OpenEuler 24.03本地DNF仓库搭建全攻略从零构建企业级离线软件源在企业IT基础设施管理中离线环境的软件包部署一直是个令人头疼的问题。想象一下这样的场景你负责维护的生产服务器位于严格隔离的内网环境中无法连接外部软件源但系统需要安装安全更新或部署新服务。传统的手动下载依赖包方式不仅效率低下还容易出错。本文将带你深入掌握OpenEuler 24.03系统中构建本地DNF仓库的完整方案解决这一痛点。1. 环境准备与基础工具安装搭建本地DNF仓库前我们需要做好充分的准备工作。首先确保你有一台运行OpenEuler 24.03的服务器作为仓库主机建议配置至少50GB的可用磁盘空间具体需求取决于你要镜像的软件仓库大小。关键工具安装# 安装createrepo_c工具集推荐使用createrepo_c而非旧版createrepo sudo dnf install -y createrepo_c dnf-utils rpm-sign # 验证工具版本 createrepo_c --version对于离线环境你需要预先下载这些工具的RPM包及其依赖。可以在联网机器上使用以下命令打包dnf download --resolve createrepo_c dnf-utils rpm-sign目录结构规划合理的目录结构能大幅提升后续维护效率。我推荐采用以下组织方式/opt/local-repo/ ├── base/ # 基础系统软件包 ├── updates/ # 系统更新包 ├── extras/ # 额外软件包 ├── epel/ # EPEL仓库包可选 └── metadata/ # 仓库元数据备份创建目录结构的命令sudo mkdir -p /opt/local-repo/{base,updates,extras,epel,metadata} sudo chmod -R 755 /opt/local-repo提示在生产环境中建议将仓库目录挂载到独立分区或使用LVM避免系统根分区空间耗尽。2. 构建本地软件仓库2.1 获取基础软件包对于完全离线的环境你有两种方式获取初始软件包方法一从官方ISO提取# 挂载OpenEuler安装镜像 sudo mount -o loop openEuler-24.03-x86_64-dvd.iso /mnt/iso # 复制所有RPM包到仓库目录 find /mnt/iso/Packages/ -name *.rpm -exec cp {} /opt/local-repo/base/ \;方法二从联网机器同步如果你有临时联网的跳板机可以使用reposync工具完整同步官方源# 首先配置好官方源 sudo tee /etc/yum.repos.d/openEuler.repo EOF [openEuler-24.03-base] nameopenEuler 24.03 Base baseurlhttps://repo.openeuler.org/openEuler-24.03/OS/$basearch/ enabled1 gpgcheck1 gpgkeyhttps://repo.openeuler.org/openEuler-24.03/OS/$basearch/RPM-GPG-KEY-openEuler EOF # 全量同步基础仓库 sudo reposync --download-metadata -p /opt/local-repo/base -r openEuler-24.03-base2.2 生成仓库元数据有了基础软件包后需要生成仓库元数据# 为base仓库生成元数据 sudo createrepo_c --database --update /opt/local-repo/base # 验证元数据 ls -l /opt/local-repo/base/repodata/createrepo_c常用参数说明参数作用--database生成SQLite数据库便于快速查询--update增量更新模式适用于已有仓库添加新包--workersN多线程加速处理N为线程数--checksumsha256指定包校验算法2.3 添加更新仓库系统安全更新应该与基础包分离管理# 创建更新仓库目录 sudo mkdir -p /opt/local-repo/updates # 同步更新包联网环境 sudo reposync --download-metadata -p /opt/local-repo/updates -r openEuler-24.03-update # 生成更新仓库元数据 sudo createrepo_c --database /opt/local-repo/updates3. 配置本地DNF源3.1 基础仓库配置创建本地源配置文件sudo tee /etc/yum.repos.d/local.repo EOF [local-base] nameLocal OpenEuler 24.03 Base baseurlfile:///opt/local-repo/base enabled1 gpgcheck0 [local-updates] nameLocal OpenEuler 24.03 Updates baseurlfile:///opt/local-repo/updates enabled1 gpgcheck0 EOF关键参数解析gpgcheck0本地源可暂时禁用GPG验证生产环境建议配置签名enabled1显式启用该仓库baseurl支持file://、http://、ftp://等多种协议3.2 禁用远程仓库在离线环境中应该禁用所有远程源# 批量禁用所有远程源 sudo sed -i s/^enabled1/enabled0/ /etc/yum.repos.d/*.repo # 单独启用我们的本地源 sudo dnf config-manager --set-enabled local-base local-updates3.3 仓库验证完成配置后执行以下命令验证# 清理旧缓存 sudo dnf clean all # 生成新缓存 sudo dnf makecache # 列出可用仓库 sudo dnf repolist # 测试搜索软件包 sudo dnf search nginx4. 高级管理与维护技巧4.1 增量更新策略保持本地仓库更新的推荐方案# 更新脚本示例/usr/local/bin/update-local-repo.sh #!/bin/bash # 同步更新包 reposync --download-metadata --newest-only -p /opt/local-repo/updates -r openEuler-24.03-update # 更新元数据 createrepo_c --update /opt/local-repo/updates # 记录更新时间 date /opt/local-repo/metadata/last-updated.txt # 可选邮件通知管理员 echo Local repo updated at $(date) | mail -s Repo Update Notification adminexample.com设置定时任务每周自动更新sudo tee /etc/cron.weekly/update-local-repo EOF #!/bin/sh /usr/local/bin/update-local-repo.sh EOF sudo chmod x /etc/cron.weekly/update-local-repo4.2 版本锁定机制防止关键软件意外升级# 锁定httpd到当前版本 sudo dnf versionlock add httpd # 查看已锁定包 sudo dnf versionlock list # 解锁特定包 sudo dnf versionlock delete httpd4.3 离线安装方案对于需要部署到多台离线机器的情况# 下载软件包及其所有依赖 sudo dnf download --resolve --destdir/tmp/packages nginx # 打包成离线安装包 tar czvf nginx-offline-install.tar.gz -C /tmp/packages . # 在目标机器上安装 tar xzvf nginx-offline-install.tar.gz -C /root/packages sudo dnf install --disablerepo* --enablerepolocal-base /root/packages/*.rpm4.4 仓库签名验证可选提升安全性配置GPG签名验证# 生成GPG密钥对 sudo gpg --batch --generate-key EOF Key-Type: RSA Key-Length: 2048 Subkey-Type: RSA Subkey-Length: 2048 Name-Real: Local Repo Signing Key Name-Comment: For OpenEuler Local Repository Name-Email: repo-adminexample.com Expire-Date: 0 %no-protection EOF # 导出公钥 sudo gpg --armor --export /opt/local-repo/RPM-GPG-KEY-LOCAL # 配置仓库使用GPG验证 sudo sed -i s/gpgcheck0/gpgcheck1/ /etc/yum.repos.d/local.repo echo gpgkeyfile:///opt/local-repo/RPM-GPG-KEY-LOCAL | sudo tee -a /etc/yum.repos.d/local.repo # 在所有客户端机器导入公钥 sudo rpm --import /opt/local-repo/RPM-GPG-KEY-LOCAL5. 企业级扩展方案5.1 通过HTTP共享仓库使局域网内其他机器也能访问# 安装Nginx sudo dnf install -y nginx # 配置仓库目录为Web根目录 sudo tee /etc/nginx/conf.d/repo.conf EOF server { listen 80; server_name repo.example.com; root /opt/local-repo; autoindex on; location / { try_files $uri $uri/ 404; } } EOF # 启动并启用Nginx sudo systemctl enable --now nginx客户端机器配置sudo tee /etc/yum.repos.d/remote-local.repo EOF [remote-local-base] nameRemote Local OpenEuler 24.03 Base baseurlhttp://repo.example.com/base enabled1 gpgcheck1 gpgkeyhttp://repo.example.com/RPM-GPG-KEY-LOCAL EOF5.2 仓库健康检查定期检查脚本示例#!/bin/bash # 检查仓库元数据完整性 for repo in base updates; do if ! ls /opt/local-repo/$repo/repodata/repomd.xml /dev/null; then echo [ERROR] Repodata missing in $repo exit 1 fi done # 检查磁盘空间 DISK_USAGE$(df -h /opt | awk NR2 {print $5} | tr -d %) if (( DISK_USAGE 90 )); then echo [WARNING] Disk usage exceeds 90% fi # 验证关键包版本 HTTPD_VERSION$(rpm -q --queryformat %{VERSION} httpd 2/dev/null) if [[ -z $HTTPD_VERSION ]]; then echo [INFO] httpd not installed elif [[ $HTTPD_VERSION ! 2.4.57 ]]; then echo [NOTICE] httpd version $HTTPD_VERSION, consider updating fi5.3 仓库镜像策略对于大型企业建议采用分层镜像架构中央镜像服务器同步官方源 ↓ 区域镜像节点同步中央镜像 ↓ 本地机房镜像同步区域节点使用rsync实现高效同步#!/bin/bash # 中央镜像服务器同步脚本 RSYNC_OPTS-avz --delete --hard-links --progress UPSTREAMrsync://mirror.openeuler.org/openEuler-24.03/OS/x86_64/ rsync $RSYNC_OPTS $UPSTREAM /opt/mirror/openeuler-24.03/6. 故障排查与常见问题6.1 依赖解析失败典型错误Error: Problem: package httpd-2.4.57-1.oe2403.x86_64 requires libapr-1.so.0()(64bit)解决方案# 查找提供该库的包 sudo dnf provides */libapr-1.so.0 # 手动安装缺失依赖 sudo dnf install apr -y6.2 元数据损坏症状dnf命令报错repomd.xml is invalid修复方法# 重新生成元数据 sudo createrepo_c --update /opt/local-repo/base # 清理客户端缓存 sudo dnf clean all6.3 空间不足处理当仓库分区空间不足时# 查找最大的RPM包 find /opt/local-repo -name *.rpm -exec du -h {} | sort -rh | head -n 20 # 清理旧内核包 sudo package-cleanup --oldkernels --count26.4 性能优化建议对于大型仓库启用keepcache1保留下载的包缓存使用fastestmirror插件联网环境增加metadata_expire时间减少更新频率考虑使用dnf-plugin-diff仅下载差异更新# 在/etc/dnf/dnf.conf中添加 [main] keepcache1 metadata_expire7d7. 安全加固建议仓库访问控制# 使用防火墙限制访问 sudo firewall-cmd --permanent --add-rich-rulerule familyipv4 source address192.168.1.0/24 service namehttp accept sudo firewall-cmd --reload定期审计# 检查未签名包 rpm -qa --qf %{NAME}-%{VERSION}-%{RELEASE} %{SIGPGP:pgpsig}\n | grep -v Key ID备份策略# 每日增量备份元数据 rsync -a --delete /opt/local-repo/repodata/ /backup/local-repo-metadata/访问日志分析# Nginx日志格式添加包下载记录 log_format repo_fmt $remote_addr - $remote_user [$time_local] $request $status $body_bytes_sent $http_referer $http_user_agent $request_time;在实际企业环境中我们曾遇到过一个典型案例某金融公司因监管要求必须使用完全离线的环境通过搭建完善的本地DNF仓库体系不仅实现了安全合规还将软件部署效率提升了70%。关键在于建立了标准化的包更新流程和严格的版本控制机制。