隔离网怎么打补丁
生产网常与互联网隔离，机器不能直连厂商源。标准做法是在可上网一侧同步完整仓库到内网镜像站，补丁经「外部同步、摆渡审核、内网发布」流程进入：既解决带宽与速度问题，也让每个进入内网的软件包都经过一次人工或自动审核。
基本信息
| 适用平台 | 企业内网与隔离网（yum/dnf 与 apt 系） |
|---|---|
| 同步工具 | reposync、apt-mirror、createrepo 等 |
| 发布方式 | 内网 HTTP 镜像站，客户端 repo 指向内网地址 |
| 关键校验 | 以 repomd.xml 与 GPG 签名确认内容一致 |
典型使用场景
- 生产网隔离：所有主机只信任内网镜像，禁止直连外网源
- 带宽优化：数百台机器同源下载会占满出口，内网镜像只走一次外网流量
- 变更管控：补丁先在内网测试组验证，再逐步放开到生产组
- 审计要求：提供补丁来源可控、版本可追溯的证据
镜像服务最小核查
镜像服务最小核查
# 确认镜像目录有元数据
ls -l /var/www/html/centos/8/BaseOS/x86_64/os/repodata/repomd.xml 2>/dev/null
# 确认客户端 repo 指向内网
# /etc/yum.repos.d/local.repo：baseurl=http://10.0.0.10/centos/8/BaseOS/x86_64/os/
grep -r 'baseurl' /etc/yum.repos.d/*.repo | grep -v mirrorlist | head -5
# HTTP 可达性检查
curl -sI http://10.0.0.10/centos/8/BaseOS/x86_64/os/repodata/repomd.xml | head -3客户端切换与刷新
客户端切换与刷新
# 切换 repo 后清缓存重建索引
dnf clean all && dnf makecache
# 确认补丁来自内网源而非公网
dnf repolist -v | grep -i baseurl
dnf list available --refresh | tail -3同步与校验读法
| 步骤 | 目的 | 产出与校验 |
|---|---|---|
| 外网同步 | 把官方仓库下载到摆渡区 | reposync 后的目录树与官方一致 |
| 内容审核 | 确认无意外的包与版本跳变 | 比对包清单与签名，记录变更明细 |
| 内网发布 | 放入对内服务的镜像目录 | repomd.xml 可见且可达 |
| 客户端刷新 | 让主机识别新内容 | dnf clean all 后 makecache 正常 |
镜像内容与官方源的一致性用元数据与签名校验：摆渡环节引入的损坏或篡改必须能被发现，这一步是流程能成立的前提。
断网环境的漏洞情报同样需要摆渡：每月把 CVE 摘要与厂商公告带入内网，否则内网机器无法判断「当前版本是否需要紧急升级」，只能一直等外部扫描提醒。