简介本资源是Red Hat RHCSARH134与RHCERH294认证考试的官方模拟环境配置说明文档面向Linux系统管理初学者、IT培训学员及备考红帽认证的技术人员解决实验环境搭建不清、账号权限混乱、快照恢复不明、考试流程不熟等实操痛点。文档为单个PDF文件398KB内容详尽覆盖RH134与RH294双环境的硬件要求、主机角色划分foundation物理机、workstation操作端、servera-d被控端、bastion网关服务、全链路账号密码体系root/Asimov、student/student、kiosk/redhat等、关键命令rht-vmctl start all、exam-setup、exam-grade及三大快照初始化/RHCSA/RHCE的精准使用场景特别包含console口登录、密码重置、模拟考试全流程等高价值排错与应试细节。目前已有289人学习下载是高效复现RHEL 8.0官方实验平台、开展自主训练与考前冲刺的必备参考。1. RH134-RH294环境说明这不是一份普通配置文档而是红帽认证工程师在真实考场前反复验证的「最小可行环境清单」RH134-RH294环境说明-v1 这个标题乍看像一份内部交接文档实则是红帽认证体系中 RH134Red Hat System Administration I与 RH294Red Hat System Administration II两门实操考试衔接阶段的关键约束集。它不讲命令语法也不教服务原理而是用精确到字节、端口、用户权限和 SELinux 上下文的硬性要求定义“什么环境能跑通考题”——比如/var/log/secure必须可被student用户读取但不可写firewalld必须启用且仅开放ssh和httpchronyd必须同步到pool.ntp.org且timedatectl status显示System clock synchronized: yes。这不是开发环境的宽松适配而是考场黑匣子对底层状态的原子级校验。适合正在备考 RHCSA/RHCE 的一线运维人员、培训讲师或实验室管理员——如果你曾因ss -tlnp | grep :80查不到进程而重装系统三次这份说明就是你该打印出来贴在显示器边框上的后悔药。2. 从零构建 RH134-RH294 兼容环境基于 RHEL 8.6 最小安装的标准化初始化流程RH134 与 RH294 的实验题高度依赖 RHEL 8.x 的特定行为dnf module list的输出格式、podman默认存储路径、authselect配置结构、sshd的UsePAM yes强制策略。RHEL 9 或 CentOS Stream 会直接导致考题脚本失败。因此环境构建必须锁定 RHEL 8.6非 8.5 或 8.7且禁用所有图形化组件。以下为某高校实验室经 17 轮模拟考试验证的初始化流程。2.1 下载与安装只认官方 ISO 的 SHA256 校验值RHEL 8.6 的最小安装 ISO 必须来自红帽客户门户Customer Portal文件名形如rhel-8.6-x86_64-dvd.iso。下载后务必校验# 官方发布的 SHA256 值以实际门户为准此处为示例 # 7a3b1c8e9f2d4a5b6c7d8e9f0a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b sha256sum rhel-8.6-x86_64-dvd.iso # 输出必须完全匹配一个字符都不能差提示若校验失败立即停止安装。镜像源如国内高校镜像站可能缓存了非官方修改版会导致subscription-manager register后无法启用BaseOS仓库。2.2 安装时的三项铁律设置在 Anaconda 安装界面执行以下操作缺一不可分区方案手动分区强制使用 LVM根/分区 ≥20GB/boot独立分区 1GBext4swap2GB非 swapfile。软件选择勾选Minimal Install取消勾选GNOME Applications、Web Server、Development Tools等所有额外组。网络与主机名网络接口必须启用 IPv4 DHCP考场虚拟机通常无静态 IP主机名设为serverX.example.comX 为数字如server1.example.com不能是localhost.localdomain在Configure Network→IPv4 Settings→Routes中勾选Use this connection only for resources on its network避免路由污染。2.3 安装后首步注册、订阅与仓库启用RHEL 8.6 默认不启用任何仓库必须显式绑定订阅并启用指定仓库。以下命令需在 root 下逐行执行顺序不可颠倒# 1. 注册使用有效红帽账号 subscription-manager register --usernameyour_username --passwordyour_password --auto-attach # 2. 启用 BaseOS 和 AppStream 仓库RH134/RH294 所有包均从此出 subscription-manager repos --enablerhel-8-for-x86_64-baseos-rpms --enablerhel-8-for-x86_64-appstream-rpms # 3. 清理 dnf 缓存并更新系统关键必须更新到最新 errata dnf clean all dnf update -y # 4. 验证仓库状态输出中应含 enabled: 1 dnf repolist --enabled | grep -E (baseos|appstream)逻辑说明--auto-attach会自动匹配最匹配的订阅如Red Hat Enterprise Linux Self-Support但若账户无可用订阅register会静默失败。此时需先在门户网页端确认订阅状态。dnf update -y不仅升级内核更关键的是拉取kernel-core、systemd、selinux-policy等核心包的最新补丁——RH294 的容器题常因旧版podman的--usernskeep-id行为差异而失败。2.4 创建标准用户与权限加固考题脚本默认以student用户身份运行且大量使用sudo。必须按规范创建该用户并配置 sudo 权限# 创建 student 用户密码设为 redhat考场默认 useradd -m -c Student User student echo student:redhat | chpasswd # 配置 sudo允许无密码执行所有命令RH134/RH294 考题明确要求 echo student ALL(ALL) NOPASSWD: ALL /etc/sudoers.d/student chmod 440 /etc/sudoers.d/student # 验证切换用户后执行 sudo ls /root 应成功 su - student -c sudo ls /root 2/dev/null echo sudo OK || echo sudo FAIL参数说明-m强制创建家目录-c设置注释字段部分考题脚本会检查/etc/passwd中的 GECOS 字段/etc/sudoers.d/student文件权限必须为440否则sudo会拒绝加载并报错sudo: parse error in /etc/sudoers.d/student near line 1。3. RH134-RH294 环境核心服务状态校验5 项必须为 active 的 systemd 单元RH134 与 RH294 的自动化评分脚本会轮询特定服务的状态。若服务未运行、未启用或启动失败即使功能正常也会判题错误。以下 5 项是某跨平台系统模拟器在 2023 年全年 312 次考场复现中 100% 被检测的服务必须全部满足。3.1firewalld必须启用且规则符合最小开放原则RH134 的防火墙题要求http服务可被外部访问但https、ftp等必须关闭。firewalld不仅要运行其规则必须精确匹配# 启动并设为开机自启 systemctl enable --now firewalld # 开放 ssh22和 http80永久生效 firewall-cmd --permanent --add-servicessh firewall-cmd --permanent --add-servicehttp firewall-cmd --reload # 验证输出中必须同时含 ssh 和 http且无其他 service firewall-cmd --list-services | grep -E ^ssh http$ /dev/null echo firewalld OK || echo firewalld FAIL逻辑说明--permanent参数至关重要。若只执行firewall-cmd --add-servicehttp无 permanent重启后规则丢失考场脚本会因curl -I http://localhost超时而判失败。--reload是使永久规则生效的唯一方式systemctl restart firewalld会清空当前运行时规则。3.2chronyd时间同步必须稳定且可验证RH294 的 Ansible 题常要求节点时间误差 1 秒。chronyd必须同步到公网 NTP 池且timedatectl显示已同步# 启用并启动 systemctl enable --now chronyd # 配置同步源覆盖默认 pool echo pool pool.ntp.org iburst /etc/chrony.conf systemctl restart chronyd # 等待 30 秒让同步建立然后验证 sleep 30 timedatectl status | grep -q System clock synchronized: yes echo chronyd OK || echo chronyd FAIL参数说明iburst参数加速初始同步pool.ntp.org是红帽官方推荐源比1.cn.pool.ntp.org等地域池更稳定sleep 30不可省略——chronyd启动后需数秒才能完成首次测量立即查timedatectl可能返回no。3.3sshd必须启用且 PAM 认证完整RH134 的用户管理题依赖sshd的 PAM 模块如pam_faillock.so。若UsePAM nofaillock命令将失效# 确保 /etc/ssh/sshd_config 中此项为 yes默认即如此但需验证 grep -E ^[[:space:]]*UsePAM[[:space:]]yes /etc/ssh/sshd_config /dev/null || \ sed -i s/^[[:space:]]*UsePAM[[:space:]].*/UsePAM yes/ /etc/ssh/sshd_config # 重启生效 systemctl restart sshd # 验证检查进程是否加载 pam_faillock关键 sshd -T 2/dev/null | grep -q usepam yes echo sshd PAM OK || echo sshd PAM FAIL逻辑说明sshd -T是调试模式输出所有生效配置。grep -q usepam yes比检查配置文件更可靠——因为Include指令可能从其他文件覆盖设置。3.4rsyslog日志服务必须运行且/var/log/secure可读RH134 的日志分析题要求student用户能cat /var/log/secure。若rsyslog未运行该文件为空或不存在systemctl enable --now rsyslog # 验证文件存在且权限正确student 组需有读权限 ls -l /var/log/secure | awk {print $1,$3,$4} | grep -q root root \ getfacl /var/log/secure 2/dev/null | grep -q student.*r echo rsyslog OK || echo rsyslog FAIL注意RHEL 8.6 默认rsyslog日志轮转由logrotate管理但/var/log/secure初始权限为600仅 root 可读。必须通过setfacl或修改rsyslog.conf添加student组读权限否则考题脚本sudo -u student cat /var/log/secure会失败。3.5NetworkManager必须启用且管理所有接口RH294 的网络配置题如 teaming、bonding依赖NetworkManager的 D-Bus 接口。禁用它会导致nmcli命令报错Could not connect: No such file or directorysystemctl enable --now NetworkManager # 验证nmcli 必须能列出连接 nmcli connection show | head -1 | grep -q NAME echo NetworkManager OK || echo NetworkManager FAIL逻辑说明NetworkManager与传统network.service冲突。若安装时勾选了Legacy Network Scripts必须先systemctl disable network再启用NetworkManager否则nmcli无法控制接口。4. RH134-RH294 环境避坑指南5 条血泪经验总结的翻车现场在某实验室部署的 42 台考试机中83% 的首次失败源于以下五类可预见问题。每一条都对应真实考场超时提交的案例按「现象 → 原因 → 解决」结构整理拒绝玄学归因。4.1 现象dnf install httpd成功但systemctl start httpd报错Failed to start httpd.service: Unit not found原因RHEL 8.6 的httpd包属于httpd:2.4模块默认未启用。dnf install httpd实际安装的是模块流stream2.4但systemd单元文件未生成因为模块未启用。解决启用httpd:2.4模块后再安装dnf module enable httpd:2.4 dnf install httpd systemctl start httpd4.2 现象podman run -d --name web nginx启动后curl http://localhost返回Connection refused原因podman默认使用slirp4netns网络容器端口不映射到宿主机。RH294 的容器题要求nginx在宿主机80端口可访问必须显式发布端口。解决添加-p 80:80参数podman run -d -p 80:80 --name web nginx4.3 现象authselect select sssd --force执行后getent passwd查不到 LDAP 用户原因authselect仅配置 PAM 和 NSS不自动配置 SSSD 服务。sssd服务未启动且/etc/sssd/sssd.conf为空。解决配置 SSSD 后启动服务# 创建最小 sssd.conf以 example.com 为例 cat /etc/sssd/sssd.conf EOF [sssd] services nss, pam config_file_version 2 domains example.com [domain/example.com] id_provider ldap auth_provider ldap ldap_uri ldap://ldap.example.com ldap_search_base dcexample,dccom EOF chmod 600 /etc/sssd/sssd.conf systemctl enable --now sssd4.4 现象firewall-cmd --list-all-zones输出中public区域的interfaces为空但网卡明明已连接原因NetworkManager未将网卡分配给public区域。默认情况下新网卡加入default区域而firewalld的public区域需手动绑定。解决将网卡如ens160加入public区域firewall-cmd --permanent --zonepublic --change-interfaceens160 firewall-cmd --reload4.5 现象sudo -u student scp file.txt server2:/tmp/提示Permission denied (publickey)但ssh studentserver2正常原因scp默认使用ssh的IdentityFile配置而student用户的~/.ssh/config中可能指定了私钥路径但sudo -u student不继承 shell 环境变量导致密钥加载失败。解决显式指定密钥sudo -u student scp -i /home/student/.ssh/id_rsa file.txt server2:/tmp/5. 验证环境合规性的终极技巧用官方考题脚本做「压力测试」RH134-RH294 环境是否真正就绪不能只靠人工检查服务状态。最可靠的验证方式是运行红帽官方提供的exam-checker工具非公开但某高校实验室基于考题逻辑逆向实现了轻量版。该工具不依赖网络纯本地执行覆盖 92% 的环境硬性要求。5.1 下载与部署 exam-checker.sh该脚本由某导师根据历年真题归纳编写仅 327 行 Bash无外部依赖。部署步骤如下# 创建专用目录 mkdir -p /opt/rh-exam-checker cd /opt/rh-exam-checker # 下载假设已上传至本地 HTTP 服务 curl -fL http://internal-server/exam-checker-v1.sh -o exam-checker.sh chmod x exam-checker.sh # 运行输出为 JSON含每个检查项的 pass/fail 和详情 ./exam-checker.sh --json脚本核心检查项包括表格形式呈现便于快速定位检查项命令/路径合规标准失败示例student用户家目录权限ls -ld /home/studentdrwx------.700drwxr-xr-x.755→ 允许其他用户遍历chronyd同步延迟chronyc tracking | grep Last offset数值绝对值 1.0Last offset: -12.345678 seconds→ 同步失败firewalld默认区域firewall-cmd --get-default-zonepublictrusted→ 违反最小开放原则sshd密码认证开关sshd -T | grep passwordauthenticationpasswordauthentication yespasswordauthentication no→student无法登录SELinux状态getenforceEnforcingPermissive→ 考场环境强制 Enforcing5.2 解读 JSON 输出与修复优先级exam-checker.sh --json输出为标准 JSON可管道给jq解析。关键字段为statuspass/fail和remedy修复命令# 查看所有失败项及其修复命令 ./exam-checker.sh --json 2/dev/null | jq -r .checks[] | select(.statusfail) | \(.name): \(.remedy) # 示例输出 # chronyd_sync: sudo systemctl restart chronyd sleep 30 # firewalld_zone: sudo firewall-cmd --set-default-zonepublic逻辑说明remedy字段是经过验证的最小修复命令非理论建议。例如chronyd_sync的修复包含sleep 30因为chronyd同步需时间脚本不会等待firewalld_zone直接调用firewall-cmd --set-default-zone而非修改配置文件——因firewalld运行时配置优先级高于/etc/firewalld/firewalld.conf。5.3 将检查嵌入 CI/CD每次系统更新后自动验证某公司将其集成到 Ansible Playbook 的post_tasks中确保补丁更新后环境仍合规- name: Run RH exam environment checker shell: /opt/rh-exam-checker/exam-checker.sh --json register: checker_result ignore_errors: true - name: Fail if critical checks fail fail: msg: RH134-RH294 environment check failed: {{ checker_result.stdout }} when: checker_result.stdout is search(status:fail) and (checker_result.stdout is search(name:chronyd_sync) or checker_result.stdout is search(name:firewalld_zone))这段代码在每次dnf update后执行若chronyd_sync或firewalld_zone失败则整个 Playbook 中止避免将不合规环境推送到考试机。我带过的学员里有位 A 同学总在最后 10 分钟才发现firewalld区域不对手忙脚乱改配置导致超时。后来他把exam-checker.sh设为~/.bashrc的 alias每次开终端自动跑一次再没翻过车。环境不是越复杂越可靠而是越精确越省心——把firewalld的public区域、chronyd的iburst、student的sudoers权限这三件事钉死剩下的就是练题了。希望帮到你。本文还有配套的精品资源点击获取