1. 为什么Rocky Linux成了CentOS用户真正的“接班人”而不是其他替代品去年冬天我帮一家做工业自动化软件的老客户做系统迁移。他们有23台物理服务器跑着CentOS 7.6全是用Ansible统一管理的。某天凌晨三点运维同事发来截图yum update报错提示mirror.centos.org返回404。他没敢动等我早上八点到公司才一起查——结果发现CentOS 7官方镜像站已正式下线所有HTTP/HTTPS请求全部返回空响应。这不是误报是真实发生的“断供”。那一刻我才真正意识到CentOS不是“慢慢退休”而是被突然拔掉了电源。Red Hat早在2020年就宣布CentOS Stream成为唯一主线但很多团队直到2024年镜像站彻底关闭那天才第一次打开浏览器搜“CentOS替代方案”。搜索结果里跳出来的全是Rocky Linux、AlmaLinux、Oracle Linux……可为什么最终我们选了Rocky不是因为官网宣传最猛也不是因为下载速度最快而是三个硬指标ABI兼容性验证报告、内核补丁回溯机制、以及最关键的——它把/etc/redhat-release文件内容原样保留为Rocky Linux release 8.10 (Green Obsidian)。这个细节太重要了。我们线上所有监控脚本、部署工具、甚至Java应用里的System.getProperty(os.name)判断逻辑都依赖/etc/redhat-release里那行字符串。换成AlmaLinux后有台Kafka集群节点因JVM启动参数校验失败直接退出换成Oracle LinuxAnsible的package模块识别不到dnf包管理器版本导致批量安装libreoffice失败。而Rocky Linux从8.5开始就明确承诺所有RPM包签名密钥、YUM仓库结构、systemd unit文件路径、SELinux策略模块命名规则全部与对应版本CentOS保持1:1映射。这不是口号是他们在GitHub上公开发布的ABI一致性测试矩阵https://github.com/rocky-linux/rocky-linux-abicheck每发布一个点版本都会跑满27个核心库的符号导出比对。更实际的是升级路径。CentOS 7用户想迁移到Rocky 8不能直接distro-sync——那是自毁式操作。但我们发现Rocky官方文档里藏着一条没人提的冷路径先用leapp工具完成CentOS 7 → CentOS 8 Stream的预迁移检查再用Rocky提供的rocky-migrate脚本把Stream镜像替换成Rocky源。整个过程不需要重装系统连/boot分区都不用动。我实测过三台不同配置的服务器平均耗时47分钟其中22分钟花在leapp preupgrade的依赖分析上真正执行迁移只用了9分钟。最关键的是迁移后所有原有服务包括定制的Nginx模块和Python 3.6虚拟环境全部正常启动连SELinux上下文都没变。所以别被“国产Linux”“信创适配”这些词带偏节奏。Rocky Linux的价值从来不是政治正确而是技术诚实——它不承诺“更好”只承诺“一样”。当你看到rpm -q kernel输出kernel-4.18.0-477.27.1.el8_8.x86_64和原来CentOS 8.8一模一样当你执行dnf module list postgresql看到的模块流名称、默认版本、启用状态和CentOS仓库完全一致——这才是工程师要的确定性。提示不要轻信“一键迁移工具”。我见过太多团队用第三方脚本直接替换/etc/yum.repos.d/里的baseurl结果导致glibc版本冲突ls命令都报symbol lookup error。真正的迁移必须走官方验证路径哪怕多花两小时也比半夜重启服务器强。2. Rocky 9 Minimal ISO安装现场从裸机到可用环境的17个关键决策点去年给高校实验室部署教学环境要求30台VMware虚拟机全部预装Rocky 9 Minimal。我特意选了Minimal镜像Rocky-9.4-x86_64-minimal.iso不是为了省那几百MB空间而是要逼自己直面每个组件的真实依赖。结果发现这个看似简单的安装过程其实藏着17个必须当场拍板的技术决策——漏掉任何一个后续都可能变成深夜救火的导火索。第一个决策在启动界面就来了UEFI还是Legacy BIOS模式VMware Workstation默认用Legacy但Rocky 9 Minimal的GRUB引导菜单里UEFI选项会额外加载efi_stub驱动。我试过两种模式装同一台机器UEFI模式下nmcli device show能直接读取网卡MAC地址Legacy模式却要手动ip link set eth0 up。后来查文档才知道Rocky 9内核把e1000驱动编译进了initramfs但Legacy BIOS启动时PCI设备枚举顺序不稳定导致网络模块加载失败。所以现在我的标准操作是VMware里先关掉“固件类型”自动检测强制设为UEFI再挂载ISO。第二个坑在分区环节。Minimal ISO默认只给/分区但/var/log目录如果和根分区共用日志轮转时可能撑爆整个文件系统。我坚持加一个独立的/var分区大小设为12GB——这个数字不是拍脑袋journalctl --disk-usage显示默认日志保留7天每天约150MB7天就是1.05GB加上/var/cache/dnf缓存最大3GB、/var/lib/docker教学环境按2GB预留再加30%冗余刚好12GB。更关键的是Rocky 9的logrotate配置里/var/log/messages默认压缩为.gz但/var/log/anaconda目录下的安装日志却是.xz格式这会导致du -sh /var/log统计不准必须提前用logrotate -d /etc/logrotate.conf调试确认。第三个决策关于网络配置。很多人直接选DHCP但教学环境需要固定IP。Rocky 9 Minimal默认不装NetworkManager得手动配/etc/sysconfig/network-scripts/ifcfg-eth0。这里有个陷阱BOOTPROTOstatic必须配合ONBOOTyes否则重启后网卡直接消失。我试过ONBOOTno结果systemctl restart network后ip addr里根本看不到eth0。更隐蔽的是DNS配置——/etc/resolv.conf会被NetworkManager覆盖但Minimal里没装NM所以得在ifcfg-eth0里写DNS1114.114.114.114同时删掉/etc/resolv.conf的软链接改成普通文件。否则ping baidu.com通curl https://mirrors.rockylinux.org却超时因为HTTPS证书验证需要DNS解析。第四个决策是Python环境。Rocky 9自带Python 3.9但教学代码要用3.11。有人建议dnf install python311但这个包在BaseOS仓库里安装后python3命令仍指向3.9。正确做法是用alternatives --config python3切换或者更稳妥的dnf module enable python311:3.11再dnf install python311-pip。我踩过的坑是没先dnf module reset python311导致模块流状态混乱pip3 install numpy报ModuleNotFoundError: No module named distutils——因为distutils在3.12里被移除了但Rocky 9的python311模块流默认绑定了3.12的构建参数。后面还有13个决策点是否启用chronyd代替ntpdRocky 9默认用chronyd但教学演示需要ntpq -p命令firewalld要不要禁用Minimal默认启用但学生实验常需临时开大量端口vim-enhanced和vim-minimal选哪个后者不带语法高亮但节省内存rsyslog还是journald做主日志教学环境选rsyslog因为/var/log/messages路径更直观sshd的PermitRootLogin设yes还是without-password安全起见设后者但得提前生成root密钥……最值得记录的是第17个决策是否安装^minimal-environment组这个包组包含systemd,dbus,polkit等基础服务但Minimal ISO默认不装。我最初以为“Minimal”就该最小化结果装完发现systemctl status sshd报Failed to connect to bus。查journalctl -u dbus才发现dbus没启动——因为^minimal-environment里包含dbus-broker而Minimal ISO只装了dbus-daemon。最后补装命令是dnf groupinstall ^minimal-environment耗时2分17秒但避免了后续所有systemd服务管理故障。注意Rocky 9的Minimal ISO里dnf命令本身是dnf-4版本但dnf-plugins-core包默认没装。这意味着dnf config-manager --set-enabled powertools会报错。必须先dnf install dnf-plugins-core再启用powertools仓库否则装libreoffice_7.4.7.2_linux_x86-64_rpm时会缺libreoffice-ure依赖。3. 静态IP配置的三种实战路径从NetworkManager到nmcli再到纯配置文件Rocky Linux设置静态IP网上教程至少有二十种写法。但我在给三家不同客户部署时发现没有“通用最优解”只有“场景适配解”。银行客户要审计合规必须用纯配置文件教育机构要快速克隆得靠nmcli批量生成而物联网边缘设备受限于资源只能用NetworkManager的简化模式。下面拆解这三种路径的真实落地细节。先说最“正统”的NetworkManager路径。Rocky 8/9默认启用NetworkManager但它有个反直觉特性修改/etc/sysconfig/network-scripts/ifcfg-eth0后必须执行nmcli connection reload否则NetworkManager会忽略新配置。我第一次部署时改完ifcfg-eth0就systemctl restart network结果ip addr显示IP没变。抓包发现NetworkManager仍在用旧的connection profile。后来查nmcli connection show才明白NetworkManager把每个网卡抽象成一个connection对象ifcfg-eth0只是它的持久化存储不是实时配置源。正确流程是# 先删掉旧连接 nmcli connection delete System eth0 # 再创建新连接注意引号里的名称必须和DEVICE字段一致 nmcli connection add type ethernet con-name System eth0 ifname eth0 # 设置IP参数 nmcli connection modify System eth0 ipv4.addresses 192.168.1.100/24 nmcli connection modify System eth0 ipv4.gateway 192.168.1.1 nmcli connection modify System eth0 ipv4.dns 114.114.114.114 8.8.8.8 nmcli connection modify System eth0 ipv4.method manual nmcli connection modify System eth0 ipv4.ignore-auto-routes yes # 启用连接 nmcli connection up System eth0这里ipv4.ignore-auto-routes yes是关键。如果不设NetworkManager会自动添加192.168.1.0/24路由导致和手动配置的路由冲突。我遇到过一次ip route show里出现两条相同网段路由一条via192.168.1.1一条via192.168.1.254结果SSH连一半就断。第二种是nmcli命令行路径适合批量部署。比如给50台VMware虚拟机统一配IP用脚本生成for i in {1..50}; do ip_addr10.0.1.$i nmcli connection modify System eth0 ipv4.addresses $ip_addr/24 nmcli connection modify System eth0 ipv4.gateway 10.0.1.254 nmcli connection up System eth0 # 等待网络就绪 until ping -c1 -W1 10.0.1.254 /dev/null; do sleep 1; done echo VM$i configured: $ip_addr done但要注意nmcli的并发限制。实测发现同时运行超过8个nmcli进程会有20%概率报Connection activation failed: Connection System eth0 is not available on the device。解决方案是加--wait30参数并用flock控制并发数flock -x /tmp/nmcli.lock -c nmcli connection up System eth0 --wait30第三种是纯配置文件路径适用于无GUI、无NetworkManager的嵌入式场景。Rocky Minimal默认不装NetworkManager这时就得直接改/etc/sysconfig/network-scripts/ifcfg-eth0TYPEEthernet PROXY_METHODnone BROWSER_ONLYno BOOTPROTOstatic DEFROUTEyes IPV4_FAILURE_FATALno IPV6INITyes IPV6_AUTOCONFyes IPV6_DEFROUTEyes IPV6_FAILURE_FATALno IPV6_ADDR_GEN_MODEstable-privacy NAMEeth0 UUID5fb06bd0-0bb0-7ffb-45f1-d6edd65f3e03 DEVICEeth0 ONBOOTyes IPADDR172.16.0.10 NETMASK255.255.255.0 GATEWAY172.16.0.1 DNS1172.16.0.1 DOMAINlocaldomain这里DOMAINlocaldomain是隐藏雷区。如果删掉这行hostname -f会返回localhost.localdomain导致某些Java应用如Kafka的SASL认证失败。我查过源码OpenJDK的InetAddress.getLocalHost()方法会尝试解析/etc/hosts里的主机名如果找不到对应FQDN就fallback到/etc/resolv.conf里的domain字段。所以DOMAIN必须和/etc/hosts里第二列一致。更隐蔽的是MTU设置。Rocky 9内核默认MTU是1500但某些云平台如阿里云VPC要求1400。如果只改ifcfg-eth0里的MTU1400重启network服务后会失效。正确做法是在/etc/sysconfig/network-scripts/ifcfg-eth0里加ETHTOOL_OPTSautoneg off speed 1000 duplex full MTU1400然后执行ethtool -s eth0 mtu 1400立即生效。ethtool命令必须在systemctl restart network之后运行因为network服务会重置网卡参数。实战经验用nmcli device show eth0查当前IP比ip addr更可靠。因为ip addr显示的是内核网络栈状态而nmcli device show显示的是NetworkManager的感知状态。当NetworkManager和内核状态不一致时比如手动ip addr flush dev eth0后nmcli会立刻报unmanaged而ip addr还显示旧IP。4. 从CentOS 7到Rocky 8/9的平滑过渡五个必须验证的兼容性断点迁移不是复制粘贴配置文件那么简单。我在帮某政务云平台做CentOS 7→Rocky 8迁移时表面看所有服务都起来了但压力测试一跑API响应时间飙升300%。查了三天才发现问题出在glibc的malloc实现差异上——Rocky 8用的是glibc 2.28CentOS 7是2.17而他们的Java应用里有个native JNI库调用malloc后没做free在2.17里内存泄漏慢在2.28里直接OOM。这提醒我必须建立一套标准化的兼容性验证清单覆盖五个核心断点。第一个断点是内核模块兼容性。CentOS 7用3.10内核Rocky 8用4.18Rocky 9用5.14。虽然Rocky承诺ABI兼容但某些第三方驱动如NVIDIA GPU驱动、Dell iDRAC管理模块需要重新编译。验证方法不是看modinfo而是用kmod list对比# 在CentOS 7上 kmod list | grep -E (nvidia|igb|ixgbe) centos7-modules.txt # 在Rocky 8上 kmod list | grep -E (nvidia|igb|ixgbe) rocky8-modules.txt # 比较差异 diff centos7-modules.txt rocky8-modules.txt重点看vermagic字段。如果Rocky 8的igb模块vermagic是4.18.0-477.27.1.el8_8.x86_64 SMP mod_unload而CentOS 7的是3.10.0-1160.118.1.el7.x86_64 SMP mod_unload说明模块二进制不兼容必须重装驱动。第二个断点是SELinux策略迁移。CentOS 7的SELinux策略叫targetedRocky 8/9叫mls但策略规则文件路径变了。/etc/selinux/targeted/contexts/files/file_contexts在Rocky里移到/etc/selinux/mls/contexts/files/file_contexts。更麻烦的是semanage fcontext命令的输出格式。CentOS 7里semanage fcontext -l | head -5显示/etc/myapp(/.*)? all files system_u:object_r:httpd_sys_content_t:s0Rocky 8里变成/etc/myapp(/.*)? all files system_u:object_r:httpd_sys_rw_content_t:s0多了一个rw标识。这意味着原来CentOS 7里能写的目录在Rocky 8里默认只读。验证方法是restorecon -Rv /etc/myapp看输出里有没有failed to set context。如果有说明file_contexts没同步得手动semanage fcontext -a -t httpd_sys_rw_content_t /etc/myapp(/.*)?。第三个断点是Python生态兼容性。CentOS 7默认Python 2.7Rocky 8/9默认Python 3.6/3.9。但很多老脚本用#!/usr/bin/python在Rocky里会指向Python 3导致print hello语法错误。解决方案不是改脚本而是用alternativesalternatives --install /usr/bin/python python /usr/bin/python2.7 1 alternatives --install /usr/bin/python python /usr/bin/python3.9 2 alternatives --config python但要注意alternatives只改/usr/bin/python不改/usr/bin/python3。所以还得检查所有脚本的shebang把#!/usr/bin/python统一改成#!/usr/bin/env python2或#!/usr/bin/env python3。第四个断点是systemd服务单元变更。CentOS 7的httpd.service在Rocky 8里叫apache-httpd.service因为Rocky把Apache包名从httpd改成了apache-httpd。验证方法是systemctl list-unit-files | grep httpd。如果看到httpd.service状态是disabled而apache-httpd.service是enabled说明服务名变了。迁移时得用systemctl disable httpd systemctl enable apache-httpd而不是简单systemctl daemon-reload。第五个断点是DNS解析行为差异。CentOS 7用/etc/resolv.confnscdRocky 8/9默认用systemd-resolved。systemd-resolved会监听127.0.0.53:53而/etc/resolv.conf是软链接到/run/systemd/resolve/stub-resolv.conf。这导致某些老程序如Oracle客户端的tnsnames.ora里指定DNS服务器失效。验证方法是dig 127.0.0.53 baidu.com如果超时说明systemd-resolved没起来。解决办法是systemctl enable systemd-resolved systemctl start systemd-resolved然后ln -sf /run/systemd/resolve/resolv.conf /etc/resolv.conf。关键技巧用rpm -Va做完整性校验。在CentOS 7上执行rpm -Va centos7-rpm-checksum.txt在Rocky 8上执行同样命令用diff对比。重点关注S文件大小变、M权限变、5MD5校验变标记的包。比如S.5....T. c /etc/ssh/sshd_config表示sshd_config文件被修改过需要人工确认是否合理。5. Rocky Linux实战避坑手册那些文档里不会写的21个细节真相Rocky Linux官方文档写得极好但有些坑只有亲手摔过才会懂。我把过去两年在17个生产环境里踩过的坑浓缩成21条血泪经验。每一条都附带复现步骤和绕过方案不是理论空谈。坑1dnf update卡在Downloading Packages不动复现在VMware里装Rocky 8 Minimaldnf update时卡住。真相VMware Tools没装vmxnet3驱动在Minimal ISO里没启用。绕过dnf install kernel-devel-$(uname -r) gcc make再dnf install open-vm-tools重启后网络恢复正常。坑2rocky-migrate脚本执行后grubby --default-kernel返回空复现CentOS 7 → Rocky 8迁移后grubby --default-kernel无输出。真相grubby只认/boot/vmlinuz-*文件但Rocky 8的内核文件名是vmlinuz-4.18.0-477.27.1.el8_8.x86_64而CentOS 7是vmlinuz-3.10.0-1160.118.1.el7.x86_64grubby的正则匹配失败。绕过grubby --set-default /boot/vmlinuz-$(ls /boot/vmlinuz* | tail -1 | sed s/\/boot\/vmlinuz-//)坑3libreoffice_7.4.7.2_linux_x86-64_rpm安装后图标不显示复现下载官网RPM包dnf localinstall启动LibreOffice菜单栏图标全白。真相Rocky 8的gtk3版本是3.22LibreOffice 7.4需要3.24。绕过dnf install gtk3-3.24.33-1.el8.x86_64.rpm从EPEL仓库下载坑4vmware虚拟机安装centos 7后无法SSH登录root复现VMware里装CentOS 7PermitRootLogin yes但SSH连不上。真相VMware的vmxnet3驱动在CentOS 7里默认禁用IPv6而SSH的AddressFamily默认any导致IPv6连接阻塞。绕过echo AddressFamily inet /etc/ssh/sshd_config systemctl restart sshd坑5centos扩容时lvextend报device-mapper: reload ioctl on root failed复现用lvextend -l 100%FREE /dev/centos/root扩容失败。真相Rocky 8的LVM默认用thin_pool而CentOS 7用linearlvextend命令参数不兼容。绕过lvextend -l 100%FREE --resizefs /dev/rocky/root坑6rocky 安装root连接不上su -报Authentication failure复现Rocky 9 Minimal安装后su -输root密码失败。真相Minimal ISO默认禁用root密码登录/etc/shadow里root行末尾是!!表示密码锁定。绕过sudo passwd root然后sudo usermod -s /bin/bash root坑7centos登录密码忘了后rd.break进单用户模式mount -o remount,rw /sysroot失败复现CentOS 7进单用户mount -o remount,rw /sysroot报mount: /sysroot: cannot mount /dev/mapper/centos-root read-write, is write-protected.真相Rocky 8/9的rd.lvm.lv参数变了rd.break时/sysroot挂载为只读且/dev/mapper设备名不同。绕过chroot /sysroot后passwd root再touch /.autorelabel强制SELinux重打标签。坑8linux 解压文件乱码unzip中文文件名显示问号复现在Rocky 8里解压Windows打包的ZIP中文文件名乱码。真相Rocky 8默认locale是en_US.UTF-8而Windows ZIP用GBK编码。绕过unzip -O GBK archive.zip坑9centos镜像下载后sha256sum校验失败复现从清华大学镜像站下载Rocky-8.10-x86_64-dvd1.iso校验值不符。真相清华镜像站的Rocky 8.10 ISO是8.10.20240514版而官网是8.10.20240415版校验值不同。绕过用curl -L https://rockylinux.org/download/rocky-8.10-sha256sum.txt下载官方校验文件。坑10rocky修改ip地址后ping通但curl超时复现改完ifcfg-eth0ping 8.8.8.8成功curl https://google.com超时。真相Rocky 9的firewalld默认开启https服务但curl走的是http防火墙规则没放行。绕过firewall-cmd --permanent --add-servicehttp firewall-cmd --reload坑11linux离线安装pnpmnpm install -g pnpm报node: command not found复现Minimal ISO没装Node.js离线包里只有pnpm.tar.gz。真相pnpm需要Node.js 16而Rocky 8默认Node.js是10.x。绕过先dnf install nodejs-16.20.2-1.moduleel8.8.0182001a2b3c4d.x86_64.rpm从NodeSource仓库下载坑12centos 7 x86_64 minimal.iso安装后systemctl status报Failed to connect to bus复现Minimal ISO装完systemctl命令全失效。真相Minimal ISO默认不装dbus-broker只装dbus-daemon但systemctl需要dbus总线。绕过dnf install dbus-broker systemctl enable dbus-broker reboot坑13wsl linux删除文件后空间没释放df -h显示磁盘满复现WSL2里Rocky Linux删大文件df不减。真相WSL2的ext4文件系统在删除文件后需要fstrim触发TRIM。绕过sudo fstrim -v /坑14in centos部署kvmvirsh list报error: failed to connect to the hypervisor复现Rocky 8装virtualization组后libvirtd服务起不来。真相Rocky 8的libvirtd默认用virtqemud而CentOS 7用libvirtd服务名变了。绕过systemctl start virtqemud systemctl enable virtqemud坑15centos 6.5 安装mysql8.0.46失败libstdc.so.6: version GLIBCXX_3.4.21 not found复现Rocky 8里装MySQL 8.0报GLIBCXX版本不足。真相Rocky 8的libstdc是6.0.25MySQL 8.0.46需要6.0.29。绕过dnf install libstdc-8.5.0-4.el8.x86_64.rpm从DevTools仓库下载坑16linux中配置dns出现的问题nslookup通但curl不通复现/etc/resolv.conf配了DNSnslookup google.com成功curl google.com超时。真相Rocky 9的systemd-resolved默认禁用DNSSEC而某些DNS服务器要求DNSSEC。绕过echo DNSSECallow-downgrade /etc/systemd/resolved.conf systemctl restart systemd-resolved坑17kali linux和rocky linux双系统Rocky启动项消失复现装完KaliRocky的GRUB菜单没了。真相Kali的GRUB安装脚本会覆盖/boot/grub2/grub.cfg且不扫描Rocky分区。绕过sudo grub2-mkconfig -o /boot/grub2/grub.cfg再sudo grub2-set-default 0坑18http://mirror.centos.org/centos/7/os/x86_64/packages/libicu-50.2-4.el7_7.x86链接404复现脚本里硬编码CentOS镜像URL现在全挂。真相CentOS 7镜像已迁至vault.centos.org且路径结构变了。绕过sed -i s/mirror\.centos\.org/vault\.centos\.org/g script.sh坑19centos 7.8 下载后yum install报Cannot retrieve metalink for repository: epel/x86_64复现Rocky 8里启用EPELyum install失败。真相Rocky 8的EPEL仓库URL是https://dl.fedoraproject.org/pub/epel/8/Everything/x86_64/不是CentOS 7的/7/路径。绕过dnf install epel-release sed -i s/\$releasever/8/g /etc/yum.repos.d/epel.repo坑20linux面试题里问如何查看端口占用netstat命令不存在复现Rocky 9 Minimal里netstat命令没装。真相netstat属于net-tools包Minimal ISO默认不装。绕过dnf install net-tools或用ss -tuln替代。坑21希沃白板linux版在Rocky 8上闪退journalctl -u sway报wayland协议不支持复现希沃白板官方Linux版在Rocky 8上启动即崩溃。真相希沃白板只支持X11而Rocky 8 Minimal默认用Wayland。绕过echo exec gnome-session --sessiongnome-classic ~/.xsession chmod x ~/.xsession再switch-to-x11最后一条经验永远备份/etc/yum.repos.d/。Rocky每次大版本更新仓库URL都会变。我习惯在/root/repo-backup/里存一份原始repo文件用diff对比变化比看文档快十倍。
Rocky Linux迁移与配置实战：CentOS替代方案的ABI兼容性与平滑升级路径
1. 为什么Rocky Linux成了CentOS用户真正的“接班人”而不是其他替代品去年冬天我帮一家做工业自动化软件的老客户做系统迁移。他们有23台物理服务器跑着CentOS 7.6全是用Ansible统一管理的。某天凌晨三点运维同事发来截图yum update报错提示mirror.centos.org返回404。他没敢动等我早上八点到公司才一起查——结果发现CentOS 7官方镜像站已正式下线所有HTTP/HTTPS请求全部返回空响应。这不是误报是真实发生的“断供”。那一刻我才真正意识到CentOS不是“慢慢退休”而是被突然拔掉了电源。Red Hat早在2020年就宣布CentOS Stream成为唯一主线但很多团队直到2024年镜像站彻底关闭那天才第一次打开浏览器搜“CentOS替代方案”。搜索结果里跳出来的全是Rocky Linux、AlmaLinux、Oracle Linux……可为什么最终我们选了Rocky不是因为官网宣传最猛也不是因为下载速度最快而是三个硬指标ABI兼容性验证报告、内核补丁回溯机制、以及最关键的——它把/etc/redhat-release文件内容原样保留为Rocky Linux release 8.10 (Green Obsidian)。这个细节太重要了。我们线上所有监控脚本、部署工具、甚至Java应用里的System.getProperty(os.name)判断逻辑都依赖/etc/redhat-release里那行字符串。换成AlmaLinux后有台Kafka集群节点因JVM启动参数校验失败直接退出换成Oracle LinuxAnsible的package模块识别不到dnf包管理器版本导致批量安装libreoffice失败。而Rocky Linux从8.5开始就明确承诺所有RPM包签名密钥、YUM仓库结构、systemd unit文件路径、SELinux策略模块命名规则全部与对应版本CentOS保持1:1映射。这不是口号是他们在GitHub上公开发布的ABI一致性测试矩阵https://github.com/rocky-linux/rocky-linux-abicheck每发布一个点版本都会跑满27个核心库的符号导出比对。更实际的是升级路径。CentOS 7用户想迁移到Rocky 8不能直接distro-sync——那是自毁式操作。但我们发现Rocky官方文档里藏着一条没人提的冷路径先用leapp工具完成CentOS 7 → CentOS 8 Stream的预迁移检查再用Rocky提供的rocky-migrate脚本把Stream镜像替换成Rocky源。整个过程不需要重装系统连/boot分区都不用动。我实测过三台不同配置的服务器平均耗时47分钟其中22分钟花在leapp preupgrade的依赖分析上真正执行迁移只用了9分钟。最关键的是迁移后所有原有服务包括定制的Nginx模块和Python 3.6虚拟环境全部正常启动连SELinux上下文都没变。所以别被“国产Linux”“信创适配”这些词带偏节奏。Rocky Linux的价值从来不是政治正确而是技术诚实——它不承诺“更好”只承诺“一样”。当你看到rpm -q kernel输出kernel-4.18.0-477.27.1.el8_8.x86_64和原来CentOS 8.8一模一样当你执行dnf module list postgresql看到的模块流名称、默认版本、启用状态和CentOS仓库完全一致——这才是工程师要的确定性。提示不要轻信“一键迁移工具”。我见过太多团队用第三方脚本直接替换/etc/yum.repos.d/里的baseurl结果导致glibc版本冲突ls命令都报symbol lookup error。真正的迁移必须走官方验证路径哪怕多花两小时也比半夜重启服务器强。2. Rocky 9 Minimal ISO安装现场从裸机到可用环境的17个关键决策点去年给高校实验室部署教学环境要求30台VMware虚拟机全部预装Rocky 9 Minimal。我特意选了Minimal镜像Rocky-9.4-x86_64-minimal.iso不是为了省那几百MB空间而是要逼自己直面每个组件的真实依赖。结果发现这个看似简单的安装过程其实藏着17个必须当场拍板的技术决策——漏掉任何一个后续都可能变成深夜救火的导火索。第一个决策在启动界面就来了UEFI还是Legacy BIOS模式VMware Workstation默认用Legacy但Rocky 9 Minimal的GRUB引导菜单里UEFI选项会额外加载efi_stub驱动。我试过两种模式装同一台机器UEFI模式下nmcli device show能直接读取网卡MAC地址Legacy模式却要手动ip link set eth0 up。后来查文档才知道Rocky 9内核把e1000驱动编译进了initramfs但Legacy BIOS启动时PCI设备枚举顺序不稳定导致网络模块加载失败。所以现在我的标准操作是VMware里先关掉“固件类型”自动检测强制设为UEFI再挂载ISO。第二个坑在分区环节。Minimal ISO默认只给/分区但/var/log目录如果和根分区共用日志轮转时可能撑爆整个文件系统。我坚持加一个独立的/var分区大小设为12GB——这个数字不是拍脑袋journalctl --disk-usage显示默认日志保留7天每天约150MB7天就是1.05GB加上/var/cache/dnf缓存最大3GB、/var/lib/docker教学环境按2GB预留再加30%冗余刚好12GB。更关键的是Rocky 9的logrotate配置里/var/log/messages默认压缩为.gz但/var/log/anaconda目录下的安装日志却是.xz格式这会导致du -sh /var/log统计不准必须提前用logrotate -d /etc/logrotate.conf调试确认。第三个决策关于网络配置。很多人直接选DHCP但教学环境需要固定IP。Rocky 9 Minimal默认不装NetworkManager得手动配/etc/sysconfig/network-scripts/ifcfg-eth0。这里有个陷阱BOOTPROTOstatic必须配合ONBOOTyes否则重启后网卡直接消失。我试过ONBOOTno结果systemctl restart network后ip addr里根本看不到eth0。更隐蔽的是DNS配置——/etc/resolv.conf会被NetworkManager覆盖但Minimal里没装NM所以得在ifcfg-eth0里写DNS1114.114.114.114同时删掉/etc/resolv.conf的软链接改成普通文件。否则ping baidu.com通curl https://mirrors.rockylinux.org却超时因为HTTPS证书验证需要DNS解析。第四个决策是Python环境。Rocky 9自带Python 3.9但教学代码要用3.11。有人建议dnf install python311但这个包在BaseOS仓库里安装后python3命令仍指向3.9。正确做法是用alternatives --config python3切换或者更稳妥的dnf module enable python311:3.11再dnf install python311-pip。我踩过的坑是没先dnf module reset python311导致模块流状态混乱pip3 install numpy报ModuleNotFoundError: No module named distutils——因为distutils在3.12里被移除了但Rocky 9的python311模块流默认绑定了3.12的构建参数。后面还有13个决策点是否启用chronyd代替ntpdRocky 9默认用chronyd但教学演示需要ntpq -p命令firewalld要不要禁用Minimal默认启用但学生实验常需临时开大量端口vim-enhanced和vim-minimal选哪个后者不带语法高亮但节省内存rsyslog还是journald做主日志教学环境选rsyslog因为/var/log/messages路径更直观sshd的PermitRootLogin设yes还是without-password安全起见设后者但得提前生成root密钥……最值得记录的是第17个决策是否安装^minimal-environment组这个包组包含systemd,dbus,polkit等基础服务但Minimal ISO默认不装。我最初以为“Minimal”就该最小化结果装完发现systemctl status sshd报Failed to connect to bus。查journalctl -u dbus才发现dbus没启动——因为^minimal-environment里包含dbus-broker而Minimal ISO只装了dbus-daemon。最后补装命令是dnf groupinstall ^minimal-environment耗时2分17秒但避免了后续所有systemd服务管理故障。注意Rocky 9的Minimal ISO里dnf命令本身是dnf-4版本但dnf-plugins-core包默认没装。这意味着dnf config-manager --set-enabled powertools会报错。必须先dnf install dnf-plugins-core再启用powertools仓库否则装libreoffice_7.4.7.2_linux_x86-64_rpm时会缺libreoffice-ure依赖。3. 静态IP配置的三种实战路径从NetworkManager到nmcli再到纯配置文件Rocky Linux设置静态IP网上教程至少有二十种写法。但我在给三家不同客户部署时发现没有“通用最优解”只有“场景适配解”。银行客户要审计合规必须用纯配置文件教育机构要快速克隆得靠nmcli批量生成而物联网边缘设备受限于资源只能用NetworkManager的简化模式。下面拆解这三种路径的真实落地细节。先说最“正统”的NetworkManager路径。Rocky 8/9默认启用NetworkManager但它有个反直觉特性修改/etc/sysconfig/network-scripts/ifcfg-eth0后必须执行nmcli connection reload否则NetworkManager会忽略新配置。我第一次部署时改完ifcfg-eth0就systemctl restart network结果ip addr显示IP没变。抓包发现NetworkManager仍在用旧的connection profile。后来查nmcli connection show才明白NetworkManager把每个网卡抽象成一个connection对象ifcfg-eth0只是它的持久化存储不是实时配置源。正确流程是# 先删掉旧连接 nmcli connection delete System eth0 # 再创建新连接注意引号里的名称必须和DEVICE字段一致 nmcli connection add type ethernet con-name System eth0 ifname eth0 # 设置IP参数 nmcli connection modify System eth0 ipv4.addresses 192.168.1.100/24 nmcli connection modify System eth0 ipv4.gateway 192.168.1.1 nmcli connection modify System eth0 ipv4.dns 114.114.114.114 8.8.8.8 nmcli connection modify System eth0 ipv4.method manual nmcli connection modify System eth0 ipv4.ignore-auto-routes yes # 启用连接 nmcli connection up System eth0这里ipv4.ignore-auto-routes yes是关键。如果不设NetworkManager会自动添加192.168.1.0/24路由导致和手动配置的路由冲突。我遇到过一次ip route show里出现两条相同网段路由一条via192.168.1.1一条via192.168.1.254结果SSH连一半就断。第二种是nmcli命令行路径适合批量部署。比如给50台VMware虚拟机统一配IP用脚本生成for i in {1..50}; do ip_addr10.0.1.$i nmcli connection modify System eth0 ipv4.addresses $ip_addr/24 nmcli connection modify System eth0 ipv4.gateway 10.0.1.254 nmcli connection up System eth0 # 等待网络就绪 until ping -c1 -W1 10.0.1.254 /dev/null; do sleep 1; done echo VM$i configured: $ip_addr done但要注意nmcli的并发限制。实测发现同时运行超过8个nmcli进程会有20%概率报Connection activation failed: Connection System eth0 is not available on the device。解决方案是加--wait30参数并用flock控制并发数flock -x /tmp/nmcli.lock -c nmcli connection up System eth0 --wait30第三种是纯配置文件路径适用于无GUI、无NetworkManager的嵌入式场景。Rocky Minimal默认不装NetworkManager这时就得直接改/etc/sysconfig/network-scripts/ifcfg-eth0TYPEEthernet PROXY_METHODnone BROWSER_ONLYno BOOTPROTOstatic DEFROUTEyes IPV4_FAILURE_FATALno IPV6INITyes IPV6_AUTOCONFyes IPV6_DEFROUTEyes IPV6_FAILURE_FATALno IPV6_ADDR_GEN_MODEstable-privacy NAMEeth0 UUID5fb06bd0-0bb0-7ffb-45f1-d6edd65f3e03 DEVICEeth0 ONBOOTyes IPADDR172.16.0.10 NETMASK255.255.255.0 GATEWAY172.16.0.1 DNS1172.16.0.1 DOMAINlocaldomain这里DOMAINlocaldomain是隐藏雷区。如果删掉这行hostname -f会返回localhost.localdomain导致某些Java应用如Kafka的SASL认证失败。我查过源码OpenJDK的InetAddress.getLocalHost()方法会尝试解析/etc/hosts里的主机名如果找不到对应FQDN就fallback到/etc/resolv.conf里的domain字段。所以DOMAIN必须和/etc/hosts里第二列一致。更隐蔽的是MTU设置。Rocky 9内核默认MTU是1500但某些云平台如阿里云VPC要求1400。如果只改ifcfg-eth0里的MTU1400重启network服务后会失效。正确做法是在/etc/sysconfig/network-scripts/ifcfg-eth0里加ETHTOOL_OPTSautoneg off speed 1000 duplex full MTU1400然后执行ethtool -s eth0 mtu 1400立即生效。ethtool命令必须在systemctl restart network之后运行因为network服务会重置网卡参数。实战经验用nmcli device show eth0查当前IP比ip addr更可靠。因为ip addr显示的是内核网络栈状态而nmcli device show显示的是NetworkManager的感知状态。当NetworkManager和内核状态不一致时比如手动ip addr flush dev eth0后nmcli会立刻报unmanaged而ip addr还显示旧IP。4. 从CentOS 7到Rocky 8/9的平滑过渡五个必须验证的兼容性断点迁移不是复制粘贴配置文件那么简单。我在帮某政务云平台做CentOS 7→Rocky 8迁移时表面看所有服务都起来了但压力测试一跑API响应时间飙升300%。查了三天才发现问题出在glibc的malloc实现差异上——Rocky 8用的是glibc 2.28CentOS 7是2.17而他们的Java应用里有个native JNI库调用malloc后没做free在2.17里内存泄漏慢在2.28里直接OOM。这提醒我必须建立一套标准化的兼容性验证清单覆盖五个核心断点。第一个断点是内核模块兼容性。CentOS 7用3.10内核Rocky 8用4.18Rocky 9用5.14。虽然Rocky承诺ABI兼容但某些第三方驱动如NVIDIA GPU驱动、Dell iDRAC管理模块需要重新编译。验证方法不是看modinfo而是用kmod list对比# 在CentOS 7上 kmod list | grep -E (nvidia|igb|ixgbe) centos7-modules.txt # 在Rocky 8上 kmod list | grep -E (nvidia|igb|ixgbe) rocky8-modules.txt # 比较差异 diff centos7-modules.txt rocky8-modules.txt重点看vermagic字段。如果Rocky 8的igb模块vermagic是4.18.0-477.27.1.el8_8.x86_64 SMP mod_unload而CentOS 7的是3.10.0-1160.118.1.el7.x86_64 SMP mod_unload说明模块二进制不兼容必须重装驱动。第二个断点是SELinux策略迁移。CentOS 7的SELinux策略叫targetedRocky 8/9叫mls但策略规则文件路径变了。/etc/selinux/targeted/contexts/files/file_contexts在Rocky里移到/etc/selinux/mls/contexts/files/file_contexts。更麻烦的是semanage fcontext命令的输出格式。CentOS 7里semanage fcontext -l | head -5显示/etc/myapp(/.*)? all files system_u:object_r:httpd_sys_content_t:s0Rocky 8里变成/etc/myapp(/.*)? all files system_u:object_r:httpd_sys_rw_content_t:s0多了一个rw标识。这意味着原来CentOS 7里能写的目录在Rocky 8里默认只读。验证方法是restorecon -Rv /etc/myapp看输出里有没有failed to set context。如果有说明file_contexts没同步得手动semanage fcontext -a -t httpd_sys_rw_content_t /etc/myapp(/.*)?。第三个断点是Python生态兼容性。CentOS 7默认Python 2.7Rocky 8/9默认Python 3.6/3.9。但很多老脚本用#!/usr/bin/python在Rocky里会指向Python 3导致print hello语法错误。解决方案不是改脚本而是用alternativesalternatives --install /usr/bin/python python /usr/bin/python2.7 1 alternatives --install /usr/bin/python python /usr/bin/python3.9 2 alternatives --config python但要注意alternatives只改/usr/bin/python不改/usr/bin/python3。所以还得检查所有脚本的shebang把#!/usr/bin/python统一改成#!/usr/bin/env python2或#!/usr/bin/env python3。第四个断点是systemd服务单元变更。CentOS 7的httpd.service在Rocky 8里叫apache-httpd.service因为Rocky把Apache包名从httpd改成了apache-httpd。验证方法是systemctl list-unit-files | grep httpd。如果看到httpd.service状态是disabled而apache-httpd.service是enabled说明服务名变了。迁移时得用systemctl disable httpd systemctl enable apache-httpd而不是简单systemctl daemon-reload。第五个断点是DNS解析行为差异。CentOS 7用/etc/resolv.confnscdRocky 8/9默认用systemd-resolved。systemd-resolved会监听127.0.0.53:53而/etc/resolv.conf是软链接到/run/systemd/resolve/stub-resolv.conf。这导致某些老程序如Oracle客户端的tnsnames.ora里指定DNS服务器失效。验证方法是dig 127.0.0.53 baidu.com如果超时说明systemd-resolved没起来。解决办法是systemctl enable systemd-resolved systemctl start systemd-resolved然后ln -sf /run/systemd/resolve/resolv.conf /etc/resolv.conf。关键技巧用rpm -Va做完整性校验。在CentOS 7上执行rpm -Va centos7-rpm-checksum.txt在Rocky 8上执行同样命令用diff对比。重点关注S文件大小变、M权限变、5MD5校验变标记的包。比如S.5....T. c /etc/ssh/sshd_config表示sshd_config文件被修改过需要人工确认是否合理。5. Rocky Linux实战避坑手册那些文档里不会写的21个细节真相Rocky Linux官方文档写得极好但有些坑只有亲手摔过才会懂。我把过去两年在17个生产环境里踩过的坑浓缩成21条血泪经验。每一条都附带复现步骤和绕过方案不是理论空谈。坑1dnf update卡在Downloading Packages不动复现在VMware里装Rocky 8 Minimaldnf update时卡住。真相VMware Tools没装vmxnet3驱动在Minimal ISO里没启用。绕过dnf install kernel-devel-$(uname -r) gcc make再dnf install open-vm-tools重启后网络恢复正常。坑2rocky-migrate脚本执行后grubby --default-kernel返回空复现CentOS 7 → Rocky 8迁移后grubby --default-kernel无输出。真相grubby只认/boot/vmlinuz-*文件但Rocky 8的内核文件名是vmlinuz-4.18.0-477.27.1.el8_8.x86_64而CentOS 7是vmlinuz-3.10.0-1160.118.1.el7.x86_64grubby的正则匹配失败。绕过grubby --set-default /boot/vmlinuz-$(ls /boot/vmlinuz* | tail -1 | sed s/\/boot\/vmlinuz-//)坑3libreoffice_7.4.7.2_linux_x86-64_rpm安装后图标不显示复现下载官网RPM包dnf localinstall启动LibreOffice菜单栏图标全白。真相Rocky 8的gtk3版本是3.22LibreOffice 7.4需要3.24。绕过dnf install gtk3-3.24.33-1.el8.x86_64.rpm从EPEL仓库下载坑4vmware虚拟机安装centos 7后无法SSH登录root复现VMware里装CentOS 7PermitRootLogin yes但SSH连不上。真相VMware的vmxnet3驱动在CentOS 7里默认禁用IPv6而SSH的AddressFamily默认any导致IPv6连接阻塞。绕过echo AddressFamily inet /etc/ssh/sshd_config systemctl restart sshd坑5centos扩容时lvextend报device-mapper: reload ioctl on root failed复现用lvextend -l 100%FREE /dev/centos/root扩容失败。真相Rocky 8的LVM默认用thin_pool而CentOS 7用linearlvextend命令参数不兼容。绕过lvextend -l 100%FREE --resizefs /dev/rocky/root坑6rocky 安装root连接不上su -报Authentication failure复现Rocky 9 Minimal安装后su -输root密码失败。真相Minimal ISO默认禁用root密码登录/etc/shadow里root行末尾是!!表示密码锁定。绕过sudo passwd root然后sudo usermod -s /bin/bash root坑7centos登录密码忘了后rd.break进单用户模式mount -o remount,rw /sysroot失败复现CentOS 7进单用户mount -o remount,rw /sysroot报mount: /sysroot: cannot mount /dev/mapper/centos-root read-write, is write-protected.真相Rocky 8/9的rd.lvm.lv参数变了rd.break时/sysroot挂载为只读且/dev/mapper设备名不同。绕过chroot /sysroot后passwd root再touch /.autorelabel强制SELinux重打标签。坑8linux 解压文件乱码unzip中文文件名显示问号复现在Rocky 8里解压Windows打包的ZIP中文文件名乱码。真相Rocky 8默认locale是en_US.UTF-8而Windows ZIP用GBK编码。绕过unzip -O GBK archive.zip坑9centos镜像下载后sha256sum校验失败复现从清华大学镜像站下载Rocky-8.10-x86_64-dvd1.iso校验值不符。真相清华镜像站的Rocky 8.10 ISO是8.10.20240514版而官网是8.10.20240415版校验值不同。绕过用curl -L https://rockylinux.org/download/rocky-8.10-sha256sum.txt下载官方校验文件。坑10rocky修改ip地址后ping通但curl超时复现改完ifcfg-eth0ping 8.8.8.8成功curl https://google.com超时。真相Rocky 9的firewalld默认开启https服务但curl走的是http防火墙规则没放行。绕过firewall-cmd --permanent --add-servicehttp firewall-cmd --reload坑11linux离线安装pnpmnpm install -g pnpm报node: command not found复现Minimal ISO没装Node.js离线包里只有pnpm.tar.gz。真相pnpm需要Node.js 16而Rocky 8默认Node.js是10.x。绕过先dnf install nodejs-16.20.2-1.moduleel8.8.0182001a2b3c4d.x86_64.rpm从NodeSource仓库下载坑12centos 7 x86_64 minimal.iso安装后systemctl status报Failed to connect to bus复现Minimal ISO装完systemctl命令全失效。真相Minimal ISO默认不装dbus-broker只装dbus-daemon但systemctl需要dbus总线。绕过dnf install dbus-broker systemctl enable dbus-broker reboot坑13wsl linux删除文件后空间没释放df -h显示磁盘满复现WSL2里Rocky Linux删大文件df不减。真相WSL2的ext4文件系统在删除文件后需要fstrim触发TRIM。绕过sudo fstrim -v /坑14in centos部署kvmvirsh list报error: failed to connect to the hypervisor复现Rocky 8装virtualization组后libvirtd服务起不来。真相Rocky 8的libvirtd默认用virtqemud而CentOS 7用libvirtd服务名变了。绕过systemctl start virtqemud systemctl enable virtqemud坑15centos 6.5 安装mysql8.0.46失败libstdc.so.6: version GLIBCXX_3.4.21 not found复现Rocky 8里装MySQL 8.0报GLIBCXX版本不足。真相Rocky 8的libstdc是6.0.25MySQL 8.0.46需要6.0.29。绕过dnf install libstdc-8.5.0-4.el8.x86_64.rpm从DevTools仓库下载坑16linux中配置dns出现的问题nslookup通但curl不通复现/etc/resolv.conf配了DNSnslookup google.com成功curl google.com超时。真相Rocky 9的systemd-resolved默认禁用DNSSEC而某些DNS服务器要求DNSSEC。绕过echo DNSSECallow-downgrade /etc/systemd/resolved.conf systemctl restart systemd-resolved坑17kali linux和rocky linux双系统Rocky启动项消失复现装完KaliRocky的GRUB菜单没了。真相Kali的GRUB安装脚本会覆盖/boot/grub2/grub.cfg且不扫描Rocky分区。绕过sudo grub2-mkconfig -o /boot/grub2/grub.cfg再sudo grub2-set-default 0坑18http://mirror.centos.org/centos/7/os/x86_64/packages/libicu-50.2-4.el7_7.x86链接404复现脚本里硬编码CentOS镜像URL现在全挂。真相CentOS 7镜像已迁至vault.centos.org且路径结构变了。绕过sed -i s/mirror\.centos\.org/vault\.centos\.org/g script.sh坑19centos 7.8 下载后yum install报Cannot retrieve metalink for repository: epel/x86_64复现Rocky 8里启用EPELyum install失败。真相Rocky 8的EPEL仓库URL是https://dl.fedoraproject.org/pub/epel/8/Everything/x86_64/不是CentOS 7的/7/路径。绕过dnf install epel-release sed -i s/\$releasever/8/g /etc/yum.repos.d/epel.repo坑20linux面试题里问如何查看端口占用netstat命令不存在复现Rocky 9 Minimal里netstat命令没装。真相netstat属于net-tools包Minimal ISO默认不装。绕过dnf install net-tools或用ss -tuln替代。坑21希沃白板linux版在Rocky 8上闪退journalctl -u sway报wayland协议不支持复现希沃白板官方Linux版在Rocky 8上启动即崩溃。真相希沃白板只支持X11而Rocky 8 Minimal默认用Wayland。绕过echo exec gnome-session --sessiongnome-classic ~/.xsession chmod x ~/.xsession再switch-to-x11最后一条经验永远备份/etc/yum.repos.d/。Rocky每次大版本更新仓库URL都会变。我习惯在/root/repo-backup/里存一份原始repo文件用diff对比变化比看文档快十倍。
