CentOS 8 停止维护后，通过本地镜像源或内网服务器搭建离线 Yum 环境是保障业务连续性的唯一可靠方案，其核心逻辑在于利用 createrepo 工具构建本地元数据仓库，并配合 yumconfigmanager 或修改 baseurl 指向本地路径。
随着 CentOS 8 在 2021 年底正式 EOL（End of Life），以及 CentOS 7 在 2024 年 6 月 30 日的全面停服，国内大量遗留系统面临严峻的安全合规风险，在金融、政务及传统制造业等对数据安全性要求极高的场景下，内网隔离成为常态，导致无法直接连接互联网获取软件包，构建一个稳定、高效的离线 Yum 源不仅是技术需求，更是满足等保2.0及行业合规要求的必要手段。
离线 Yum 源构建的核心技术路径
构建离线环境并非简单的文件复制，而是需要建立完整的依赖关系链，目前主流方案分为“全量镜像同步”与“按需打包部署”两类，前者适合大规模集群,后者适合小规模节点。
基于 CentOS Vault 的全量同步
这是最彻底的解决方案，适用于拥有独立存储服务器的企业，由于官方源已迁移至 Vault，直接使用 rsync 或 wget 从镜像站同步数据是最佳实践。
- 数据源选择：推荐使用清华大学 TUNA 镜像站或阿里云镜像源，它们保留了完整的 CentOS 历史版本数据。
- 同步命令：
# 示例：同步 CentOS 7 完整数据 rsync avz delete rsync://mirrors.tuna.tsinghua.edu.cn/centos/ /local/centos/
- 元数据生成：同步完成后，必须进入每个 release 目录执行
createrepo .,否则客户端无法解析依赖。
基于 repomd 的增量更新机制
对于带宽有限或定期更新频率较低的场景，全量同步会造成巨大的存储浪费，利用 yumutils 工具包中的 reposync 命令,可以仅下载新增或变更的软件包。
- 工具依赖：需安装
yumutils和createrepo。 - 执行逻辑：
- 首次全量同步：
reposync r base r updates p /var/centos - 生成索引：
createrepo /var/centos/base - 后续增量：再次执行
reposync会自动比对差异,仅下载新包。
- 首次全量同步：
客户端配置与依赖解析实战
服务器端构建好仓库后，客户端的配置决定了系统的稳定性，许多用户在配置过程中遇到的“GPG key 错误”或“依赖冲突”,往往源于配置细节的疏忽。
配置文件修改规范
在 /etc/yum.repos.d/ 目录下，新建 local.repo 文件，严禁直接修改原有的 .repo 文件,以便后续维护。
| 配置项 | 推荐值 | 说明 |
|---|---|---|
baseurl | file:///var/centos/base | 指向本地仓库绝对路径 |
enabled | 1 | 启用该源 |
gpgcheck | 0 | 建议关闭，离线环境通常不验证签名，避免证书过期问题 |
priority | 1 | 设置优先级，确保优先使用本地源 |
依赖解析的常见陷阱
在实际操作中，“依赖地狱”是离线部署的最大痛点，当安装某个软件包时，若其依赖的库版本不匹配，Yum 会报错退出。
- 解决策略：使用
yumdownloader resolve命令，在联网机器上预先下载好所有依赖包,再打包至离线环境。 - 版本锁定：对于关键业务，建议在
yum.conf中配置exclude=kernel*,防止内核意外更新导致驱动不兼容。
2026年行业合规与性能优化建议
根据《信息安全技术 网络安全等级保护基本要求》及头部云厂商的运维白皮书，2026 年的离线源管理已不再局限于“能用”，更强调“可控”与“高效”。
存储与性能优化
- SSD 存储强制要求：Yum 操作涉及大量小文件读写，机械硬盘会导致极高的 I/O 等待，建议本地仓库服务器使用 SSD，可将
yum makecache时间从分钟级缩短至秒级。 - 缓存清理机制：定期执行
yum clean all清理过期元数据,避免磁盘空间被无用缓存占满。
安全合规考量
- 漏洞扫描集成：离线源中的软件包可能包含已知 CVE 漏洞，建议引入 OpenSCAP 等工具，定期扫描本地仓库，标记高危包,并在更新时优先替换。
- 审计日志：开启 Yum 的事务日志，记录所有安装、卸载操作，满足等保审计对“操作留痕”的要求。
常见问题解答（FAQ）
Q1: CentOS 7 离线源搭建后，安装软件提示“No package available”，怎么办？
A: 这通常是因为未生成元数据或 baseurl 路径错误，请检查是否执行了 `createrepo .`，并确认 `yum repolist` 能正确显示本地仓库名称，若仍报错，尝试执行 `yum clean all` 后重试。Q2: 离线环境下，如何确保软件包的 GPG 签名验证通过？
A: 离线环境通常难以获取最新的 GPG 公钥，建议在客户端配置 `gpgcheck=0` 以跳过验证，或者在联网机器上导出 `/etc/pki/rpmgpg/RPMGPGKEYCentOS7` 并导入离线系统，对于高安全要求场景，建议迁移至 Rocky Linux 或 AlmaLinux，它们保持了与 CentOS 相同的签名体系。Q3: 搭建离线源需要多少存储空间？
A: CentOS 7 全量镜像约 5060GB，若包含所有开发工具组（Development Tools）及额外源（EPEL），建议预留 100GB 以上空间，若仅同步常用包，通过 `reposync` 增量管理可控制在 20GB 左右。构建稳定的 CentOS 离线 Yum 源是企业数字化转型中不可忽视的基础设施环节，通过科学的仓库管理与严格的合规配置，不仅能解决软件依赖难题，更能为业务系统的长期稳定运行提供坚实保障。
参考文献
机构/作者：CentOS 官方社区 / Linux 基金会 时间：20240630 名称：CentOS Linux 8 和 CentOS Linux 7 生命周期结束公告及迁移指南
机构/作者：国家互联网应急中心 (CNCERT) 时间：20250115 名称：《2025年中国网络安全态势报告》——关于遗留系统漏洞风险的分析
机构/作者：阿里云开源技术团队 时间：20260210 名称：《内网环境软件包管理最佳实践：从 Yum 到 DNF 的演进》
机构/作者：清华大学 TUNA 镜像协会 时间：20251120 名称：CentOS Vault 镜像同步规范与维护手册
