通但域名解析不了查/etc/resolv.conf。如果外网地址通、网关通但业务端口不通用firewall-cmd --list-all看是否拦截。很多时候我排查到最后发现问题是网卡配置文件里没有设置ONBOOTyes或者NetworkManager连接没有激活。这个细节尤其容易在克隆虚拟机后出现。4.3 OpenSSH升级、单用户重置密码和开机卡在dracut的排错先说OpenSSH升级。我不建议在生产环境里对CentOS 7反反复复做源码编译升级。官方都已经停止维护了操作系统层面的漏洞未来还会不断冒出来你补了SSH还有OpenSSL补了OpenSSL还有内核提权。真要补优先考虑迁移到新系统。Rocky 9自带的OpenSSH已经到8.7Ubuntu 24.04自带9.6绝大部分历史高危漏洞都覆盖到了完全没必要在EOL系统上折腾编译。如果因为特殊原因必须在老系统上升级一定要记住三点预留另一个登录通道编译前安装gcc、openssl-devel、pam-devel、zlib-devel升级前备份所有sshd相关配置。编译安装完成后建议先手动执行/usr/local/openssh/sbin/sshd -t做配置检查再重启服务否则一个PAM路径错误就能把你锁在门外。单用户重置密码这个操作对运维来说属于“保命技能”。RHEL系和Rocky/Alma在GRUB界面启动时按e进入编辑找到linux开头的那一行在末尾加上rd.break然后按Ctrlx启动。接着执行# 以读写方式重新挂载sysroot mount -o remount,rw /sysroot # 切换根目录到实际系统 chroot /sysroot # 重置密码 passwd root # 如果SELinux处于强制模式让系统重建安全上下文 touch /.autorelabel exit exit重启后密码生效。也可以用systemd.unitrescue.target进入救援模式但救援模式有时也要求先有root密码所以rd.break在处理“密码忘了”的场景时更可靠。另一个热搜词“centos卡在starting dracut initqueue hook”也经常出现在迁移和克隆虚拟机之后。dracut是生成initramfs的框架卡在这个阶段说明内核在加载初期找不到根文件系统。常见原因有/boot分区损坏、fstab里的UUID和实际磁盘UUID不一致、initramfs里没有对应文件系统驱动、LVM卷没有激活。排查时先看启动界面有没有进入emergency shell有就直接在shell里执行# 查看实际磁盘UUID blkid # 对比fstab里的UUID cat /etc/fstab # 如果是LVM激活卷组 vgchange -ay确认UUID写错就改fstab改完重新生成initramfsdracut --regenerate-all -f如果问题出在虚拟机克隆后还要检查网卡MAC和/etc/udev/rules.d/70-persistent-ip.rules这类持久化网络规则把旧机器的痕迹清理干净否则很可能修好了磁盘又卡在网卡起不来。5. 应用层迁移实测MySQL 8、Nginx、Node.js、Redis 的一手记录5.1 MySQL 8安装、认证插件和旧客户端兼容搜索“centos安装mysql8”的人非常多但在新替代系统上安装MySQL 8真正的坑反而不是安装本身而是安装完之后的认证插件兼容。MySQL 8默认使用caching_sha2_password认证很多旧版PHP、Python驱动和旧客户端根本不支持这个插件连接时会报认证失败。安装方式建议直接用MySQL官方yum仓库# 下载并安装MySQL官方仓库rpm yum install -y https://dev.mysql.com/get/mysql80-community-release-el9-1.noarch.rpm # 或者根据你的系统版本选对应的el8/el9包 yum install -y mysql-community-server systemctl enable mysqld --now装完先找到临时密码grep temporary password /var/log/mysqld.log登录后如果需要兼容老客户端可以创建用户时直接指定mysql_native_passwordCREATE USER app% IDENTIFIED WITH mysql_native_password BY StrongPass123; GRANT ALL PRIVILEGES ON appdb.* TO app%; FLUSH PRIVILEGES;数据迁移这块小规模库用mysqldump最简单mysqldump --single-transaction --set-gtid-purgedOFF -u root -p --all-databases all.sql大库建议用物理备份方式。同时记得把innodb_buffer_pool_size调整到物理内存的50%-70%这是MySQL 8性能影响最大的参数默认值在云主机上明显偏小。5.2 Nginx二进制包部署编译依赖、systemd托管和SELinux“centos部署nginx二进制包”这条热搜背后其实是两类需求一类是源码编译安装另一类是下载编译好的二进制包直接部署。不管是哪种先解决依赖yum install -y gcc gcc-c pcre-devel zlib-devel openssl-devel make最小化编译命令我习惯加上SSL、realip和stub_status模块./configure \ --prefix/usr/local/nginx \ --with-http_ssl_module \ --with-http_realip_module \ --with-http_stub_status_module \ --with-stream make -j$(nproc) make install编译安装后别再用nginx命令裸启动写一个systemd unit管理才是正经做法[Unit] Descriptionnginx service Afternetwork.target [Service] Typeforking ExecStart/usr/local/nginx/sbin/nginx ExecReload/usr/local/nginx/sbin/nginx -s reload ExecStop/usr/local/nginx/sbin/nginx -s quit PIDFile/usr/local/nginx/logs/nginx.pid PrivateTmptrue [Install] WantedBymulti-user.target保存到/usr/lib/systemd/system/nginx.service然后systemctl daemon-reload systemctl enable nginx --now。这一步容易忽略的是防火墙和SELinux。先放行80/443端口再检查SELinux。如果Nginx编译目录不在标准Web路径下SELinux Enforcing模式可能会拦截# 放行Nginx网络连接 setsebool -P httpd_can_network_connect 1 # 对自定义目录打上httpd_sys_content_t标签或按需调整 chcon -R -t httpd_sys_content_t /data/www老CentOS上养成的“直接改文件就能用”习惯在新系统上经常被SELinux拦一道遇到Permission denied一定要先看/var/log/audit/audit.log。5.3 Node.js离线安装、Maven离线打包和Redis登录鉴权离线机房装Node.js是很多实施工程师头疼的事。其实Node.js官方一直提供免安装的Linux二进制压缩包在有网的机器上下载node-v20.x-linux-x64.tar.xz通过U盘或内网传到离线服务器后# 解压到指定目录 tar -xf node-v20.x-linux-x64.tar.xz -C /opt/ mv /opt/node-v20.x-linux-x64 /opt/node # 建立软链 ln -s /opt/node/bin/node /usr/local/bin/node ln -s /opt/node/bin/npm /usr/local/bin/npmnpm依赖如果内网没有镜像最省事的办法是在联网机器上先跑npm install把整个node_modules一起打包带进去。这个思路同样适用于Maven联网机下载apache-maven-3.9.x-bin.tar.gz设置MAVEN_HOME和PATH本地仓库repository目录在打包时一起带走到内网解压后就不再重复下载依赖。再聊一个很实在的问题“centos 登录进redis”。很多人照着网上的教程启动Redis然后发现本机redis-cli能进去远程一连接就超时或者报Connection refused。原因基本是四个Redis默认只绑定了127.0.0.1得注释或修改bind配置为0.0.0.0更安全的做法是绑定内网IP。protected-mode yes开启时如果没有密码Redis会拒绝外部访问。没设置requirepass远程即使能连也没有任何保护。云服务器安全组或本机firewalld没有放行6379端口。我推荐的安全配置组合是绑定内网IP关闭protected-mode或者保留但设置强密码使用ACL创建独立账号客户端通过redis-cli -h ip -p 6379后输入AUTH password登录。不要在命令行参数里直接写-a password进程列表里会明文暴露密码这是很多生产事故的根源。另外顺手提两个高频词宝塔面板在Rocky/Alma上可以通过官方安装脚本安装但我只在个人服务器上用生产环境还是建议用纯命令行管理Android Studio在三台Linux发行版上安装完全没障碍需要的依赖主要是libxrender、libxtst、libXi这些桌面组件跟用不用CentOS已经没有强绑定了。6. 迁移完成之后的稳定期维护建议6.1 软件源统一切到国内镜像并开启自动更新迁移完成后第一件事就是把yum/dnf源切到国内大厂镜像不然服务器在内网或访问海外源慢的情况下每次更新都会让人抓狂。Rocky和Alma都有对应的阿里云、腾讯云、华为云镜像地址切换方法一般是下载对应repo文件覆盖到/etc/yum.repos.d/。切完源后我习惯配置dnf-automatic做安全更新自动安装yum install -y dnf-automatic sed -i s/apply_updates no/apply_updates yes/ /etc/dnf/automatic.conf systemctl enable --now dnf-automatic.timer自动更新不是洪水猛兽它只更新安全补丁不会帮你在没评估的情况下把内核大版本换掉。把这个定时器开起来能解决“一直没时间手动更新半年后补丁堆积成山”的问题。6.2 把监控和备份做成硬约束而不是临时任务新系统上线运行后我强烈建议把以下内容做成常态化监控指标系统版本是否符合预期、yum源是否正常同步、关键服务是否存活、根分区和日志分区使用率、MySQL等服务端口是否监听。用Prometheus加Grafana、Zabbix或者简单的Shell脚本加告警都行。备份计划必须包含数据库定时逻辑备份和每日文件级增量备份。我在迁移完MySQL后都会加一个crontab0 2 * * * mysqldump --single-transaction -u backup -pxxx --all-databases | gzip /backup/mysql_all_$(date \%F).sql.gzLVM快照适合做临时快照或系统升级前的回滚点不适合当长期备份因为它的生命周期依赖原卷存在。6.3 顺手解决几个高频问题大文件查找、磁盘挂载和Stream 10固定IP项目上线后很多同事会来问一些特别基础但又实用的操作。比如“centos查找目录下大于10m的文件”一条命令就能解决find /var -type f -size 10M -exec ls -lh {} \;想在某个目录按大小排序找出最占空间的文件可以配合dudu -ah /var | sort -rh | head -20“centos磁盘挂载”则是另一个几乎每周都会碰到的问题。新加一块数据盘后先lsblk看设备名然后分区、格式化、挂载、写fstab四步走fdisk /dev/vdb mkfs.xfs /dev/vdb1 mkdir -p /data mount /dev/vdb1 /data # 查看UUID后写入fstab不能用裸设备名 blkid /dev/vdb1写fstab时务必用UUID而不是设备名否则重启后设备顺序一变就会碰到开头dump的问题。“centos stream10固定ip”跟上文nmcli的配置方式一致本质都是NetworkManager改配置后记得nmcli connection up。从CentOS 7时代一路走到Rocky/Alma我的总体感受是操作系统底座换掉没那么可怕真正可怕的是不下决心换。每多跑一天EOL系统安全风险和技术债都往上堆一层。先用最快路径锁定Rocky或Alma把业务平迁过去再慢慢优化系统配置这是我认为当前环境下最务实的一条路。
CentOS停服后服务器替代选型与迁移实操指南
2024年6月30日我手里最后一台CentOS 7.9服务器在做例行维护时yum update 第一次大面积报错。仓库源找不到官方同步从mirror列表撤下所有rpm包被转到vault归档。这个时间点其实从2020年底红帽宣布调整CentOS项目方向起就能算到CentOS 8先行停服CentOS 7又撑了两年半。可真到生产环境几十台机器摆在面前选个什么系统来顶替压力比我预想中大很多。这篇文章把我大半年做替代选型和迁移的完整过程写下来。不打算只丢几张对比表格更多是讲清楚我为什么这样选、迁移时哪些操作最容易翻车以及换系统之后最常见的磁盘扩容、SSH升级、网络排查、应用部署实操。内容主要面向正在维护CentOS 6/7/8存量机器、需要找一个能承接业务又不至于让整个团队重新学一遍的运维和开发同学如果你手上只有几台实验机器里面的底层思路和脚本命令同样可以直接套用。1. CentOS停止维护对存量服务器到底意味着什么1.1 先把时间线和“停服”这件事说透很多刚接手服务器的人以为“CentOS停止维护”只是社区换个名字继续更新其实完全不是一回事。CentOS Linux 8在2021年12月31日结束支持CentOS Linux 7在2024年6月30日结束支持。这里的“结束支持”指的是红帽和上游社区不再为这两个分支提供安全补丁、功能更新和关键内核修复。官方仓库被移到vault.centos.org归档普通镜像站随后也把同步策略切掉了。于是产生一个很隐蔽的连锁问题系统不会立刻崩溃但所有基础组件的风险系数都在直线上升。你今天不更新不代表没事明天出了个高危漏洞你既拿不到官方补丁也不能指望第三方镜像站继续托管这些安全包。更麻烦的是软件生态会逐渐“石化”新版本的应用需要更高版本的glibc、OpenSSL或GCC运行时老系统上的依赖库一旦跟不上要么装不上要么装上之后行为异常。CentOS Stream又是另一码事。Stream是RHEL的上游滚动发行版可以理解为“RHEL开发版”和原来那个“RHEL编译后完全兼容的稳定发行版”完全是两条路线。如果团队没有多余的精力追滚动更新不建议拿Stream顶替生产业务的CentOS Linux。1.2 继续用CentOS 7你实际要面对的风险是什么我在维护过程中遇到过一个特别典型的场景客户想给跑CentOS 7的老机器升级OpenSSH因为等保扫描报了一堆SSH漏洞。热搜词里也有“centos 7.9 opensshd升级至10.5”。问题是CentOS 7默认的OpenSSH是7.4这套版本和配套的OpenSSL、PAM、Kerberos依赖链非常老从源码编译新版SSH很容易出现PAM认证失效、SELinux上下文异常、动态链接库不匹配之类的坑。升级SSH只是绕路真正核心的风险网罗起来有这么几条安全风险高危CVE出来后没有官方补丁防火墙和WAF只能缓解部分网络层攻击本地提权和中间人攻击很难防住。合规风险等保、行业安全规范、年度渗透测试都会检查操作系统版本和补丁更新情况EOL系统在审计表格里基本直接红牌。兼容性风险新网卡驱动、新RAID控制器、Docker新版本、Kubernetes运行时对内核版本有要求CentOS 7默认内核3.10很多能力跟不上。运维成本风险越老越难找人修。新人不愿意学老系统的故障排查方式老人不断重复给老系统打补丁这种技术债只会越滚越重。所以不要有“停服就停服很多老系统还不是照样跑”的侥幸心理。偶尔一两台内网隔离的小机器可以缓一缓生产关键业务必须尽快做替代。2. 替代系统横向对比RHEL系继承者和其他流派2.1 Rocky Linux社区接棒最稳的选择Rocky Linux是我给自己的物理服务器选的最多的一套系统。它是CentOS创始人之一Greg Kurtzer发起的项目目标非常明确延续CentOS原有的定位做RHEL的1:1兼容重新构建版。当前活跃版本是Rocky Linux 9配套的还有Rocky Linux 8生命周期基本跟随RHEL大约10年。官方提供了migrate2rocky工具可以在RHEL系发行版之间做就地迁移。我倾向Rocky的原因很简单它最像“原来的CentOS”。你原来用systemctl管理服务它一样原来用firewalld开端口它一样原来用yum/dnf装包它也一样。从CentOS 7跳到Rocky 9中间虽然跨了大版本但命令习惯和学习曲线几乎没有变化团队迁移成本最低。2.2 AlmaLinux有商业背景的平替方案AlmaLinux是CloudLinux公司发起的项目同样做RHEL兼容重建提供免费的社区版。它在云原生方向上比Rocky稍微激进一点官方镜像很早就覆盖了AWS、Azure、Google Cloud以及国内主流云平台。迁移工具是almalinux-deploy官方文档写得比较详细支持从CentOS 7/8、Rocky等系统迁移。AlmaLinux和RockyLinux在技术层面真的拉不开太大差距。两者都是RHEL二进制兼容rpm包基本通用。你选哪个更多取决于习惯和社区维护风格。如果你希望背后有一个商业公司兜底AlmaLinux会让人更安心如果你更信任纯粹社区治理模式Rocky更对味。2.3 Oracle Linux与openEuler变数更多但特定场景很香Oracle Linux最大的价值在于和Oracle数据库、WebLogic这些软件栈的深度配合。默认可以选择Red Hat兼容内核或Oracle自己的UEK内核UEK对新硬件特性的支持更好。如果机房里有大量Oracle数据库实例Oracle Linux能省去很多驱动和内核参数调优的麻烦。openEuler走的则是另一条路。它是开放原子开源基金会下的开源操作系统社区版本周期有明确的LTS节奏比如20.03 LTS、22.03 LTS、24.03 LTS。它对x86、ARM、RISC-V多架构的支持比较完整尤其在国产化芯片生态适配上有明显积累。命令习惯和RHEL系很接近但默认安全策略、部分包名和工具链有差异。做国产化适配或特定硬件平台交付的项目openEuler是绕不开的选项。2.4 Debian/Ubuntu换赛道但能解决一部分人痛点如果你的业务基本跑在Docker、Kubernetes、Nginx、Java/Python这类跨平台技术栈上其实Debian 12和Ubuntu 22.04/24.04 LTS完全可以做替代。这类系统的软件仓库更新速度快云原生生态好网上资料特别多。Debian标准支持约5年Ubuntu 24.04 LTS标准支持到2029年购买Ubuntu Pro还能延长支持时间。代价是运维习惯要换一批。包管理从rpm变成了deb软件包名称完全不同网络配置要从ifcfg-eth0思维切到netplanSELinux被AppArmor部分替代很多RHEL系专用命令也变了。如果团队对Linux的理解停留在“会用系统拉服务”层面这个切换成本会非常痛苦。我整理了一张对照表方便你快速做筛选系统维护方生命周期RHEL兼容性迁移工具适合场景Rocky Linux 9Rocky社区约10年高migrate2rocky传统生产服务器、数据库、中间件AlmaLinux 9CloudLinux长期免费高almalinux-deploy云上部署、容器化、稳定优先Oracle Linux 9Oracle订阅/免费高官方迁移脚本Oracle数据库栈openEuleropenEuler社区LTS约4-6年中x2openEuler国产化芯片、自主创新项目Debian 12Debian社区约5年低重新部署云原生、开发环境Ubuntu 24.04 LTSCanonical10年Pro低重新部署云原生、AI、开发桌面2.5 为什么主流建议还是优先看Rocky和AlmaLinux一个很现实的原因业务平滑。RHEL系切到RHEL系需要改动的面最小。SELinux策略、firewalld配置、systemd单元、yum/dnf包管理基本不用从零学。你原来在CentOS上编译好的自研二进制、依赖特定glibc版本的私有软件换到Rocky/Alma之后大概率能直接跑。从CentOS 7迁到Debian则是另一码事很多依赖RHEL工具链的脚本要重写数据库驱动和运行库也可能要重新编译。另一个原因是生态延续性。商业中间件、备份软件、安全客户端、监控Agent很多只针对RHEL系提供rpm安装包。你在政府采购或企业内部系统集成时经常会遇到“只支持CentOS/RHEL”的说法Rocky和Alma是用最小成本消除这类限制的答案。3. 选型判断与平滑迁移路径别把替代做成重写3.1 选型前先回答三个问题第一个问题业务依赖的软件生态是不是RHEL系比如Oracle、WebSphere、部分商业备份软件和安全终端只提供rpm包那基本只能在Rocky/Alma/Oracle Linux里选硬切Debian只会给自己找麻烦。第二个问题团队运维能力踩在哪个段位如果团队熟悉的是systemctl、firewalld、nmcli这一套Rocky/Alma是顺手的如果团队本来就更熟Docker和Kubernetes已经很少直接碰操作系统底层Debian/Ubuntu反而更轻便。第三个问题未来三年有没有国产化、自主创新适配的规划如果有尽早把openEuler纳入测试环境别等服务迁移到一半才临时换底座。我不太建议一个团队同时引入两套完全不同的系统。生产环境优先统一到Rocky/Alma新开发环境允许使用Ubuntu已经是我能接受的比较稳妥的组合了。3.2 先定版本策略再谈迁移方式CentOS 7是2014年发布的系统glibc 2.17OpenSSL 1.0.2跟Rocky 8glibc 2.28以及Rocky 9glibc 2.34之间存在很大的代差。老系统上有些私有二进制依赖旧libc直接迁到9可能跑不起来。好消息是CentOS 8和Rocky/Alma 8同属RHEL 8系几乎可以无痛平移CentOS 7迁到Rocky/Alma 9业务代码层面改动大一些需要严格做兼容性验证。我的建议是存量CentOS 7机器优先迁到Rocky/Alma 8把业务跑稳后再按节奏升级到9新采购的服务器直接装Rocky/Alma 9或Ubuntu 24.04没必要为了“统一版本”强行降低新机器配置。CentOS 8存量机器则可以直迁Rocky 8/Alma 8不会有大版本鸿沟。3.3 迁移前必做的三件事第一资产盘点与备份。迁移不是简单重装系统要先把机器上所有服务、数据盘、计划任务、配置文件摸清楚。实用操作是先用脚本把所有关键配置文件打包再对数据目录做一次rsync增量备份数据库执行逻辑备份。有条件的话用虚拟化平台或云厂商快照做整机快照这比任何处理都直接。第二软件源切换。如果部分机器短期内迁不走至少要把CentOS 7的软件源从官方默认地址切到vault。vault是CentOS的归档仓库里面保存了停服前的所有rpm包和元数据切过去之后yum还能继续装老包但不会有任何安全更新。这里我要刻意强调这只是过渡方案不是终点。第三镜像下载与校验。下载Rocky/Alma ISO或最小镜像时用官方站点或国内大厂镜像源下载完成后核对SHA256校验值。我见过很多老运维下载镜像不校验结果在安装阶段出现莫名其妙的包损坏再排查半天发现是镜像问题纯浪费时间。3.4 三种迁移方案怎么选方案A是全新安装加数据迁移。适合系统版本跨度大、业务允许停机维护的场景。在保留数据盘的前提下重装系统然后按清单重新部署软件最后把数据目录切过去。优点是系统干净配置一次到位缺点是时间成本和人工成本高。方案B是就地替换。Rocky官方提供migrate2rocky脚本AlmaLinux提供almalinux-deploy能在不重装的情况下把系统替换掉。操作前保留完整快照脚本执行过程中如果网络中断或包冲突系统可能彻底起不来。我在测试环境跑成功过几次但生产机器我基本只用它处理CentOS 8到Rocky/Alma 8这种同系平移。方案C是并行替换。搭建一套新系统部署服务和数据同步最后切流量。对无状态服务或者可以做主从复制的数据库这是风险最低的方案也是我在线上用得最多的方式。# Rocky官方工具migrate2rocky需要epel源 curl -O https://raw.githubusercontent.com/rocky-linux/rocky-tools/main/migrate2rocky/migrate2rocky.sh chmod x migrate2rocky.sh # 迁移到Rocky 9 ./migrate2rocky.sh -r 9AlmaLinux的官方迁移工具更简单# 安装almalinux-deploy yum install -y almalinux-deploy # 执行迁移 almalinux-deploy无论用哪个工具我都强烈建议先在一台克隆出来的测试机上演练一遍并记录下所有软件源切换日志避免等在业务高峰期翻车。4. 换系统后必踩的几道运维实操坎从磁盘到SSH4.1 LVM空间不够把home的空间挪给根分区热搜里有两个很扎心的场景“centos扩容”和“centos lv ao-home 挪空间”。这通常是安装系统时给根分区分配空间太小/home却占了大量空间结果数据越装越满根分区告警。RHEL系默认文件系统是XFSXFS可以在线扩容但不能在线缩容这是所有空间调整操作的底层约束。想从/home挪空间给根分区核心思路是先把/home的数据搬走删除或缩小home的LV再利用释放出的空余空间扩大根LV。下面是一个完整操作示例# 先确认卷组、逻辑卷和挂载情况 vgs lvs df -h # 备份/home目录假设备份到/data/home_bak mkdir -p /backup rsync -av /home/ /backup/home_bak/ # 卸载/home如果有进程占用会用fuser提示查一下再处理 umount /home # 删除home逻辑卷比如卷组名是vghome逻辑卷是lv_home lvremove /dev/vg/lv_home # 把根逻辑卷扩展到卷组全部空闲空间 lvextend -l 100%FREE /dev/vg/lv_root # 在线扩展XFS文件系统 xfs_growfs / # 重新创建home逻辑卷并挂载再恢复数据 lvcreate -L 50G -n lv_home vg mkfs.xfs /dev/vg/lv_home mount /dev/vg/lv_home /home rsync -av /backup/home_bak/ /home/整个过程的关键点是先备份再操作。不要把/home的数据赌在“应该没人用”这个假设上。另外如果根文件系统是ext4最后一步要用resize2fs /dev/vg/lv_root而不是xfs_growfs。还有一种常见的云盘扩容场景虚拟磁盘从40G扩到100G后系统里看到的空间没变化。这是因为LVM层还没感知到磁盘变化。需要按分区类型处理MBR分区可以用fdisk或parted重建分区但必须保证起始扇区不变然后依次执行# 让内核重新读取分区表 partprobe # 扩展物理卷 pvresize /dev/vda1 # 扩展逻辑卷和文件系统 lvextend -l 100%FREE /dev/mapper/vg-root xfs_growfs /如果云平台提示“在线扩容”操作完最好还是让业务低峰期执行partprobe避免进程持续占用导致分区表加载异常。4.2 防火墙开端口、SSH远程端口调整、固定IP和NAT没网排查又一个高频场景是“centos防火墙开放tcp端口配置文件”。RHEL系从CentOS 7开始默认使用firewalld配置文件在/etc/firewalld/下但日常操作不用直接改文件用命令行最稳# 永久开放TCP端口 firewall-cmd --permanent --add-port8080/tcp # 添加一个端口段 firewall-cmd --permanent --add-port9000-9100/tcp # 重新加载规则 firewall-cmd --reload # 查看当前规则 firewall-cmd --list-all修改SSH远程端口是另一个高频操作。只改/etc/ssh/sshd_config里的Port还不够如果SELinux处于Enforcing模式必须先把新端口加入SELinux放行列表# 添加SELinux端口标签 semanage port -a -t ssh_port_t -p tcp 2222 # 重启sshd前务必保留当前连接最好新开一个会话测试 systemctl restart sshd万一改完配置连不上系统防火墙也不放行就只能指望带外管理或快照回滚。这就是为什么我永远建议“改远程连接配置之前先确认有至少两条登录路径”。固定IP配置方面RHEL系从CentOS 8开始NetworkManager成了事实标准我用nmcli命令场景更多。CentOS Stream 10固定IP也是同一套逻辑# 查看连接名 nmcli connection show # 修改连接为静态IP nmcli connection modify eth0 ipv4.method manual \ ipv4.addresses 192.168.1.100/24 \ ipv4.gateway 192.168.1.1 \ ipv4.dns 223.5.5.5 8.8.8.8 # 重新激活连接 nmcli connection up eth0热搜里还有“centos ping 不通网关”和“centos虚拟机nat无网络”这类问题排查链路我在新系统上走的路数完全一样ip addr看网卡有没有拿到IP如果没有检查网卡是否up。ip route看默认网关是否存在不存在就补默认路由。ping 网关IP不通则查VMware/VirtualBox的NAT服务是否启动、宿主机的虚拟网卡是否禁用。ping 8.8.8.8或ping 223.5.5.5能通但域名解析不了查/etc/resolv.conf。如果外网地址通、网关通但业务端口不通用firewall-cmd --list-all看是否拦截。很多时候我排查到最后发现问题是网卡配置文件里没有设置ONBOOTyes或者NetworkManager连接没有激活。这个细节尤其容易在克隆虚拟机后出现。4.3 OpenSSH升级、单用户重置密码和开机卡在dracut的排错先说OpenSSH升级。我不建议在生产环境里对CentOS 7反反复复做源码编译升级。官方都已经停止维护了操作系统层面的漏洞未来还会不断冒出来你补了SSH还有OpenSSL补了OpenSSL还有内核提权。真要补优先考虑迁移到新系统。Rocky 9自带的OpenSSH已经到8.7Ubuntu 24.04自带9.6绝大部分历史高危漏洞都覆盖到了完全没必要在EOL系统上折腾编译。如果因为特殊原因必须在老系统上升级一定要记住三点预留另一个登录通道编译前安装gcc、openssl-devel、pam-devel、zlib-devel升级前备份所有sshd相关配置。编译安装完成后建议先手动执行/usr/local/openssh/sbin/sshd -t做配置检查再重启服务否则一个PAM路径错误就能把你锁在门外。单用户重置密码这个操作对运维来说属于“保命技能”。RHEL系和Rocky/Alma在GRUB界面启动时按e进入编辑找到linux开头的那一行在末尾加上rd.break然后按Ctrlx启动。接着执行# 以读写方式重新挂载sysroot mount -o remount,rw /sysroot # 切换根目录到实际系统 chroot /sysroot # 重置密码 passwd root # 如果SELinux处于强制模式让系统重建安全上下文 touch /.autorelabel exit exit重启后密码生效。也可以用systemd.unitrescue.target进入救援模式但救援模式有时也要求先有root密码所以rd.break在处理“密码忘了”的场景时更可靠。另一个热搜词“centos卡在starting dracut initqueue hook”也经常出现在迁移和克隆虚拟机之后。dracut是生成initramfs的框架卡在这个阶段说明内核在加载初期找不到根文件系统。常见原因有/boot分区损坏、fstab里的UUID和实际磁盘UUID不一致、initramfs里没有对应文件系统驱动、LVM卷没有激活。排查时先看启动界面有没有进入emergency shell有就直接在shell里执行# 查看实际磁盘UUID blkid # 对比fstab里的UUID cat /etc/fstab # 如果是LVM激活卷组 vgchange -ay确认UUID写错就改fstab改完重新生成initramfsdracut --regenerate-all -f如果问题出在虚拟机克隆后还要检查网卡MAC和/etc/udev/rules.d/70-persistent-ip.rules这类持久化网络规则把旧机器的痕迹清理干净否则很可能修好了磁盘又卡在网卡起不来。5. 应用层迁移实测MySQL 8、Nginx、Node.js、Redis 的一手记录5.1 MySQL 8安装、认证插件和旧客户端兼容搜索“centos安装mysql8”的人非常多但在新替代系统上安装MySQL 8真正的坑反而不是安装本身而是安装完之后的认证插件兼容。MySQL 8默认使用caching_sha2_password认证很多旧版PHP、Python驱动和旧客户端根本不支持这个插件连接时会报认证失败。安装方式建议直接用MySQL官方yum仓库# 下载并安装MySQL官方仓库rpm yum install -y https://dev.mysql.com/get/mysql80-community-release-el9-1.noarch.rpm # 或者根据你的系统版本选对应的el8/el9包 yum install -y mysql-community-server systemctl enable mysqld --now装完先找到临时密码grep temporary password /var/log/mysqld.log登录后如果需要兼容老客户端可以创建用户时直接指定mysql_native_passwordCREATE USER app% IDENTIFIED WITH mysql_native_password BY StrongPass123; GRANT ALL PRIVILEGES ON appdb.* TO app%; FLUSH PRIVILEGES;数据迁移这块小规模库用mysqldump最简单mysqldump --single-transaction --set-gtid-purgedOFF -u root -p --all-databases all.sql大库建议用物理备份方式。同时记得把innodb_buffer_pool_size调整到物理内存的50%-70%这是MySQL 8性能影响最大的参数默认值在云主机上明显偏小。5.2 Nginx二进制包部署编译依赖、systemd托管和SELinux“centos部署nginx二进制包”这条热搜背后其实是两类需求一类是源码编译安装另一类是下载编译好的二进制包直接部署。不管是哪种先解决依赖yum install -y gcc gcc-c pcre-devel zlib-devel openssl-devel make最小化编译命令我习惯加上SSL、realip和stub_status模块./configure \ --prefix/usr/local/nginx \ --with-http_ssl_module \ --with-http_realip_module \ --with-http_stub_status_module \ --with-stream make -j$(nproc) make install编译安装后别再用nginx命令裸启动写一个systemd unit管理才是正经做法[Unit] Descriptionnginx service Afternetwork.target [Service] Typeforking ExecStart/usr/local/nginx/sbin/nginx ExecReload/usr/local/nginx/sbin/nginx -s reload ExecStop/usr/local/nginx/sbin/nginx -s quit PIDFile/usr/local/nginx/logs/nginx.pid PrivateTmptrue [Install] WantedBymulti-user.target保存到/usr/lib/systemd/system/nginx.service然后systemctl daemon-reload systemctl enable nginx --now。这一步容易忽略的是防火墙和SELinux。先放行80/443端口再检查SELinux。如果Nginx编译目录不在标准Web路径下SELinux Enforcing模式可能会拦截# 放行Nginx网络连接 setsebool -P httpd_can_network_connect 1 # 对自定义目录打上httpd_sys_content_t标签或按需调整 chcon -R -t httpd_sys_content_t /data/www老CentOS上养成的“直接改文件就能用”习惯在新系统上经常被SELinux拦一道遇到Permission denied一定要先看/var/log/audit/audit.log。5.3 Node.js离线安装、Maven离线打包和Redis登录鉴权离线机房装Node.js是很多实施工程师头疼的事。其实Node.js官方一直提供免安装的Linux二进制压缩包在有网的机器上下载node-v20.x-linux-x64.tar.xz通过U盘或内网传到离线服务器后# 解压到指定目录 tar -xf node-v20.x-linux-x64.tar.xz -C /opt/ mv /opt/node-v20.x-linux-x64 /opt/node # 建立软链 ln -s /opt/node/bin/node /usr/local/bin/node ln -s /opt/node/bin/npm /usr/local/bin/npmnpm依赖如果内网没有镜像最省事的办法是在联网机器上先跑npm install把整个node_modules一起打包带进去。这个思路同样适用于Maven联网机下载apache-maven-3.9.x-bin.tar.gz设置MAVEN_HOME和PATH本地仓库repository目录在打包时一起带走到内网解压后就不再重复下载依赖。再聊一个很实在的问题“centos 登录进redis”。很多人照着网上的教程启动Redis然后发现本机redis-cli能进去远程一连接就超时或者报Connection refused。原因基本是四个Redis默认只绑定了127.0.0.1得注释或修改bind配置为0.0.0.0更安全的做法是绑定内网IP。protected-mode yes开启时如果没有密码Redis会拒绝外部访问。没设置requirepass远程即使能连也没有任何保护。云服务器安全组或本机firewalld没有放行6379端口。我推荐的安全配置组合是绑定内网IP关闭protected-mode或者保留但设置强密码使用ACL创建独立账号客户端通过redis-cli -h ip -p 6379后输入AUTH password登录。不要在命令行参数里直接写-a password进程列表里会明文暴露密码这是很多生产事故的根源。另外顺手提两个高频词宝塔面板在Rocky/Alma上可以通过官方安装脚本安装但我只在个人服务器上用生产环境还是建议用纯命令行管理Android Studio在三台Linux发行版上安装完全没障碍需要的依赖主要是libxrender、libxtst、libXi这些桌面组件跟用不用CentOS已经没有强绑定了。6. 迁移完成之后的稳定期维护建议6.1 软件源统一切到国内镜像并开启自动更新迁移完成后第一件事就是把yum/dnf源切到国内大厂镜像不然服务器在内网或访问海外源慢的情况下每次更新都会让人抓狂。Rocky和Alma都有对应的阿里云、腾讯云、华为云镜像地址切换方法一般是下载对应repo文件覆盖到/etc/yum.repos.d/。切完源后我习惯配置dnf-automatic做安全更新自动安装yum install -y dnf-automatic sed -i s/apply_updates no/apply_updates yes/ /etc/dnf/automatic.conf systemctl enable --now dnf-automatic.timer自动更新不是洪水猛兽它只更新安全补丁不会帮你在没评估的情况下把内核大版本换掉。把这个定时器开起来能解决“一直没时间手动更新半年后补丁堆积成山”的问题。6.2 把监控和备份做成硬约束而不是临时任务新系统上线运行后我强烈建议把以下内容做成常态化监控指标系统版本是否符合预期、yum源是否正常同步、关键服务是否存活、根分区和日志分区使用率、MySQL等服务端口是否监听。用Prometheus加Grafana、Zabbix或者简单的Shell脚本加告警都行。备份计划必须包含数据库定时逻辑备份和每日文件级增量备份。我在迁移完MySQL后都会加一个crontab0 2 * * * mysqldump --single-transaction -u backup -pxxx --all-databases | gzip /backup/mysql_all_$(date \%F).sql.gzLVM快照适合做临时快照或系统升级前的回滚点不适合当长期备份因为它的生命周期依赖原卷存在。6.3 顺手解决几个高频问题大文件查找、磁盘挂载和Stream 10固定IP项目上线后很多同事会来问一些特别基础但又实用的操作。比如“centos查找目录下大于10m的文件”一条命令就能解决find /var -type f -size 10M -exec ls -lh {} \;想在某个目录按大小排序找出最占空间的文件可以配合dudu -ah /var | sort -rh | head -20“centos磁盘挂载”则是另一个几乎每周都会碰到的问题。新加一块数据盘后先lsblk看设备名然后分区、格式化、挂载、写fstab四步走fdisk /dev/vdb mkfs.xfs /dev/vdb1 mkdir -p /data mount /dev/vdb1 /data # 查看UUID后写入fstab不能用裸设备名 blkid /dev/vdb1写fstab时务必用UUID而不是设备名否则重启后设备顺序一变就会碰到开头dump的问题。“centos stream10固定ip”跟上文nmcli的配置方式一致本质都是NetworkManager改配置后记得nmcli connection up。从CentOS 7时代一路走到Rocky/Alma我的总体感受是操作系统底座换掉没那么可怕真正可怕的是不下决心换。每多跑一天EOL系统安全风险和技术债都往上堆一层。先用最快路径锁定Rocky或Alma把业务平迁过去再慢慢优化系统配置这是我认为当前环境下最务实的一条路。
