简介面向信创国产化替代场景的 Nginx 离线一键安装包专为 ARM64 架构服务器设计适配银河麒麟 V10、openEuler、UOS 等主流国产操作系统。资源解决内网或无外网环境下 Web 服务器部署难题适合运维工程师、信创项目交付人员及国产化迁移实施者使用。包内共 9 个文件以 gz 源码包、sh 脚本、conf 配置与 service 服务文件为主压缩包约 18.99MB已内置 PCRE、Zlib、OpenSSL 依赖源码安装时自动编译无需额外联网拉取。目录结构清晰包含 Nginx 源码及依赖、预置 nginx.conf 与 systemd 服务文件并配套 install.sh 与 uninstall.sh 脚本支持一键安装与卸载。安装后可通过 systemctl 管理启停与状态查看默认部署于 /opt/nginx 路径。目前已有 486 人学习下载适合需要快速在国产化环境中搭建稳定 Web 服务的读者参考使用。1. 信创国产化环境Nginx离线一键安装包内网交付的最后一公里在信创国产化替代的交付现场最让人头疼的不是应用本身跑不起来而是目标服务器压根没有外网。你手里只有一台能连外网的笔记本、一个U盘以及对面那台装着麒麟或统信UOS的机器。yum install nginx敲下去等来的是一串超时apt-get更干脆源地址直接不可达。这时候一个能塞进U盘、拷过去解压就能跑的 Nginx 离线一键安装包就是交付能不能按时验收的关键。这个方案解决的核心问题很具体在完全断网、CPU 架构可能是 aarch64 或 x86_64、系统自带依赖残缺的国产化服务器上用最少的人工干预把 Nginx 装起来并跑通。它适合做信创项目交付的运维、需要在隔离网段部署中间件的后端以及被内网环境反复折磨的现场工程师。下面按我实际交付过的路径把选型、打包、安装、排错和验证一层层拆开。2. 离线包到底装什么依赖闭包与架构判定2.1 为什么不能只拷一个 nginx 二进制很多人第一反应是Nginx 不就是个二进制吗编译好拷过去不就行了。这个思路在个人机器上能跑通在信创环境里大概率翻车。原因是 Nginx 运行时依赖一组动态库比如libpcre、libz、libssl而国产化系统预装的版本和你的编译环境往往对不上。你编译时链接的是libssl.so.1.1目标机器上只有libssl.so.3启动直接报error while loading shared libraries。所以离线包的本质不是「一个文件」而是一个依赖闭包Nginx 主程序 它直接和间接依赖的所有.so 必要的配置模板 安装脚本。常见做法是用ldd把依赖树拉出来逐个确认目标系统是否已有缺的才打进包里。我一般会多打一点宁可包里冗余也不要在现场发现少一个库。2.2 先判定 CPU 架构和系统版本信创环境的 CPU 架构比想象中杂。飞腾、鲲鹏是 aarch64海光、兆芯是 x86_64龙芯是 loongarch64。你在一台鲲鹏上打的包拷到海光机器上必然跑不起来。所以打包前第一件事是确认目标架构。# 在目标服务器上执行确认架构和系统 uname -m # 输出 aarch64 / x86_64 / loongarch64 cat /etc/os-release # 确认是麒麟 Kylin 还是统信 UOS以及具体版本号 # 查看 glibc 版本这个决定二进制兼容性下限 ldd --version | head -1uname -m给出架构/etc/os-release给出发行版和版本ldd --version给出 glibc 版本。这三个信息决定了你在哪台机器上编译、用什么参数编译。glibc 是向下兼容的在高版本 glibc 上编译的二进制拿到低版本上会报GLIBC_2.xx not found。所以编译环境要选目标系统里 glibc 版本最低的那一档或者干脆用静态编译规避。2.3 依赖闭包怎么收集确认架构后在一台同架构、同系统版本的「样板机」上编译 Nginx然后用ldd收集依赖。# 编译安装到独立前缀方便整体打包 ./configure \ --prefix/opt/nginx-offline \ --with-http_ssl_module \ --with-http_gzip_static_module \ --with-pcre/usr/local/src/pcre-8.45 \ --with-zlib/usr/local/src/zlib-1.3 \ --with-openssl/usr/local/src/openssl-3.0 make make install # 收集运行时依赖 ldd /opt/nginx-offline/sbin/nginx | awk {print $3} | grep ^/ | sort -u--prefix指定独立安装路径避免污染系统目录也方便整个目录打包。--with-*把 SSL、gzip 静态压缩这些常用模块编进去省得现场再补。ldd那行把 Nginx 依赖的所有绝对路径库列出来这些就是需要打进包的候选。拿到列表后逐个和样板机的系统库对比。系统自带的比如libc.so.6、libpthread.so.0不用打目标机器一定有非系统路径的比如/usr/local/lib/libpcre.so必须打进去。打包时把这些库放到lib/目录安装脚本里通过LD_LIBRARY_PATH或patchelf指定加载路径。注意patchelf修改二进制的 rpath 比LD_LIBRARY_PATH更可靠因为后者依赖启动方式用 systemd 托管时容易丢环境变量。3. 一键安装脚本怎么写才不翻车3.1 脚本的整体结构一键安装包的核心是一个install.sh它要做的事按顺序是检查架构、解压文件、放置二进制和库、生成配置、注册 systemd 服务、启动并自检。结构上我习惯分成几个函数每个函数只干一件事出错就退出并打印原因。#!/bin/bash set -euo pipefail PKG_DIR$(cd $(dirname $0) pwd) INSTALL_DIR/opt/nginx-offline SERVICE_NAMEnginx-offline log() { echo [$(date %H:%M:%S)] $*; } die() { echo [ERROR] $* 2; exit 1; } check_arch() { local arch arch$(uname -m) case $arch in aarch64|x86_64|loongarch64) log 架构检测通过: $arch ;; *) die 不支持的架构: $arch ;; esac } install_files() { mkdir -p $INSTALL_DIR cp -r $PKG_DIR/nginx/* $INSTALL_DIR/ chmod x $INSTALL_DIR/sbin/nginx log 文件放置完成: $INSTALL_DIR } setup_lib() { # 把自带库路径写进二进制 rpath避免依赖环境变量 if command -v patchelf /dev/null 21; then patchelf --set-rpath $INSTALL_DIR/lib $INSTALL_DIR/sbin/nginx log rpath 已设置 else log patchelf 不可用改用 LD_LIBRARY_PATH 方案 fi } gen_config() { cat $INSTALL_DIR/conf/nginx.conf EOF worker_processes auto; events { worker_connections 1024; } http { include mime.types; default_type application/octet-stream; sendfile on; keepalive_timeout 65; server { listen 8080; server_name localhost; location / { root html; index index.html; } location /health { return 200 ok; } } } EOF log 配置生成完成 } register_service() { cat /etc/systemd/system/${SERVICE_NAME}.service EOF [Unit] DescriptionNginx Offline Service Afternetwork.target [Service] Typeforking PIDFile${INSTALL_DIR}/logs/nginx.pid ExecStartPre${INSTALL_DIR}/sbin/nginx -t ExecStart${INSTALL_DIR}/sbin/nginx ExecReload${INSTALL_DIR}/sbin/nginx -s reload ExecStop${INSTALL_DIR}/sbin/nginx -s quit EnvironmentLD_LIBRARY_PATH${INSTALL_DIR}/lib [Install] WantedBymulti-user.target EOF systemctl daemon-reload systemctl enable ${SERVICE_NAME} log systemd 服务已注册 } self_check() { systemctl start ${SERVICE_NAME} sleep 2 if curl -sf http://127.0.0.1:8080/health /dev/null; then log 自检通过Nginx 已运行 else die 自检失败请查看 ${INSTALL_DIR}/logs/error.log fi } check_arch install_files setup_lib gen_config register_service self_checkset -euo pipefail让脚本遇到未定义变量、管道失败、命令非零返回时立即退出避免错误被吞掉。check_arch先卡架构架构不对后面全白搭。setup_lib优先用patchelf写 rpath这样即使 systemd 环境变量没生效也能找到库。gen_config里监听 8080 而不是 80是因为信创环境里 80 端口经常被其他服务占用或者非 root 用户没权限绑定。self_check用/health接口做端到端验证比只看进程存在可靠得多。3.2 关键参数怎么定脚本里有几个参数需要根据现场调整我列个表说明取值范围和影响。参数位置建议值说明worker_processesnginx.confauto按 CPU 核数自动信创机器核数差异大auto 最稳worker_connectionsnginx.conf1024~4096内网中间件场景 1024 够用高并发调到 4096listennginx.conf8080避开 80 端口冲突需要 80 时用 root 或加 capabilitiesLD_LIBRARY_PATHservice 文件安装目录/lib兜底方案patchelf 生效时可省略PIDFileservice 文件安装目录/logs/nginx.pid必须和 nginx.conf 里 pid 指令一致worker_connections不是越大越好它受系统ulimit -n限制。信创系统默认文件描述符上限可能是 1024你配 4096 也开不出来。安装脚本里可以加一句ulimit -n 65535或者在 systemd 的[Service]段加LimitNOFILE65535。3.3 打包成单文件自解压现场交付时一个目录拷来拷去容易漏文件。我习惯用makeself或者手写 tar 自解压把整个安装目录打成一个.run文件。# 用 makeself 打包生成单个可执行文件 makeself --gzip $PKG_DIR nginx-offline-installer.run \ Nginx Offline Installer ./install.sh--gzip压缩减小体积第二个参数是输出文件名第三个是解压后显示的描述最后是解压后执行的入口脚本。生成的.run文件拷到目标机器chmod x后直接执行它会自己解压到临时目录再跑install.sh。这样交付物就是一个文件U 盘里不容易丢东西。4. 现场部署的完整操作路径4.1 从 U 盘到服务起来的步骤假设你已经拿到了nginx-offline-installer.run目标机器是 aarch64 的麒麟系统全程无外网。操作路径如下。# 1. 挂载 U 盘信创系统桌面版一般自动挂载服务器版手动 mkdir -p /mnt/usb mount /dev/sdb1 /mnt/usb # 2. 拷贝安装包到本地 cp /mnt/usb/nginx-offline-installer.run /tmp/ chmod x /tmp/nginx-offline-installer.run # 3. 执行安装 /tmp/nginx-offline-installer.run # 4. 验证服务状态 systemctl status nginx-offline curl http://127.0.0.1:8080/health第 1 步的/dev/sdb1需要根据实际lsblk结果替换不同机器 U 盘设备名不一样。第 3 步执行后脚本会打印每一步的日志看到「自检通过」就说明装好了。第 4 步的systemctl status看服务是否 activecurl看健康接口是否返回 ok。4.2 安装脚本的幂等性处理现场经常遇到的情况是装了一半失败改完再跑一遍。如果脚本不幂等第二次跑可能因为目录已存在、服务已注册而报错。所以每个函数都要能重复执行。install_files() { # 先清理旧目录保证干净 if [ -d $INSTALL_DIR ]; then log 检测到旧安装清理中 rm -rf $INSTALL_DIR fi mkdir -p $INSTALL_DIR cp -r $PKG_DIR/nginx/* $INSTALL_DIR/ chmod x $INSTALL_DIR/sbin/nginx } register_service() { # 先停旧服务再覆盖 systemctl stop ${SERVICE_NAME} 2/dev/null || true # ... 写 service 文件 ... systemctl daemon-reload systemctl enable ${SERVICE_NAME} }rm -rf前一定要确认INSTALL_DIR变量非空set -u能防住未定义但最好再加一层[ -n $INSTALL_DIR ]判断。systemctl stop后面跟|| true是因为服务不存在时 stop 会返回非零加了之后脚本不会中断。4.3 端口和权限的现场决策信创环境里 80 端口经常被 httpd 或者某个国产中间件占着。安装脚本默认用 8080但交付时甲方可能要求必须走 80。这时候有两个选择一是用 root 跑 Nginx二是给二进制加cap_net_bind_service能力。# 方案一直接用 root 跑简单但权限大 # 修改 service 文件去掉 User 行默认就是 root # 方案二授予绑定低端口能力更安全 setcap cap_net_bind_serviceep /opt/nginx-offline/sbin/nginx # 然后 service 文件里指定非 root 用户方案二更符合最小权限原则但setcap在部分国产化系统上支持不完整可能报Operation not supported。现场如果方案二不行就退回方案一别在这上面耗太久。5. 避坑指南离线安装最常见的五个翻车点5.1 现象启动报 GLIBC 版本不匹配现象./nginx: /lib64/libc.so.6: version GLIBC_2.28 not found。原因编译环境的 glibc 版本高于目标机器。比如你在较新的统信版本上编译拿到较老的麒麟版本上跑就缺符号。解决在目标系统同版本或更低版本的机器上编译或者改用静态编译把 glibc 也链进去。静态编译用--with-cc-opt-static但 Nginx 对静态编译支持有限更稳的做法是找一台和目标 glibc 版本一致的样板机。5.2 现象patchelf 改了 rpath 还是找不到库现象patchelf --set-rpath执行成功启动仍报cannot open shared object file。原因patchelf修改的是主程序的 rpath但 Nginx 加载的某些模块.so有自己的依赖它们的 rpath 没被改到。解决对modules/目录下所有.so也执行一遍patchelf --set-rpath。写个循环find $INSTALL_DIR -name *.so -exec patchelf --set-rpath $INSTALL_DIR/lib {} \;5.3 现象systemd 启动失败但手动能跑现象命令行直接执行sbin/nginx正常systemctl start报 203/EXEC 或找不到库。原因systemd 的环境变量和登录 shell 不同LD_LIBRARY_PATH没继承。另外ExecStart的路径必须是绝对路径。解决在 service 文件的[Service]段显式加EnvironmentLD_LIBRARY_PATH...并且所有路径写绝对路径。如果还不行用patchelf写死 rpath彻底摆脱环境变量依赖。5.4 现象健康检查通过但业务访问 502现象curl /health返回 ok但代理的后端接口报 502。原因/health是 Nginx 自己返回的不经过后端。502 说明 Nginx 到后端的连接有问题可能是 SELinux 拦截也可能是后端没起。解决先看error.log里的具体报错。如果是Permission denied检查 SELinux 状态getenforce临时用setenforce 0验证确认是 SELinux 后加策略或关掉。如果是Connection refused检查后端服务是否监听在预期端口。5.5 现象安装脚本在某个系统上卡住不动现象执行.run文件后长时间无输出也不退出。原因makeself解压时如果临时目录空间不足或者install.sh里有交互式命令比如read在等输入就会卡住。解决检查/tmp剩余空间df -h /tmp检查脚本里有没有read、pause之类的交互语句离线安装脚本必须全自动不能有等待输入的地方。另外makeself加--nox11参数避免尝试打开图形窗口。6. 进阶把安装包做成可验证、可回滚的交付件6.1 用校验和确认包没被损坏U 盘拷贝、网络传输都可能让文件损坏。交付前生成 SHA256现场安装前先校验。# 打包机上生成校验文件 sha256sum nginx-offline-installer.run nginx-offline-installer.run.sha256 # 目标机器上校验 sha256sum -c nginx-offline-installer.run.sha256sha256sum -c会读取校验文件里的哈希和文件名重新计算并比对输出OK或FAILED。这一步花不了几秒但能避免因为包损坏导致的玄学问题。6.2 安装前自动备份旧配置如果目标机器上已经有 Nginx直接覆盖可能丢配置。安装脚本里加一段备份逻辑。backup_existing() { if [ -d $INSTALL_DIR ]; then local backup${INSTALL_DIR}.bak.$(date %Y%m%d%H%M%S) mv $INSTALL_DIR $backup log 旧安装已备份到 $backup fi }用时间戳命名备份目录多次安装不会互相覆盖。回滚时把备份目录改回原名重启服务即可。这个习惯让我在至少两次现场事故里省下了重新配置的时间。6.3 验证清单装完必须确认的几件事装完不是看到进程起来就完事我一般会过一遍这个清单。检查项命令预期结果服务状态systemctl is-active nginx-offlineactive开机自启systemctl is-enabled nginx-offlineenabled健康接口curl -s http://127.0.0.1:8080/healthok配置语法/opt/nginx-offline/sbin/nginx -tsyntax is ok错误日志tail -20 /opt/nginx-offline/logs/error.log无 error 级别依赖库ldd /opt/nginx-offline/sbin/nginx | grep not found无输出ldd那行如果输出not found说明还有库没打进去必须回去补。这个检查比启动成功更能说明问题因为有些库是延迟加载的启动时不报错跑到某个功能才崩。6.4 一个我踩过的坑早期做离线包时我只在样板机上测了启动没测nginx -s reload。结果现场改配置后 reload 报错原因是patchelf改 rpath 后reload 时新起的 worker 进程加载模块路径变了。后来我在自检里加了 reload 测试启动后执行一次nginx -s reload确认不报错才算通过。这个习惯后来帮我拦住了好几次类似问题。离线安装包这东西做一次能复用很久但前提是每个环节都留了验证手段。别信「在我机器上是好的」信校验和、信ldd、信 reload 测试。希望帮到你。本文还有配套的精品资源点击获取