企业部署手册配置跳板机下载镜像源与离线安装操作流程

1.

准备与前提条件

小分段：
- 准备一台跳板机（建议CentOS 7/8或Ubuntu 18.04/20.04），配置静态IP并能访问外网。
- 确保有一个可用的存储设备（至少100GB，根据镜像大小调整），并有管理员权限(root或sudo)。
- 准备将用于发布镜像的HTTP服务（Apache/nginx）或docker registry服务；准备U盘或离线传输媒介以供目标内网使用。

2.

在跳板机上搭建HTTP静态镜像源（以CentOS为例）

小分段：
- 安装HTTP服务：yum install -y httpd 或 apt install -y nginx。
- 创建目录：mkdir -p /var/www/html/mirror/centos && chown -R apache:apache /var/www/html/mirror（CentOS）或 www-data（Ubuntu）。
- 开放端口并启动服务：systemctl enable --now httpd 或 systemctl enable --now nginx。测试 http://跳板机IP/ 是否可访问。

3.

下载操作系统镜像与仓库元数据（在线环境）

小分段：
- 使用rsync或reposync同步官方仓库（CentOS示例）：yum install -y yum-utils && reposync -r base -p /var/www/html/mirror/centos/。
- 或直接下载ISO并挂载：mkdir /mnt/iso && mount -o loop CentOS-7-x86_64-DVD.iso /mnt/iso && cp -a /mnt/iso/* /var/www/html/mirror/centos/.
- 生成元数据（若手动复制）：yum install -y createrepo && createrepo /var/www/html/mirror/centos/。确保生成repodata目录。

4.

配置YUM本地仓库并验证（目标离线环境测试）

小分段：
- 在目标服务器上，先把镜像通过scp/rsync或U盘拷贝到内网HTTP服务器可访问的位置。
- 创建repo文件：/etc/yum.repos.d/internal.repo 内容示例：
[internal]
name=Internal Repo
baseurl=http://内网镜像服务器/mirror/centos/
enabled=1 gpgcheck=0
- 清理并测试：yum clean all && yum --disablerepo="*" --enablerepo=internal repolist && yum install -y vim。

5.

为Ubuntu搭建离线APT源（如果使用Debian/Ubuntu）

小分段：
- 在跳板机上安装apt-mirror或apt-ftparchive：apt install -y apt-mirror。
- 编辑 /etc/apt/mirror.list 指定需要同步的仓库，运行 apt-mirror。
- 将同步结果放到 /var/www/html/mirror/ubuntu，确保目录结构为 dists/ pool/。
- 在目标机器上添加 sources.list 指向 http://内网/mirror/ubuntu 并 apt update 测试。

6.

容器镜像离线下载与本地私有Registry搭建

小分段：
- 在线下载需要的镜像到跳板机：docker pull registry:2 && docker pull nginx:latest 等。
- 将镜像保存为tar：docker save nginx:latest -o /root/nginx_latest.tar。
- 搭建私有registry：docker run -d -p 5000:5000 --restart=always --name registry -v /var/lib/registry:/var/lib/registry registry:2。
- 加载并推送镜像到私有registry：docker load -i nginx_latest.tar && docker tag nginx:latest 跳板机IP:5000/nginx:latest && docker push 跳板机IP:5000/nginx:latest。

7.

离线将镜像与包搬入内网（传输与校验）

小分段：
- 使用rsync或scp：rsync -avz /var/www/html/mirror/ user@内网服务器:/var/www/html/mirror/。若无网络，用U盘拷贝并挂载复制。
- 校验文件完整性：在来源端执行 find /var/www/html/mirror -type f -exec sha256sum {} \; > checksums.sha256 并随同复制到目的端；在目的端验证 sha256sum -c checksums.sha256。
- 确保文件权限与SELinux上下文（如果有）正确：restorecon -R /var/www/html/mirror && chown -R apache:apache /var/www/html/mirror。

8.

配置客户端使用本地镜像源的额外注意事项

小分段：
- 关闭不必要的外部仓库，防止yum/apt自动访问外网。对yum可在repo文件中设置 enabled=0，apt可以注释掉官方源。
- 若使用GPG签名，导入签名密钥：rpm --import /path/to/RPM-GPG-KEY 或 apt-key add /path/to/key。
- 定期同步更新：在跳板机上配置crontab定期reposync/apt-mirror并重新createrepo，保持镜像最新。

9.

故障排查与常见问题处理

小分段：
- HTTP无法访问：检查防火墙（firewalld/ufw）、监听端口、SELinux日志。命令：ss -ltnp | grep :80。
- 包依赖安装失败：使用 repoquery/yum deplist 检查缺失包，确认是否同步了所有arch和extras源。
- Docker镜像pull失败：检查registry是否开放端口5000，/etc/docker/daemon.json是否允许不安全仓库或配置证书。

10.

问：如何保证离线镜像仓库的安全性？

小分段：
- 答：使用防火墙限制访问来源IP，只允许内网管理机访问管理端口；为HTTP和Registry配置TLS证书并启用基本认证或基于客户端证书的认证；保持系统补丁及时更新，并将镜像签名和GPG校验作为部署前的强制步骤。

11.

问：如果镜像很大，如何高效同步到多个内网站点？

小分段：
- 答：采用分级镜像架构：跳板机作为上游同步中心，内网多个站点可通过rsync增量同步以降低带宽；也可使用点对点分发或离线使用硬盘镜像一次分发到各站点，然后开启本地差量更新（rsync/http）。此外使用压缩传输和断点续传工具（rsync, aria2）能提高效率。

12.

问：怎样在企业环境中长期维护和自动化镜像更新？

小分段：
- 答：在跳板机上编写自动化脚本（bash或Ansible playbook）实现 reposync/apt-mirror -> createrepo -> rsync 到内网节点 -> 验证sha256 的全流程，并通过crontab或CI（Jenkins/GitLab CI）触发；对关键镜像设立变更审批与变更日志，保留多个版本以便回滚。

来源：企业部署手册配置跳板机下载镜像源与离线安装操作流程