离线补丁导入是什么
隔离网与专网环境不能直连互联网，补丁依赖介质摆渡：外网侧同步软件仓库、生成校验和并打包，内网侧导入后建本地源分发。这条链路本身是一条数据通道，既是补丁进内网的路，也可能成为带出数据的路，因此流程要固定化：出入库台账、审批、防病毒扫描、校验和比对一个都不能省。离线环境通常不追求与互联网实时同步，而是按维护窗口批量导入。
基本信息
| 适用环境 | 物理隔离网、涉密网、工控生产网 |
|---|---|
| 外网侧动作 | 同步仓库、生成校验和、打包介质 |
| 内网侧动作 | 校验完整性、建本地源、分发安装 |
| 流程控制 | 出入库台账 + 审批 + 病毒扫描 + 校验和比对 |
| 节奏 | 按维护窗口批量导入，不追求实时同步 |
典型使用场景
- 安全公告发布后，外网侧同步对应仓库并在下一个维护窗口导入内网
- 内网搭建本地 yum/apt 源，避免逐个介质安装造成的版本混乱
- 给离线终端补装系统更新时，先在公司内网验证介质内容可用
- 介质返回时执行双向检查：既有防外带审计，也防止介质把内网文件带出
- 按批次记录介质编号与安装结果，审计时可追溯到每一台机器
仓库同步与建源示例
仓库同步与建源示例
# 外网侧：同步 rpm 仓库（需 dnf-plugins-core）
reposync --repoid=baseos --download-path=/srv/mirror
createrepo_c /srv/mirror/baseos
# 介质校验：生成并核对校验和
sha256sum mirror.tar.zst > mirror.tar.zst.sha256
sha256sum -c mirror.tar.zst.sha256
# 内网侧：挂载为本地源，/etc/yum.repos.d/local.repo 中配置
# baseurl=file:///srv/mirror/baseos gpgcheck=1流程控制点
| 环节 | 动作 | 留痕 |
|---|---|---|
| 介质入库 | 登记编号、来源与内容清单 | 出入库台账与审批单 |
| 内容检查 | 防病毒扫描 + 校验和比对 | 扫描结果与校验记录 |
| 导入建源 | 解包、建本地源、GPG 校验 | 仓库元数据与时间戳 |
| 安装执行 | 按批次安装并记录结果 | 每台机器的版本与时间 |
Ubuntu 侧可用 apt-offline 生成签名请求文件，或自建镜像并用签名校验；核心是保持与 rpm 侧一致的可追溯流程，而不是依赖某个特定工具。
介质是双向边界：既要防止外部威胁随介质进入内网，也要防止内网数据随介质返回外网，两种方向都要有检查动作。