2021年12月31日CentOS 8正式进入生命周期终点。也是从那之后全网搜“CentOS8 更改YUM源”的人数突然暴增原因很简单官方把仓库全部挪到了vault归档目录旧的mirrorlist解析机制随即失效于是大量服务器在执行 yum install 时统一报出 Error: Failed to download metadata for repo AppStream: Cannot prepare internal mirrorlist: No URLs in mirrorlist。我帮客户处理过不少卡在这个报错上的机器真要说起来步骤并不复杂但几乎每个人都在细节上栽过跟头。这篇文章直接把我的实操经验摊开来讲官方源为什么失效、改成阿里云镜像源怎么操作、内网断网环境怎么搭本地源以及换源过程中最常见的报错和排查思路。刚入门的可以照着敲命令老手也能从后面的排错清单里查漏补缺。1. 为什么CentOS 8必须手动更换YUM源1.1 官方源失效这是很多人的第一道坎CentOS 8的维护截止时间是2021年12月31日这个日期一到官方对普通用户的软件源服务就全面收摊了。具体表现是两件事第一默认的仓库配置文件里写的 mirrorlist 指向 mirrorlist.centos.org这个服务对8代目已经不再返回有效镜像列表第二所有RPM包归档到了 vault.centos.org 这个只读归档站里。这两个变化叠加起来就出现了上面那段经典报错。你可能会说mirrorlist解析不了那直接访问vault不就行了理论上是这样但系统不会自动帮你切换它只会严格照着你 /etc/yum.repos.d/ 里的配置去执行。所以“改源”的本质就是让YUM的仓库配置重新指向一个仍然有效、且访问速度你可以接受的地址。这里我想多提醒一句如果你手头还有CentOS 8的机器在跑生产不要指望“过一阵子官方会恢复”。官方仓库在EOL之后就不会再回滚了系统的包管理现在只能依赖vault归档、第三方镜像站或者你自己搭的本地源。早换早安心拖得越久依赖越乱后面排错越麻烦。1.2 YUM源工作机制与CentOS 8仓库结构的特殊性在动手之前先搞清楚YUM是怎么读取软件源的接下来的配置才不会像无头苍蝇。YUM本身是一个上层命令负责解析RPM依赖、下载软件包、调用RPM进行安装到了CentOS 8这一代底层实际已经换成了DNF只不过保留了 yum 这个命令名默认就是 dnf 的软链接日常使用体验几乎没有区别。YUM启动时会扫描 /etc/yum.repos.d/ 目录下所有以 .repo 结尾的配置文件每个文件里可以定义若干个仓库每个仓库用方括号 [仓库id] 区分。仓库里有两个关键字段一个是 mirrorlist指向一个动态返回镜像列表的URL另一个是 baseurl直接写死一个基础下载地址。EOL之前大家用mirrorlist没问题因为服务端会自动给你挑一个最近的镜像EOL之后这个接口失效了所以解决办法就是改成baseurl手写指向一个可用的镜像站。还有一个字段几乎每个仓库都有就是 gpgcheck。gpgcheck1 表示开启RPM包签名校验系统会用仓库指定的公钥验证每个软件包的完整性gpgcheck0 则跳过校验。改源的时候如果没导入对应的GPG密钥开着校验反而会装不上东西这一点后面单独展开讲。CentOS 8的仓库结构和CentOS 7有比较明显的差别。7代目主要是 base、updates、extras 这类仓库8代目改成了 BaseOS 和 AppStream 两个主力仓库外加一个 Extras。BaseOS 里是操作系统底层的核心包比如 kernel、glibc、systemdAppStream 则塞进了大量应用、运行时和开发工具而且支持“模块流”机制也就是同一个软件可以在多个版本之间切换比如PHP就有7.2、7.4、8.0等不同流。正因如此换源的时候不能只换一个仓库BaseOS和AppStream都必须配好否则会出现系统包正常、但安装应用软件时报错的奇怪情况。1.3 换源选型归档源还是StreamCentOS 8 EOL之后的换源方案市面上主流有两种一种是使用归档源也就是把源指向 vault.centos.org 或者第三方镜像站提供的 centos-vault 目录。归档源里保存的是8.5.2111这个最终版本的快照软件包版本全部固定不会再有任何更新。适合追求稳定、不想让系统软件发生变动的生产环境。另一种是切换到 CentOS Stream 8。Stream 是滚动发布的发行版位置在 CentOS 8 和未来的 RHEL 小版本之间软件包会持续更新。如果你希望系统还能继续获得一些新版本软件可以把源指向8-stream但这意味着它不再是一个“完全稳定”的发行版偶尔遇到API变化、升级后行为不同都要自己承担。我自己的建议是如果这台机器就是跑现有业务不想折腾优先用归档源如果你是在做开发环境或者需要持续获取较新的软件版本再考虑Stream。两种方案我在后面的配置章节里都会给出具体写法你可以根据实际情况选。2. 更换为阿里云镜像源的具体步骤2.1 动手前的备份与仓库文件梳理改源之前第一步不是急着写配置而是先备份。我见过有人直接 rm -rf /etc/yum.repos.d/ 下面所有文件结果发现自己的自定义源也跟着没了最后连恢复手段都没有只能后悔。正确做法是先给整个目录留个备份cp -r /etc/yum.repos.d /etc/yum.repos.d.bak备份做完再看一下默认仓库目录里到底有哪些文件。CentOS 8刚装完系统时一般会有 CentOS-Linux-BaseOS.repo、CentOS-Linux-AppStream.repo、CentOS-Linux-Extras.repo、CentOS-Linux-Media.repo 这几个。Media.repo是用于从安装介质读取软件包的平时是disabled状态可以留着不管。BaseOS和AppStream是主力Extras里软件不多但为了完整性也可以一并处理。我的习惯是新建一个子目录把默认的官方repo文件全部移进去不直接删除这样万一需要恢复还能从备份目录里找回来mkdir /etc/yum.repos.d/default_repo mv /etc/yum.repos.d/CentOS-Linux-*.repo /etc/yum.repos.d/default_repo/ mv /etc/yum.repos.d/CentOS-Linux-Media.repo /etc/yum.repos.d/default_repo/这样做的目的是让 /etc/yum.repos.d/ 目录保持干净避免多个repo文件指向同一个仓库导致冲突。尤其是当你之前已经手动加过第三方源的时候这一步更能避免“多个仓库重复定义”的隐患。2.2 用阿里云归档源替换BaseOS和AppStream阿里云镜像站提供了完整的 centos-vault 目录地址是 https://mirrors.aliyun.com/centos-vault/8.5.2111/ 结构跟官方vault保持一致。直接用baseurl写死这个地址就好。创建一个新的repo文件名字随意比如 CentOS8-Aliyun.repo然后把以下内容写进去[baseos] nameCentOS 8 - BaseOS - Aliyun baseurlhttps://mirrors.aliyun.com/centos-vault/8.5.2111/BaseOS/x86_64/os/ enabled1 gpgcheck0 [appstream] nameCentOS 8 - AppStream - Aliyun baseurlhttps://mirrors.aliyun.com/centos-vault/8.5.2111/AppStream/x86_64/os/ enabled1 gpgcheck0 [extras] nameCentOS 8 - Extras - Aliyun baseurlhttps://mirrors.aliyun.com/centos-vault/8.5.2111/extras/x86_64/os/ enabled1 gpgcheck0这里有几个细节值得说明。第一x86_64/os 这段路径是固定结构代表硬件架构和目录层级。如果是ARM服务器把x86_64换成aarch64如果是离线安装包目录则不对应os子目录。第二我在这里把 gpgcheck 设成了0是因为归档源对应的GPG公钥在默认路径下可能不存在先设0能让仓库快速可用。如果后续需要开启签名校验可以单独导入公钥再改回1后面排错章节会讲。如果你决定走Stream路线baseurl就要改成baseurlhttps://mirrors.aliyun.com/centos/8-stream/BaseOS/x86_64/os/ baseurlhttps://mirrors.aliyun.com/centos/8-stream/AppStream/x86_64/os/注意看区别8-stream是动态目录没有固定版本号里面的包会持续更新。归档源目录里有个固定的 8.5.2111 版本号两者不要搞混。2.3 彻底清理缓存并验证换源效果repo文件写完接下来就是标准的“三件套”清理缓存、生成缓存、查看仓库列表。yum clean all yum makecache yum repolistyum clean all 会把原来的元数据全部清掉这一步非常关键。因为之前的仓库信息肯定已经损坏或者失效了不清理的话YUM可能把旧缓存当成有效数据继续用导致换源之后还是报一样的错误。makecache 会从新配置的仓库地址重新下载元数据第一次可能稍慢但能确认每个仓库是否可以正常访问。执行完之后如果看到类似这样的输出说明仓库基本通了repo id repo name status baseos CentOS 8 - BaseOS - Aliyun 1,804 appstream CentOS 8 - AppStream - Aliyun 6,014 extras CentOS 8 - Extras - Aliyun 303到这里我建议再做一个真实的软件安装测试比如装一个最常见的 wget 或者 vimyum install -y wget如果安装过程顺利看到“Complete!”字样就说明整个YUM链路已经完全恢复正常。很多新手走到repolist就停了结果后面真的安装软件时又出问题多花不少时间排查。所以安装一次软件包是验证源是否真正可用最直接的方式。3. 离线环境下本地YUM源搭建方案3.1 本地源适用场景与整体思路不是所有服务器都能访问外网。政府内网、企业生产网、物理隔离环境里服务器根本无法连接公网镜像站这时候在线换源就是空谈唯一靠谱的方案是搭本地YUM源。本地源的原理很简单把CentOS 8安装ISO镜像里的RPM包目录暴露给YUM让YUM通过 file:// 协议直接读取本地文件。整个过程不依赖网络速度反而比在线源更快。但需要提前知道它的两个局限第一安装ISO里通常只包含 BaseOS 和 AppStream 两个目录Extras没有包含进去所以像 epel 这类第三方源更是无从谈起第二ISO里的软件包版本是固定的不存在“安全更新”的概念长期使用会有补丁滞后的风险。所以在使用本地源之前你要想清楚业务的接受度。如果你只是在隔离网里部署一套内部系统软件版本固定反而是一种优势因为可复现性极强但如果你需要持续修复安全漏洞那还是要定期从外网下载新的RPM包同步到内网配合createrepo生成元数据这属于“半离线源”我后面也会给出做法。3.2 挂载安装镜像并配置开机自动挂载搭建本地源的第一步是把ISO镜像放到服务器上。路径随意我习惯放在 /data 下面比如 /data/CentOS-8.5.2111-x86_64-dvd1.iso。如果镜像不在服务器本地用scp或者U盘拷贝都行。接下来创建挂载点并执行挂载mkdir /mnt/cdrom mount -o loop /data/CentOS-8.5.2111-x86_64-dvd1.iso /mnt/cdrom挂载成功后用 ls /mnt/cdrom 应该能看到 BaseOS、AppStream 这样的目录。这里用到的 -o loop 参数是为了让内核把ISO文件当作块设备来挂载这是挂载镜像文件的标准做法。但这里有个隐患机器重启之后挂载会丢失。所以要把挂载信息写进 /etc/fstab实现开机自动挂载。在 /etc/fstab 末尾追加一行/data/CentOS-8.5.2111-x86_64-dvd1.iso /mnt/cdrom iso9660 defaults,ro,loop 0 0写完建议执行 mount -a 测试一下如果没有任何输出说明配置没问题。这个细节别跳过我见过不止一次因为少了fstab配置服务器重启后YUM立刻又变成“无源可用”状态的情况。3.3 编写本地repo配置并完成验证挂载好镜像就可以创建本地源的repo文件了。在 /etc/yum.repos.d/ 下新建一个 Local.repo内容如下[local-baseos] nameCentOS 8 - BaseOS - Local baseurlfile:///mnt/cdrom/BaseOS enabled1 gpgcheck0 [local-appstream] nameCentOS 8 - AppStream - Local baseurlfile:///mnt/cdrom/AppStream enabled1 gpgcheck0注意file协议的写法baseurlfile:///mnt/cdrom/BaseOS这里协议是 file://后面紧跟绝对路径 /mnt/cdrom/BaseOS所以中间会出现三个斜杠。经常有人少写一个斜杠结果变成 file:/mnt/...YUM识别不了报错说URL无效属于典型的手误。配置完成后同样执行yum clean all yum makecache yum repolist然后测试安装一个包比如 vimyum install -y vim本地源安装速度极快因为读的是本地磁盘。如果你所在内网有多台机器需要同样的环境建议在某一台上搭好本地源再通过Nginx或者HTTP服务把 /mnt/cdrom 目录共享出去其他机器把baseurl指向 http://内网IP/cdrom/BaseOS 就行这样就不用每台机器都挂ISO了。4. 常见报错与排查技巧实录4.1 404与mirrorlist失效最常见的报错换源过程中最经典的报错就是我们开头提到的那一段Error: Failed to download metadata for repo AppStream: Cannot prepare internal mirrorlist: No URLs in mirrorlist这行报错翻译过来就是AppStream仓库的mirrorlist里没有拿到任何可用的URL。绝大多数情况是官方EOL导致的而不是你的网络坏了。解决路径很明确检查 /etc/yum.repos.d/ 下的repo文件把所有的 mirrorlist 字段删掉或者注释掉改成可用的 baseurl然后 yum clean all yum makecache。当然我建议顺带确认一下服务器本身能不能访问外网别把网络问题和源问题混在一起。最简单的测试是 ping mirrors.aliyun.com 或者 curl -I https://mirrors.aliyun.com/centos-vault/8.5.2111/BaseOS/x86_64/os/ 能通就是源配置的问题不能通就先解决网络。4.2 GPG密钥校验失败怎么处理换源后如果保持 gpgcheck1很容易出现这样的报错Public key for xxx.rpm is not installed The GPG keys listed for the CentOS 8 - BaseOS - Aliyun repository are already installed but they are not correct for this package.原因很简单新的仓库携带的RPM包是用CentOS官方GPG密钥签名的但你的系统里可能没有对应的公钥或者公钥不匹配。处理方法有两种。第一种在系统里找找有没有自带的CentOS 8密钥文件rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-8如果提示文件不存在可以从vault目录下载对应的公钥再导入。第二种更省事就是把repo文件里的 gpgcheck 改为 0。我个人的建议是离线内网环境用 gpgcheck0 完全没问题包都是自己可控的但如果是能访问外网、面对未知源的环境还是开启校验更安全优先把密钥装好而不是一刀切关闭校验。4.3 AppStream模块源与模块依赖问题CentOS 8的AppStream仓库和其他仓库有一个显著不同就是模块流机制。你可能会遇到这种报错Error: Unable to find a match: php或者安装 httpd、nginx 时系统提示找不到软件包。这是怎么回事很多情况下是因为你换到的归档源上这个模块流默认没有启用或者原本配置的模块流在源切换之后版本对应不上。解决方法是显式启用对应模块。比如安装PHP 7.4dnf module list php dnf module enable php:7.4 yum install -y php如果你之前启用了某个模块切换源后建议先重置模块状态再重新启用dnf module reset php这属于CentOS 8特有的排错点。CentOS 7时代从来没有模块这个概念所以很多老手踩到模块相关问题时反而容易发懵。4.4 多源并存导致的冲突与更新被跳过有些服务器的 /etc/yum.repos.d/ 里可能同时存在多个repo文件比如官方源、阿里源、EPEL源、第三方应用源混在一起。多个源同时启用的后果是同一个软件可能在不同源里都有不同版本YUM会按照优先级、版本号去比较经常出现“某某包被另一包淘汰了”或者“找不到匹配包”的诡异现象。这时候最直接的办法是精简repo文件。只保留你真正需要的仓库其他全部挪走或禁用。排查时可以借助这些命令yum repolist # 查看启用了哪些仓库 yum repoinfo repo-id # 查看某个仓库的详细信息 yum history # 查看最近安装/更新记录如果你并不想删除某个repo文件只是想临时禁用也可以在执行命令时指定仓库范围yum --disablerepo* --enablerepobaseos install -y vim这条命令的意思非常明确禁用所有仓库只启用 baseos 一个仓库来安装。多源冲突折磨人的地方在于报错看起来像是依赖问题实际上只是“源太多、版本打架”。所以我的习惯是一个系统里主力源只留一个EPEL单独一个其他特定场景源按需启用。5. 换源后顺手把EPEL也换掉5.1 EPEL为什么值得单独处理CentOS 8换完主源还有一个隐藏的坑EPEL源。EPEL是红帽系发行版的扩展软件包集合里面装的是官方仓库里没有的第三方工具比如 htop、jq、fail2ban、certbot 这些常用软件很多人一开始装的时候就是从这个源拿到的。EPEL同样使用 mirrorlist 机制在CentOS 8 EOL之后官方默认的EPEL源也会出现访问异常。所以换完BaseOS和AppStream记得顺手把EPEL也指到国内镜像站不然之后装某个工具很可能又撞上类似“找不到地址”的报错。阿里云EPEL源的访问地址是 https://mirrors.aliyun.com/epel/8/Everything/x86_64/ 配置思路和上面一样先看系统里是否已有 epel-release 或epel的repo文件。如果已经有了可以直接修改其中的 baseurl 和 metalink如果还没有就新建一个 epel.repo[epel] nameEPEL 8 - Aliyun baseurlhttps://mirrors.aliyun.com/epel/8/Everything/x86_64/ enabled1 gpgcheck1 gpgkeyhttps://mirrors.aliyun.com/epel/RPM-GPG-KEY-EPEL-8EPEL的GPG密钥在镜像站上可以直接访问所以这里我保留 gpgcheck1 并指定了gpgkey比主源更省心一些不需要手动导入密钥文件。5.2 换源时容易忽略的两个小习惯经过这么多台机器的实操我总结出两个容易被忽略的小习惯在这里一并分享。第一个是时间同步。很多内网服务器常年不校时系统时间慢了几分钟甚至几个小时。YUM在执行GPG校验和HTTPS请求时对时间偏差非常敏感时间差太多会导致证书校验失败或密钥验证出错。换源之前最好先执行 ntpdate 或者 chrony 同步一下时间。我在内网环境见过一句话就能解决的问题yum报“证书过期”结果一查系统时间还停留在半年前同步完时间就一切正常。第二个是换源后不要急着批量安装软件。建议先做一个最小化的验证比如 yum install -y wget成功了再去装你的业务依赖。如果一上来就 yum update -y一旦新源某个包有问题升级过程会直接卡住排查起来难度成倍上升。稳妥的顺序是备份源文件、写新repo、clean/makecache、装一个包验证、再执行后续的更新或安装。5.3 如果让我重新选型我会怎么做讲完技术操作最后说点个人体会。CentOS 8 EOL之后网上流传着各种“续命”方案比如把源替换成vault持续使用或者切换到Stream继续滚动更新。技术上这些都可以跑但我自己在评估新项目时已经不太倾向于用这套老系统了。原因很简单CentOS 8终归是EOL状态归档源的包版本已经冻结安全修复不会再有官方渠道。与其在一个已经没有官方维护的系统上修修补补不如考虑 Rocky Linux 或 AlmaLinux它们的目标就是无缝兼容RHEL迁移成本很低yum源配置思路也和CentOS 8几乎一致。不过在存量机器面前尤其是那些已经运行了好几年的业务系统“重装系统”往往不是最优解。这个时候把YUM源正确地改到阿里云vault归档源至少能让系统恢复可安装、可部署的能力让业务先稳定跑着后续再规划迁移窗口。这里面的核心要点就三步备份原有仓库文件写新的baseurl指向镜像站清理缓存验证安装。把握好这三步再配合前面提到的排错手段绝大多数CentOS 8换源问题都能稳稳解决。踩过几次坑之后我现在的习惯是每次改完源都会顺手写一条备忘录记录当前机器用的镜像站、仓库ID和gpgcheck状态。服务器一多光靠记忆根本靠不住文档记清楚了下次无论是出问题还是做迁移都能少走很多弯路。
2021年12月31日CentOS 8正式进入生命周期终点。也是从那之后全网搜“CentOS8 更改YUM源”的人数突然暴增原因很简单官方把仓库全部挪到了vault归档目录旧的mirrorlist解析机制随即失效于是大量服务器在执行 yum install 时统一报出 Error: Failed to download metadata for repo AppStream: Cannot prepare internal mirrorlist: No URLs in mirrorlist。我帮客户处理过不少卡在这个报错上的机器真要说起来步骤并不复杂但几乎每个人都在细节上栽过跟头。这篇文章直接把我的实操经验摊开来讲官方源为什么失效、改成阿里云镜像源怎么操作、内网断网环境怎么搭本地源以及换源过程中最常见的报错和排查思路。刚入门的可以照着敲命令老手也能从后面的排错清单里查漏补缺。1. 为什么CentOS 8必须手动更换YUM源1.1 官方源失效这是很多人的第一道坎CentOS 8的维护截止时间是2021年12月31日这个日期一到官方对普通用户的软件源服务就全面收摊了。具体表现是两件事第一默认的仓库配置文件里写的 mirrorlist 指向 mirrorlist.centos.org这个服务对8代目已经不再返回有效镜像列表第二所有RPM包归档到了 vault.centos.org 这个只读归档站里。这两个变化叠加起来就出现了上面那段经典报错。你可能会说mirrorlist解析不了那直接访问vault不就行了理论上是这样但系统不会自动帮你切换它只会严格照着你 /etc/yum.repos.d/ 里的配置去执行。所以“改源”的本质就是让YUM的仓库配置重新指向一个仍然有效、且访问速度你可以接受的地址。这里我想多提醒一句如果你手头还有CentOS 8的机器在跑生产不要指望“过一阵子官方会恢复”。官方仓库在EOL之后就不会再回滚了系统的包管理现在只能依赖vault归档、第三方镜像站或者你自己搭的本地源。早换早安心拖得越久依赖越乱后面排错越麻烦。1.2 YUM源工作机制与CentOS 8仓库结构的特殊性在动手之前先搞清楚YUM是怎么读取软件源的接下来的配置才不会像无头苍蝇。YUM本身是一个上层命令负责解析RPM依赖、下载软件包、调用RPM进行安装到了CentOS 8这一代底层实际已经换成了DNF只不过保留了 yum 这个命令名默认就是 dnf 的软链接日常使用体验几乎没有区别。YUM启动时会扫描 /etc/yum.repos.d/ 目录下所有以 .repo 结尾的配置文件每个文件里可以定义若干个仓库每个仓库用方括号 [仓库id] 区分。仓库里有两个关键字段一个是 mirrorlist指向一个动态返回镜像列表的URL另一个是 baseurl直接写死一个基础下载地址。EOL之前大家用mirrorlist没问题因为服务端会自动给你挑一个最近的镜像EOL之后这个接口失效了所以解决办法就是改成baseurl手写指向一个可用的镜像站。还有一个字段几乎每个仓库都有就是 gpgcheck。gpgcheck1 表示开启RPM包签名校验系统会用仓库指定的公钥验证每个软件包的完整性gpgcheck0 则跳过校验。改源的时候如果没导入对应的GPG密钥开着校验反而会装不上东西这一点后面单独展开讲。CentOS 8的仓库结构和CentOS 7有比较明显的差别。7代目主要是 base、updates、extras 这类仓库8代目改成了 BaseOS 和 AppStream 两个主力仓库外加一个 Extras。BaseOS 里是操作系统底层的核心包比如 kernel、glibc、systemdAppStream 则塞进了大量应用、运行时和开发工具而且支持“模块流”机制也就是同一个软件可以在多个版本之间切换比如PHP就有7.2、7.4、8.0等不同流。正因如此换源的时候不能只换一个仓库BaseOS和AppStream都必须配好否则会出现系统包正常、但安装应用软件时报错的奇怪情况。1.3 换源选型归档源还是StreamCentOS 8 EOL之后的换源方案市面上主流有两种一种是使用归档源也就是把源指向 vault.centos.org 或者第三方镜像站提供的 centos-vault 目录。归档源里保存的是8.5.2111这个最终版本的快照软件包版本全部固定不会再有任何更新。适合追求稳定、不想让系统软件发生变动的生产环境。另一种是切换到 CentOS Stream 8。Stream 是滚动发布的发行版位置在 CentOS 8 和未来的 RHEL 小版本之间软件包会持续更新。如果你希望系统还能继续获得一些新版本软件可以把源指向8-stream但这意味着它不再是一个“完全稳定”的发行版偶尔遇到API变化、升级后行为不同都要自己承担。我自己的建议是如果这台机器就是跑现有业务不想折腾优先用归档源如果你是在做开发环境或者需要持续获取较新的软件版本再考虑Stream。两种方案我在后面的配置章节里都会给出具体写法你可以根据实际情况选。2. 更换为阿里云镜像源的具体步骤2.1 动手前的备份与仓库文件梳理改源之前第一步不是急着写配置而是先备份。我见过有人直接 rm -rf /etc/yum.repos.d/ 下面所有文件结果发现自己的自定义源也跟着没了最后连恢复手段都没有只能后悔。正确做法是先给整个目录留个备份cp -r /etc/yum.repos.d /etc/yum.repos.d.bak备份做完再看一下默认仓库目录里到底有哪些文件。CentOS 8刚装完系统时一般会有 CentOS-Linux-BaseOS.repo、CentOS-Linux-AppStream.repo、CentOS-Linux-Extras.repo、CentOS-Linux-Media.repo 这几个。Media.repo是用于从安装介质读取软件包的平时是disabled状态可以留着不管。BaseOS和AppStream是主力Extras里软件不多但为了完整性也可以一并处理。我的习惯是新建一个子目录把默认的官方repo文件全部移进去不直接删除这样万一需要恢复还能从备份目录里找回来mkdir /etc/yum.repos.d/default_repo mv /etc/yum.repos.d/CentOS-Linux-*.repo /etc/yum.repos.d/default_repo/ mv /etc/yum.repos.d/CentOS-Linux-Media.repo /etc/yum.repos.d/default_repo/这样做的目的是让 /etc/yum.repos.d/ 目录保持干净避免多个repo文件指向同一个仓库导致冲突。尤其是当你之前已经手动加过第三方源的时候这一步更能避免“多个仓库重复定义”的隐患。2.2 用阿里云归档源替换BaseOS和AppStream阿里云镜像站提供了完整的 centos-vault 目录地址是 https://mirrors.aliyun.com/centos-vault/8.5.2111/ 结构跟官方vault保持一致。直接用baseurl写死这个地址就好。创建一个新的repo文件名字随意比如 CentOS8-Aliyun.repo然后把以下内容写进去[baseos] nameCentOS 8 - BaseOS - Aliyun baseurlhttps://mirrors.aliyun.com/centos-vault/8.5.2111/BaseOS/x86_64/os/ enabled1 gpgcheck0 [appstream] nameCentOS 8 - AppStream - Aliyun baseurlhttps://mirrors.aliyun.com/centos-vault/8.5.2111/AppStream/x86_64/os/ enabled1 gpgcheck0 [extras] nameCentOS 8 - Extras - Aliyun baseurlhttps://mirrors.aliyun.com/centos-vault/8.5.2111/extras/x86_64/os/ enabled1 gpgcheck0这里有几个细节值得说明。第一x86_64/os 这段路径是固定结构代表硬件架构和目录层级。如果是ARM服务器把x86_64换成aarch64如果是离线安装包目录则不对应os子目录。第二我在这里把 gpgcheck 设成了0是因为归档源对应的GPG公钥在默认路径下可能不存在先设0能让仓库快速可用。如果后续需要开启签名校验可以单独导入公钥再改回1后面排错章节会讲。如果你决定走Stream路线baseurl就要改成baseurlhttps://mirrors.aliyun.com/centos/8-stream/BaseOS/x86_64/os/ baseurlhttps://mirrors.aliyun.com/centos/8-stream/AppStream/x86_64/os/注意看区别8-stream是动态目录没有固定版本号里面的包会持续更新。归档源目录里有个固定的 8.5.2111 版本号两者不要搞混。2.3 彻底清理缓存并验证换源效果repo文件写完接下来就是标准的“三件套”清理缓存、生成缓存、查看仓库列表。yum clean all yum makecache yum repolistyum clean all 会把原来的元数据全部清掉这一步非常关键。因为之前的仓库信息肯定已经损坏或者失效了不清理的话YUM可能把旧缓存当成有效数据继续用导致换源之后还是报一样的错误。makecache 会从新配置的仓库地址重新下载元数据第一次可能稍慢但能确认每个仓库是否可以正常访问。执行完之后如果看到类似这样的输出说明仓库基本通了repo id repo name status baseos CentOS 8 - BaseOS - Aliyun 1,804 appstream CentOS 8 - AppStream - Aliyun 6,014 extras CentOS 8 - Extras - Aliyun 303到这里我建议再做一个真实的软件安装测试比如装一个最常见的 wget 或者 vimyum install -y wget如果安装过程顺利看到“Complete!”字样就说明整个YUM链路已经完全恢复正常。很多新手走到repolist就停了结果后面真的安装软件时又出问题多花不少时间排查。所以安装一次软件包是验证源是否真正可用最直接的方式。3. 离线环境下本地YUM源搭建方案3.1 本地源适用场景与整体思路不是所有服务器都能访问外网。政府内网、企业生产网、物理隔离环境里服务器根本无法连接公网镜像站这时候在线换源就是空谈唯一靠谱的方案是搭本地YUM源。本地源的原理很简单把CentOS 8安装ISO镜像里的RPM包目录暴露给YUM让YUM通过 file:// 协议直接读取本地文件。整个过程不依赖网络速度反而比在线源更快。但需要提前知道它的两个局限第一安装ISO里通常只包含 BaseOS 和 AppStream 两个目录Extras没有包含进去所以像 epel 这类第三方源更是无从谈起第二ISO里的软件包版本是固定的不存在“安全更新”的概念长期使用会有补丁滞后的风险。所以在使用本地源之前你要想清楚业务的接受度。如果你只是在隔离网里部署一套内部系统软件版本固定反而是一种优势因为可复现性极强但如果你需要持续修复安全漏洞那还是要定期从外网下载新的RPM包同步到内网配合createrepo生成元数据这属于“半离线源”我后面也会给出做法。3.2 挂载安装镜像并配置开机自动挂载搭建本地源的第一步是把ISO镜像放到服务器上。路径随意我习惯放在 /data 下面比如 /data/CentOS-8.5.2111-x86_64-dvd1.iso。如果镜像不在服务器本地用scp或者U盘拷贝都行。接下来创建挂载点并执行挂载mkdir /mnt/cdrom mount -o loop /data/CentOS-8.5.2111-x86_64-dvd1.iso /mnt/cdrom挂载成功后用 ls /mnt/cdrom 应该能看到 BaseOS、AppStream 这样的目录。这里用到的 -o loop 参数是为了让内核把ISO文件当作块设备来挂载这是挂载镜像文件的标准做法。但这里有个隐患机器重启之后挂载会丢失。所以要把挂载信息写进 /etc/fstab实现开机自动挂载。在 /etc/fstab 末尾追加一行/data/CentOS-8.5.2111-x86_64-dvd1.iso /mnt/cdrom iso9660 defaults,ro,loop 0 0写完建议执行 mount -a 测试一下如果没有任何输出说明配置没问题。这个细节别跳过我见过不止一次因为少了fstab配置服务器重启后YUM立刻又变成“无源可用”状态的情况。3.3 编写本地repo配置并完成验证挂载好镜像就可以创建本地源的repo文件了。在 /etc/yum.repos.d/ 下新建一个 Local.repo内容如下[local-baseos] nameCentOS 8 - BaseOS - Local baseurlfile:///mnt/cdrom/BaseOS enabled1 gpgcheck0 [local-appstream] nameCentOS 8 - AppStream - Local baseurlfile:///mnt/cdrom/AppStream enabled1 gpgcheck0注意file协议的写法baseurlfile:///mnt/cdrom/BaseOS这里协议是 file://后面紧跟绝对路径 /mnt/cdrom/BaseOS所以中间会出现三个斜杠。经常有人少写一个斜杠结果变成 file:/mnt/...YUM识别不了报错说URL无效属于典型的手误。配置完成后同样执行yum clean all yum makecache yum repolist然后测试安装一个包比如 vimyum install -y vim本地源安装速度极快因为读的是本地磁盘。如果你所在内网有多台机器需要同样的环境建议在某一台上搭好本地源再通过Nginx或者HTTP服务把 /mnt/cdrom 目录共享出去其他机器把baseurl指向 http://内网IP/cdrom/BaseOS 就行这样就不用每台机器都挂ISO了。4. 常见报错与排查技巧实录4.1 404与mirrorlist失效最常见的报错换源过程中最经典的报错就是我们开头提到的那一段Error: Failed to download metadata for repo AppStream: Cannot prepare internal mirrorlist: No URLs in mirrorlist这行报错翻译过来就是AppStream仓库的mirrorlist里没有拿到任何可用的URL。绝大多数情况是官方EOL导致的而不是你的网络坏了。解决路径很明确检查 /etc/yum.repos.d/ 下的repo文件把所有的 mirrorlist 字段删掉或者注释掉改成可用的 baseurl然后 yum clean all yum makecache。当然我建议顺带确认一下服务器本身能不能访问外网别把网络问题和源问题混在一起。最简单的测试是 ping mirrors.aliyun.com 或者 curl -I https://mirrors.aliyun.com/centos-vault/8.5.2111/BaseOS/x86_64/os/ 能通就是源配置的问题不能通就先解决网络。4.2 GPG密钥校验失败怎么处理换源后如果保持 gpgcheck1很容易出现这样的报错Public key for xxx.rpm is not installed The GPG keys listed for the CentOS 8 - BaseOS - Aliyun repository are already installed but they are not correct for this package.原因很简单新的仓库携带的RPM包是用CentOS官方GPG密钥签名的但你的系统里可能没有对应的公钥或者公钥不匹配。处理方法有两种。第一种在系统里找找有没有自带的CentOS 8密钥文件rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-8如果提示文件不存在可以从vault目录下载对应的公钥再导入。第二种更省事就是把repo文件里的 gpgcheck 改为 0。我个人的建议是离线内网环境用 gpgcheck0 完全没问题包都是自己可控的但如果是能访问外网、面对未知源的环境还是开启校验更安全优先把密钥装好而不是一刀切关闭校验。4.3 AppStream模块源与模块依赖问题CentOS 8的AppStream仓库和其他仓库有一个显著不同就是模块流机制。你可能会遇到这种报错Error: Unable to find a match: php或者安装 httpd、nginx 时系统提示找不到软件包。这是怎么回事很多情况下是因为你换到的归档源上这个模块流默认没有启用或者原本配置的模块流在源切换之后版本对应不上。解决方法是显式启用对应模块。比如安装PHP 7.4dnf module list php dnf module enable php:7.4 yum install -y php如果你之前启用了某个模块切换源后建议先重置模块状态再重新启用dnf module reset php这属于CentOS 8特有的排错点。CentOS 7时代从来没有模块这个概念所以很多老手踩到模块相关问题时反而容易发懵。4.4 多源并存导致的冲突与更新被跳过有些服务器的 /etc/yum.repos.d/ 里可能同时存在多个repo文件比如官方源、阿里源、EPEL源、第三方应用源混在一起。多个源同时启用的后果是同一个软件可能在不同源里都有不同版本YUM会按照优先级、版本号去比较经常出现“某某包被另一包淘汰了”或者“找不到匹配包”的诡异现象。这时候最直接的办法是精简repo文件。只保留你真正需要的仓库其他全部挪走或禁用。排查时可以借助这些命令yum repolist # 查看启用了哪些仓库 yum repoinfo repo-id # 查看某个仓库的详细信息 yum history # 查看最近安装/更新记录如果你并不想删除某个repo文件只是想临时禁用也可以在执行命令时指定仓库范围yum --disablerepo* --enablerepobaseos install -y vim这条命令的意思非常明确禁用所有仓库只启用 baseos 一个仓库来安装。多源冲突折磨人的地方在于报错看起来像是依赖问题实际上只是“源太多、版本打架”。所以我的习惯是一个系统里主力源只留一个EPEL单独一个其他特定场景源按需启用。5. 换源后顺手把EPEL也换掉5.1 EPEL为什么值得单独处理CentOS 8换完主源还有一个隐藏的坑EPEL源。EPEL是红帽系发行版的扩展软件包集合里面装的是官方仓库里没有的第三方工具比如 htop、jq、fail2ban、certbot 这些常用软件很多人一开始装的时候就是从这个源拿到的。EPEL同样使用 mirrorlist 机制在CentOS 8 EOL之后官方默认的EPEL源也会出现访问异常。所以换完BaseOS和AppStream记得顺手把EPEL也指到国内镜像站不然之后装某个工具很可能又撞上类似“找不到地址”的报错。阿里云EPEL源的访问地址是 https://mirrors.aliyun.com/epel/8/Everything/x86_64/ 配置思路和上面一样先看系统里是否已有 epel-release 或epel的repo文件。如果已经有了可以直接修改其中的 baseurl 和 metalink如果还没有就新建一个 epel.repo[epel] nameEPEL 8 - Aliyun baseurlhttps://mirrors.aliyun.com/epel/8/Everything/x86_64/ enabled1 gpgcheck1 gpgkeyhttps://mirrors.aliyun.com/epel/RPM-GPG-KEY-EPEL-8EPEL的GPG密钥在镜像站上可以直接访问所以这里我保留 gpgcheck1 并指定了gpgkey比主源更省心一些不需要手动导入密钥文件。5.2 换源时容易忽略的两个小习惯经过这么多台机器的实操我总结出两个容易被忽略的小习惯在这里一并分享。第一个是时间同步。很多内网服务器常年不校时系统时间慢了几分钟甚至几个小时。YUM在执行GPG校验和HTTPS请求时对时间偏差非常敏感时间差太多会导致证书校验失败或密钥验证出错。换源之前最好先执行 ntpdate 或者 chrony 同步一下时间。我在内网环境见过一句话就能解决的问题yum报“证书过期”结果一查系统时间还停留在半年前同步完时间就一切正常。第二个是换源后不要急着批量安装软件。建议先做一个最小化的验证比如 yum install -y wget成功了再去装你的业务依赖。如果一上来就 yum update -y一旦新源某个包有问题升级过程会直接卡住排查起来难度成倍上升。稳妥的顺序是备份源文件、写新repo、clean/makecache、装一个包验证、再执行后续的更新或安装。5.3 如果让我重新选型我会怎么做讲完技术操作最后说点个人体会。CentOS 8 EOL之后网上流传着各种“续命”方案比如把源替换成vault持续使用或者切换到Stream继续滚动更新。技术上这些都可以跑但我自己在评估新项目时已经不太倾向于用这套老系统了。原因很简单CentOS 8终归是EOL状态归档源的包版本已经冻结安全修复不会再有官方渠道。与其在一个已经没有官方维护的系统上修修补补不如考虑 Rocky Linux 或 AlmaLinux它们的目标就是无缝兼容RHEL迁移成本很低yum源配置思路也和CentOS 8几乎一致。不过在存量机器面前尤其是那些已经运行了好几年的业务系统“重装系统”往往不是最优解。这个时候把YUM源正确地改到阿里云vault归档源至少能让系统恢复可安装、可部署的能力让业务先稳定跑着后续再规划迁移窗口。这里面的核心要点就三步备份原有仓库文件写新的baseurl指向镜像站清理缓存验证安装。把握好这三步再配合前面提到的排错手段绝大多数CentOS 8换源问题都能稳稳解决。踩过几次坑之后我现在的习惯是每次改完源都会顺手写一条备忘录记录当前机器用的镜像站、仓库ID和gpgcheck状态。服务器一多光靠记忆根本靠不住文档记清楚了下次无论是出问题还是做迁移都能少走很多弯路。
