Rocky Linux 9 最佳实践

以下是基于最佳实践的 Rocky Linux 9 安装部署指南，综合官方文档和实际生产环境经验整理而成：

一、准备工作

系统要求

CPU：64位双核及以上（提议支持虚拟化技术）内存：最小 1GB（生产环境提议 ≥4GB）存储：≥20GB 可用空间（推荐 SSD）网络：稳定的网络连接（如需静态 IP，提前规划地址）

镜像下载

官方源：Rocky Linux 下载页（选择 DVD ISO 或 Minimal ISO）国内镜像（加速下载）：阿里云：https://mirrors.aliyun.com/rockylinux/清华大学：https://mirrors.tuna.tsinghua.edu.cn/rocky/

安装介质制作

Windows：使用 Rufus 或 Ventoy 写入 U 盘（选择 DD 模式）Linux：执行 sudo dd if=Rocky-9.x.iso of=/dev/sdX bs=4M status=progress && sync

二、安装过程关键步骤

1. 启动引导

从 U 盘/光盘启动，选择 Install Rocky Linux 9.x
虚拟机用户：确保启用 CPU 虚拟化（VT-x/AMD-V）

2. 语言与时区

语言选择 English（生产环境避免中文，减少编码问题）
时区设置为 Asia/Shanghai（图形界面点选上海）

3. 分区方案（企业级推荐）

手动分区（Custom），采用标准分区（Standard Partition）：

挂载点	大小	文件系统	用途说明
/boot	1–2GB	xfs	内核引导文件
/	30–50GB	xfs	系统根目录（预留 20% 空间）
/var	单独分配	xfs	日志/数据库文件（隔离 I/O）
swap	内存 ≤8GB 时：2倍内存内存 >8GB 时：≥4GB	swap	交换空间（大内存可省略）
/home	按需分配	xfs	用户数据（可选）

关键操作：删除自动生成的 LVM 分区，选择标准分区提升性能

4. 软件选择

Minimal Install：服务器首选，减少攻击面
Server with GUI：需图形界面时选择（增加 GNOME 包）

5. 网络与主机名

启用网卡：进入 Network & Host Name 打开连接
静态 IP 配置（生产环境必设）：

[ipv4]

method=manual

addresses=192.168.1.10/24

gateway=192.168.1.1

dns=223.5.5.5;114.114.114.114

主机名：格式 hostname.domain（如 web01.example.com）

6. 用户与安全设置

Root 密码：长度 ≥12 位，包含大小写+数字+符号（弱密码需点两次 Done）
创建普通用户：用户名如 admin，勾选 Make this user administrator（加入 wheel 组）撤销勾选 Allow root SSH login（禁止 root 远程登录）
禁用 Kdump：测试/小内存环境释放资源（撤销勾选）

三、安装后关键配置

1. 系统更新与基础工具

# 替换国内源（解决官方源延迟）

# 更新系统并安装工具

sudo dnf update -y sudo dnf install -y epel-release vim wget net-tools bash-completion

2. 防火墙与 SELinux

防火墙策略：

sudo systemctl enable –now

firewalld sudo firewall-cmd –permanent –add-service={http,https,ssh}

# 开放常用端口

sudo firewall-cmd –reload

SELinux 策略：生产环境启用 Enforcing 模式：
sudo setenforce 1 && sudo sed -i ‘s/SELINUX=permissive/SELINUX=enforcing/g’ /etc/selinux/config
测试环境可临时禁用：sudo setenforce 0（重启失效）

3. SSH 安全加固

# 编辑

vim /etc/ssh/sshd_config

PermitRootLogin no # 禁止 root 登录

PasswordAuthentication no # 禁用密码登录（仅用密钥）

AllowUsers admin@192.168.1.0/24 # 限制用户和IP段

sudo systemctl restart sshd

4. 时间同步

sudo dnf install chrony -y sudo systemctl enable –now chronyd

sudo chronyc sources # 验证时间源

四、最佳实践与调优