运维 | 在企业环境中快速安装配置 Rocky Linux 服务器操作系统

"Thinking back to early CentOS days... My cofounder was Rocky McGaugh. He is no longer with us, so as a H/T to him, who never got to see the success that CentOS came to be, I introduce to you...Rocky Linux"
— Gregory Kurtzer, Founder

$ cat /etc/system-release
Rocky Linux release 9.3 (Blue Onyx)
$ cat /etc/redhat-release
Rocky Linux release 9.3 (Blue Onyx)
$ uname -a
Linux localhost.localdomain 5.14.0-362.8.1.el9_3.x86_64 #1 SMP PREEMPT_DYNAMIC Wed Nov 8 17:36:32 UTC 2023 x86_64 x86_64 x86_64 GNU/Linux
$ uname -rms
Linux 4.20.13-1.el7.elrepo.x86_64 x86_64

# 1.以 Rocky 为例修改 grub2 启动参数
vi /etc/default/grub
.......
GRUB_CMDLINE_LINUX="crashkernel=auto resume=/dev/mapper/rl-swap rd.lvm.lv=rl/root rd.lvm.lv=rl/swap net.ifnames=0"

# 温馨提示: CentOS 7 / 8 启动参数配置稍有不同，且 Rocky 不同于 CentOS 无 rhgb quiet
# - CentOS 8
sed -i 's/rhgb/net.ifnames=0 rhgb/' /etc/default/grub
# - CentOS 7
sed -i 's/rhgb/net.ifnames=0 biosdevname=0 rhgb/' /etc/default/grub
  # rhgb 参数：表示 redhat graphics boot，即看到图片来代替启动过程中显示的文本信息，这些信息在启动后用 dmesg 也可以看到。
  # quiet 参数：表示在启动过程中只有重要信息显示，类似硬件自检的消息不会显示。
  
# 2.重建 grub.cfg 文件 
# legacy（传统引导模式） boot mode:
grub2-mkconfig -o /boot/grub2/grub.cfg
# UEFI boot mode:
grub2-mkconfig -o /boot/efi/EFI/redhat/grub.cfg

# 3.网卡配置文件中重命名网卡名称
cd /etc/sysconfig/network-scripts/
mv ifcfg-ens33 ifcfg-eth0 # 关键点
vi ifcfg-eth0
....
NAME=eth0   # 关键点
DEVICE=eth0 # 关键点
# HWADDR 如果存在此字段，请注释HWADDR，

# 4.重启系统
reboot

# 临时
hostname rockyserver

# 永久（命令、配置文件）
hostnamectl --static hostname rockyserver
$ vim  /etc/hostname
rockyserver
$ tee -a /etc/hosts <<'EOF'
# 新增一条硬解析记录
127.0.0.1 rockyserver
EOF

$ vim /etc/NetworkManager/system-connections/ens160.nmconnection
[connection]
id=ens160
uuid=723049bd-5194-47b5-b9ee-03e1db4a50b3
type=ethernet
interface-name=ens160
timestamp=1710214772

[ethernet]

[ipv4]
address1=192.168.228.150/24,192.168.228.2
address2=192.168.228.151/32
dns=192.168.10.254;
dns-search=weiyigeek.top;
method=manual

[ipv6]
addr-gen-mode=default
method=auto

[proxy]


# 重新加载网络配置
nmcli c reload

# 查看IP地址&测试网络是否正常
ip addr
ping www.baidu.com

systemctl restart NetworkManager.service
nmcli networking off && nmcli networking on

# 查看网卡信息 & 
nmcli connection
nmcli connection show --active

# 创建一个网卡连接
IFACE=$(nmcli dev|grep ethernet|awk '{print $1}')
nmcli con delete $IFACE
nmcli con add con-name "$IFACE" ifname "$IFACE" type ethernet autoconnect yes
# 给 ens160 添加一个 IP 和子网掩码（NETMASK）& IP 获取方式设置成手动（BOOTPROTO=static/none）
nmcli connection modify ens160 ipv4.addresses 192.168.228.111/24 ipv4.method manual
# 给 ens160 添加两个 IP 地址和掩码
nmcli connection modify ens160 ipv4.addresses "192.168.228.111/24, 192.168.228.112/24"
# 添加一个 ipv4
nmcli connection modify ens160 +ipv4.addresses 192.168.228.112/24
# 删除一个 ipv4
nmcli connection modify ens160 -ipv4.addresses 192.168.228.112/24
# 同时设置DNS与网管
nmcli connection modify ens160 ipv4.dns 223.6.6.6 ipv4.gateway 192.168.228.2
# 域名 dns-search，对应 ifcfg 中的 DOMAIN
nmcli connection modify ens160 ipv4.dns-search weiyigeek.top

# 使用 nmcli 重新回载网络配置
nmcli c reload 
# 如果之前没有 ens160 的 connection，则上一步 reload 后就已经自动生效了，否则执行
nmcli c up ens160

yum install network-scripts         # 安装network-scripts
systemctl restart network.service   # 重启网络服务

IFNAME=$(ip add|grep global | awk '{print $NF}' | head -n 1)          # ens160
IFNAME=$(nmcli dev|grep ethernet|awk '{print $1}')                   # ens160
IP=$(ip add|grep global | awk -F'[/ ]+' '{ print $3 }' | head -n 1) # 192.168.228.140
IPS=$(hostname -I)

# nmcli 网卡信息及配置常用命令
nmcli networking           # 查看 nmcli 状态
nmcli networking [on|off]  # 启动/禁用 nmcli
nmcli networking [up|down] ens160  # 启用网卡 ens160
nmcli device connectivity ens160   # 激活网卡 ens160
nmcli device show ens160           # 查看网卡 ens160
nmcli radioall off                 # 关闭无线
nmcli connection show ens160    # 显示具体的网络接口信息
nmcli connection delete ens160  # 删除一个网卡连接
nmcli con add con-name ens160 ifname ens160 type ethernet autoconnect yes # 创建一个网卡连接

# 两种方式查看 SELINUX 状态
$ getenforce
Enforcing

$ sestatus
SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
SELinux root directory:         /etc/selinux
Loaded policy name:             targeted
Current mode:                   enforcing
Mode from config file:          enforcing
Policy MLS status:              enabled
Policy deny_unknown status:     allowed
Memory protection checking:     actual (secure)
Max kernel policy version:      33

# 两种方式配置 SELINUX 状态
# 使配置立即生效（临时）
$ setenforce 0 

# 使用 sed 进行替换以及注释  SELINUXTYPE=targeted
$ sed -i '/^SELINUX=.*/c SELINUX=disabled' /etc/selinux/config
$ sed -i 's/^SELINUXTYPE=targeted/#&/' /etc/selinux/config

# 禁用内核加载
grubby --update-kernel ALL --args selinux=0
# 启用内核加载
grubby --update-kernel ALL --remove-args selinux

# 安装SELinux的图形管理工具，命令是：
yum install policycoreutils-gui -y 
# 安装完成后，执行一个命令启动gui管理工具，命令是:
system-config-selinux

# 查看安全上下文以及自定义samba服务安全性本文
$ semanage fcontext -l 
$ cat /etc/selinux/targeted/contexts/files/file_contexts.local
  # /srv/samba(/.*)?    system_u:object_r:public_content_t:s0  # 指定写入这个档案对象默认账号
$ restorecon -Rv /srv/samba* # 尝试恢复默认值
$ ll -Zd /srv/samba
  # drwxr  -xr-x  root root system_u:object_r:public_content_t /srv/samba/  # 有默认值以后用restorecon命令来修改比较简单！

# 查看安全端口以及自定义ssh服务端口（若启用防护墙后续还需设置防火墙通行则性）
$ semanage port -l
$ semanage port -l | grep "ssh"
  # SELinux 端口类型               协议     端口号
  # ssh_port_t                     tcp      22
$ semanage port -a -t ssh_port_t -p tcp 62222
$ semanage port -l | grep "ssh"
  # ssh_port_t                     tcp      62222, 22

# 查看防火墙状态
firewall-cmd --state
  # running

# 禁用 firewall 防火墙
systemctl stop firewalld.service  #停止 firewall
systemctl disable firewalld.service  #禁止 firewall 开机启动

# 启用 firewall 防火墙，含自启
systemctl enable firewalld.service --now  # 自启用 firewall 开机启动

firewall-cmd --list-all
firewall-cmd --list-services                  # 默认开放：ssh dhcpv6-client
firewall-cmd --zone=public --list-services    # 指定区域进行查看服务规则
firewall-cmd --list-ports
firewall-cmd --zone=public --list-ports       # 指定区域进行查看端口规则

# 添加三个服务规则，其中 --permanent 表示永久生效
firewall-cmd --add-service=snmp --permanent
firewall-cmd --add-service=http --permanent
firewall-cmd --add-service=https --permanent
firewall-cmd --reload
firewall-cmd --get-services  # 查看可用的服务
cat /etc/firewalld/zones/public.xml # 查看配置保存文件

# 添加一个 TCP 端口 (删除将 add 关键字修改为 remove)
firewall-cmd --zone=public --add-port=80/tcp --permanent  
firewall-cmd --add-port=80/tcp --permanent  # 与上面是等价的，默认 zone 为 pulic
firewall-cmd --reload  # 重新加载配置生效

# 防火墙区域 Zone
firewall-cmd --get-default-zone  #查看默认的 zone 的命令  
  # public  
firewall-cmd --get-zones # Rocky 9 有 10 个 zone，注意 nm-shared 区域
  # block dmz drop external home internal nm-shared public trusted work
firewall-cmd --get-zones  # CentOS 8 有 10 个 zone
  # block dmz drop external home internal libvirt public trusted work

# 简单示例: 此处了解即可，作者后续会将常用命令在实践运维中用到的命令给总结出来。
# 限定源地址访问
firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="3306" accept' --permanent
firewall-cmd --reload

# 限制主机存活探测
firewall-cmd --permanent --add-rich-rule='rule protocol value=icmp drop'  # 全部禁 ping
firewall-cmd --permanent --add-rich-rule='rule family="ipv4"source address="192.168.1.0/24"protocol value="icmp"accept'  #指定 192.168.1.0/24 允许 icmp

# 使用 dnf 命令
dnf -y install epel-release
# 使用 rpm 命令
rpm -ivh https://dl.fedoraproject.org/pub/epel/epel-release-latest-9.noarch.rpm && rpm –import /etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL-9
# 若为 Rocky Linux 8 可使用 EL8
rpm -ivh https://dl.fedoraproject.org/pub/epel/epel-release-latest-9.noarch.rpm && rpm –import /etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL-8

# 国内 Rocky Linux  镜像源配置（加快拉取速度），以阿里云为例。
sed -e 's|^mirrorlist=|#mirrorlist=|g' \
    -e 's|^#baseurl=http://dl.rockylinux.org/$contentdir|baseurl=https://mirrors.aliyun.com/rockylinux|g' \
    -i.bak /etc/yum.repos.d/rocky*.repo

# 国内 EPEL 镜像源配置（加快拉取速度），以阿里云为例。
sed -e 's/metalink=/#metalink=/g' 
    -e 's/#baseurl=/baseurl=/g' 
    -e 's/https://download.fedoraproject.org/pub/https://mirrors.aliyun.com/g' 
    -i.bak  /etc/yum.repos.d/epel*.repo

# 设置完毕后，清理并重新生成软件包信息缓存
yum clean all
yum autoremove
rm -rf /var/cache/yum
yum makecache

# 查看可安装的组件
yum grouplist  
# 开发工具快速安装
dnf groupinstall "Development Tools"

# 常规软件安装
# Rocky Linux 9  最小安装，默认自带 vim wget zip unzip tar 命令，若没有请自行安装。
dnf -y install vim wget zip unzip unrar tar dos2unix jq bash-completion 
# ifconfig、netstat、route 等命令集
dnf -y install net-tools
# host、dig 和 nslookup
dnf -y install bind-utils
# 更好的 top 工具，Rocky 9 没有安装
dnf -y install htop
# 文件传输：sz 和 rz，Rocky 9 没有安装
dnf -y install lrzsz
# 瑞士军刀 ncat 可用于网络测试
dnf -y install nc
# lsof 列出了有关进程信息
dnf -y install lsof
# tree 以树形结构显示文件及目录
dnf -y install tree
# pstree 以树形结构显示进程及子进程
dnf -y install psmisc
# ncdu 磁盘使用情况，Rocky 9 没有安装，新增工具，模板尚未加入，下个版本更新
dnf -y install ncdu 
# dstat 监控 CPU、磁盘和网络使用率，下个版本加入
dnf -y install dstat
# 查看日志神器 Log file Navigator，Rocky 9 没有安装（按需求选择），不过该软件现在已经包含在 EPEL 中，项目 github.com/tstack/lnav
dnf -y install lnav

# 更新软件及系统内核
dnf update -y

# 1.编辑修改 /etc/yum.conf 文件,在 [main] 的最后添加 exclude=kernel*
$ tee -a /etc/yum.conf <<'EOF'
exclude=kernel*
EOF

$ cat /etc/yum.conf
[main]
gpgcheck=1
installonly_limit=3
clean_requirements_on_remove=True
best=True
skip_if_unavailable=False
exclude=kernel*

# 2.在 dnf、yum 命令后指定 --exclude 参数进行排除
yum --exclude=kernel* update

# 补充：设置以最新的kernel进行引导系统
$ rpm -qa | grep "kernel-5"
  kernel-5.14.0-362.8.1.el9_3.x86_64
  kernel-5.14.0-362.18.1.el9_3.0.1.x86_64
$ grub2-set-default 0
$ grub2-editenv list
$ reboot

# 验证是否安装 chrony 软件包
if [[ $(rpm -qa | grep -c "chrony") -eq 0 ]];then
  dnf install -y chrony
fi

# 备份文件
cp /etc/chrony.conf{,.bak}

# chrony 同步配置，其中 192.168.2.254 为内部实践服务器
VAR_NTP_SERVER=( "192.168.10.254" "ntp.aliyun.com" "ntp.tencent.com" )
grep -E -q "^server" /etc/chrony.conf | sed -i 's/^server/# server/g' /etc/chrony.conf 
grep -E -q "^pool" /etc/chrony.conf | sed -i 's/^pool/# pool/g' /etc/chrony.conf 
for ntp in ${VAR_NTP_SERVER[@]};do 
  if [[ ${ntp} =~ "ntp" ]];then
    echo "pool ${ntp} iburst maxsources 4" >> /etc/chrony.conf;
  else
    echo "pool ${ntp} iburst maxsources 1" >> /etc/chrony.conf;
  fi
done

# 自启用 
systemctl enable chronyd.service && systemctl restart chronyd.service

# 硬件时间默认为UTC：
timedatectl set-local-rtc 0
# 启用NTP时间同步：
timedatectl set-ntp yes
# 校准时间服务器：
chronyc tracking

# 安装 GNOME 图形界面 (Rocky 8、9 与 CentOS 7 名称不一样)
yum groupinstall "Server with GUI" 
# 安装 图形界面管理工具
yum groupinstall "Graphical Administration Tools" 

# 启动图形界面
startx  

# 安装 SNMP 服务
dnf -y install net-snmp net-snmp-devel net-snmp-libs net-snmp-utils

# 安装 vm-tools 服务 (图像界面安装，可自适应屏幕，字符界面貌似没啥用)
# http://kb.vmware.com/selfservice/microsites/search.do?language=en_US&cmd=displayKC&externalId=2073803
yum -y install open-vm-tools
vmtoolsd -v && systemctl start vmtoolsd
  # VMware Tools daemon, version 12.2.5.43614 (build-21855600)

# 此配置命令自动补全忽略大小写仅针对 Bash 有效。
echo 'set completion-ignore-case on' >> ~/.inputrc

# 安装自动补齐 bash-completion 软件 Rocky 9 自带
dnf install bash-completion 

# 创建 vi 软链接到vim
ln -s /usr/bin/vim /usr/local/bin/vi

# 安装 zsh 与 git
dnf -y install zsh git
# 切换 shell 为 zsh
chsh -s /bin/zsh

# 安装 oh-my-zsh 
# 项目 https://github.com/ohmyzsh/ohmyzsh
# curl sh -c "$(curl -fsSL https://raw.githubusercontent.com/ohmyzsh/ohmyzsh/master/tools/install.sh)"
sh -c "$(curl -fsSL https://install.ohmyz.sh/)"  # 国内
sed -i '/^ZSH_THEME=.*/c ZSH_THEME="random"' ~/.zshrc
echo 'alias ll="ls -lahF --color=auto --time-style=long-iso"' >> ~/.zshrc
# 安装自动补齐
git clone https://github.com/sangrealest/zsh-autosuggestions.git ~/.oh-my-zsh/custom/plugins/zsh-autosuggestions
sed -i '/^plugins=.*/c plugins=(git zsh-autosuggestions)' ~/.zshrc

# 配置生效
source ~/.zshrc

# 安装 cockpit （Rocky 8、9、CentOS8 已默认集成）
yum -y install cockpit

# 启用 cockpit
systemctl enable --now cockpit.socket

# 取消禁用
vim /etc/cockpit/disallowed-users
# List of users which are not allowed to login to Cockpit
# root

# 重启
systemctl restart cockpit.socket

# 清理软件源缓存
dnf autoremove
dnf clean all

# 清理临时文件夹
rm -rf /tmp/*  # 清空临时文件夹

# 完整的清空历史记录
rm -f /var/log/audit/audit*
echo > /var/log/audit/audit.log
rm -f /var/log/secure*
echo > /var/log/secure
rm -f /var/log/btmp*
echo > /var/log/btmp
rm -f /var/log/wtmp*
echo > /var/log/wtmp
echo > /var/log/lastlog
echo > ~/.bash_history
echo > ~/.zsh_history
history -c