CentOS 7这个老伙计说实话到现在还有大量服务器在跑。虽然版本比较“古典”但很多公司的存量业务和生产环境就是离不开它。我前前后后大大小小装过几百次CentOS 7从最开始的虚拟机到后来的物理机批量部署踩过的坑、总结出的经验都挺多。今天这篇就围绕CentOS 7系统安装教程这条主线把从准备镜像、制作启动盘、配置引导、分区、初始化到装完后的必做操作全部捋一遍写给刚接触Linux的初学者也写给偶尔需要重装系统、想少走弯路的运维同行。这篇东西适合谁看打算在VMware、VirtualBox或者物理服务器上装CentOS 7的人给公司老服务器重装系统时不想再查东查西的人以及想搞明白“为什么网上教程说的分区我照做却起不来系统”的人。1. 装CentOS 7之前先确认你的运行环境很多人拿到安装镜像就直接刻盘装机等到启动不了了才回头查原因晚上十点蹲机房眼泪掉下来。我建议动设备前先把三个问题想清楚装在哪、装来干嘛、用什么方式引导。1.1 物理机还是虚拟机两者差别在哪装物理机和装虚拟机的过程几乎一样但有三个点必须提前区分。物理机的启动盘要看主板固件模式。近几年的服务器主板基本默认UEFI引导老一点的服务器和台式机可能还是传统BIOSLegacy模式。CentOS 7的安装镜像同时支持UEFI和Legacy但同一台机器如果我用UEFI引导安装装出来的系统分区表就是GPT如果用Legacy引导安装分区表大概率就是MBR。这两者在后续分区和启动修复上处理方式完全不同后面第4节会细说。虚拟机的灵活度高得多VMware Workstation或者VirtualBox里新建虚拟机时固件类型可以选择“UEFI”或“BIOS”。我建议如果你只是练手或者做实验直接用默认的BIOS模式最省事如果希望模拟现代生产服务器环境就选UEFI。两种模式装出来的系统都能跑区别在于你学到的知识能不能迁移到真实机房环境。1.2 下载镜像时最容易忽略的三种版本差异访问CentOS官方镜像站或者国内各高校镜像源时会看到好几个ISO文件新手最容易一眼看上“Everything”或者“DVD”这种全量包。它们之间的差异不只是文件大小这么简单。Minimal ISO最小安装盘体积大概接近1GB装完只有最基础的系统内核和命令行工具桌面环境一概没有。适合跑业务服务的服务器也适合愿意从零开始折腾的人。DVD ISO完整安装盘几个GB大小包含大量常用软件包安装时可以勾选图形化界面、开发工具、虚拟化组件等。大多数线下物理机安装都推荐用这个因为就算选完软件包后没连外网也能完成安装。Everything ISO全量盘把所有能选的包都塞进去了一般是企业内部需要离线建软件源的时候才用个人安装不建议碰文件太大下载慢安装时也很少需要那么多包。新手最容易犯的错是下载了Minimal镜像装完发现没有图形界面也不会用命令行直接卡死。所以听课和练手的人如果不想开局就劝退DVD镜像才是正确选择。生产服务器则按需来有时为了安全和最小化Minimal也完全够用。1.3 硬件最低要求与准备清单CentOS 7对硬件不挑官方给的最低要求是内存不低于1GB、硬盘不低于10GB但这只是“能跑测速”。我的实际经验是命令行服务器2GB内存起步硬盘分配至少20GB否则装完系统后装点软件就满了。带图形界面4GB内存起步硬盘40GB以上图形桌面的资源消耗比你想的大2GB跑起来会有一种“点一下等三秒”的酸爽感。数据库或应用服务器8GB内存起步磁盘容量按业务数据量预留这部分后面分区时要重点规划。如果打算在一台机器上装多个系统做双引导记得预留好分区空间最好在Windows的自带磁盘管理里先把未分配空间腾出来再用CentOS安装盘分区。不要贪方便直接在Windows系统盘上塞一个CentOS的分区启动引导很容易互相覆盖到时装Windows引导坏了又是一轮加班。2. 启动盘的制作细节与BIOS引导坑镜像下载完成后把ISO写进U盘这个步骤看起来简单其实翻车率最高。我见过太多人把ISO文件直接复制到U盘里然后开机引导失败还怀疑是镜像坏了。这里把原理和正确做法说清楚。2.1 为什么强烈建议用写盘工具而不是直接解压ISO不是普通压缩包它是一个包含引导信息的完整的文件系统镜像。直接复制或解压到U盘会丢掉启动所需的引导数据和文件权限装机引导时就找不到可启动设备。正确做法是用写盘工具把ISO按位逐字节写入U盘而不是把它当成一个普通文件“粘贴进去”。我常用Rufus这样的开源工具做启动盘理由有三个一是开源工具在社区里用得广行为透明二是体积小不需要安装绿色版就能用三是支持把GPT和UEFI、MBR和BIOS的引导方式匹配好选错模式的概率低。写盘时注意选择“DD镜像模式”还是“ISO模式”对于CentOS 7来说Rufus会自动识别镜像类型通常保持默认即可。写过之后U盘会被重新分区原有数据全部清空提前备份好U盘里的资料。2.2 镜像校验用MD5验证下载完整性这一步很多人会跳过但我建议至少在校验上花一分钟。镜像站会给出对应的MD5校验值或SHA256校验值下载后在本机命令行里执行校验对比输出结果是否一致。在Windows上下载镜像可以用系统自带的PowerShell执行Get-FileHash计算SHA256。在Linux或macOS上则用md5sum或shasum命令。举个最直观的例子sha256sum CentOS-7-x86_64-DVD-2009.iso把输出的哈希值和官方网站贴出来的值对照完全一致就说明镜像文件没有损坏或没有被篡改。不要觉得这一步是强迫症镜像包几个GB下载过程中一旦缺字节做出来的启动盘可能在安装中途报各种奇怪的错排查起来非常崩溃。2.3 BIOS设置UEFI和Legacy的选择启动盘插到机器上之后开机时按Del或者F2进BIOS设置界面不同品牌主板按键不同自己提前确认一下。关键设置在于Secure Boot安全启动。CentOS 7对Secure Boot支持不算顺畅很多老主板开了Secure Boot后U盘引导直接无法识别或用不了显卡驱动。我的建议是自己装机图省心就把Secure Boot关掉。这不是什么高深的操作在BIOS的Boot或者Security菜单里找到“Secure Boot”选项改成Disabled就行。生产环境的物理机如果必须开启Secure Boot则需要进入安装盘引导时按Esc或Tab调整内核参数难度不大但麻烦不适合新手折腾。还有个常见问题是U盘插了但开机引导菜单里没有U盘选项。大多数情况是因为BIOS里的“Fast Boot”和“CSM支持”设置不当。Fast Boot会跳过USB设备的枚举CSM兼容性支持模块如果关闭Legacy引导的设备就显示不出来。自己装机时建议先在BIOS里把CSM打开或者干脆把启动模式改成“UEFI Only/UEFI First”后重试启动盘写入模式和BIOS引导模式匹配对上U盘马上就会出现。3. 引导安装到分区前的完整操作流从U盘启动后看到CentOS 7的引导菜单这里有一些小细节会影响后面的整个安装体验。很多人一路Next按到底装完才发现选错了软件包或分区不对只能重来。3.1 从安装界面到语言选择的几个细节CentOS 7的引导菜单默认是图形风格的第一行是“Install CentOS 7”下面一般还有“Test this media install CentOS 7”等选项。如果镜像在U盘上已经做过校验可以选第一项直接安装。如果镜像不可靠选第二项会先做介质测试费时几分钟。进入图形安装环境后第一步是选语言这里选中文繁体简体都无所谓真正影响系统的语言环境是在安装完成后的配置里确定的。这个语言选择界面主要影响安装过程的提示语言建议你哪门语言读起来顺用哪个。左下角有个“Continue”按钮进去后才是真正核心的安装配置面板。面板里会列出本地化、软件、系统四个区域我们所有关键设置都在这里面完成。3.2 软件选择最小化还是带GUI新手最容易懵的是“软件选择SOFTWARE SELECTION”这一步点进去之后默认选中的是“带GUI的服务器”还是“最小化安装”取决于你用的镜像是DVD还是Minimal。Minimal镜像就没有图形界面的选项可挑DVD镜像里能看到十几种安装环境。我的建议很直接纯练手选“带GUI的服务器”里面再勾上“图形管理工具”和“开发工具”这样既能用图形界面学习也提前装好了编译环境。生产服务器选“最小化安装”装完只有命令行少装一个包就少一个被攻击的入口也少一个需要维护的组件。之后再按需装服务这是标准的服务器安装思维。可能需要补充的是“软件选择”之后安装过程中没法再改装完系统后想补图形界面不是不可以但要额外执行一堆包的安装命令。与其麻烦不如一开始想清楚用途。3.3 网络与主机名的设置逻辑安装界面里“网络和主机名NETWORK HOST NAME”默认是关闭网络连接状态的这个细节很重要。服务器装完后需要联网更新和装软件所以建议在做系统时就把网卡打开、把主机名定好。打开右上角的开关能看到网卡获取到的IP地址如果是虚拟机环境一般自动通过DHCP获取了。此时点右下角的“Configure”可以预设固定IP、网关和DNS。主机名建议在生产环境里有明确的命名规范比如web01、db-node-02这种让人一眼看出服务器角色和编号。不提前设置的话装完默认主机名是localhost.localdomain后面还要多一条命令来改而且有些服务会用到主机名做绑定反复改容易出问题。4. 三种主流分区方案选哪种取决于用途分区是安装CentOS 7时最能拉开认知差距的地方。很多教程一句话带过但我遇到太多人因为分区没规划好系统跑了一两年后磁盘不够用才回来问怎么扩容。分区这一步千万别跳过。4.1 最简单方案单根分区一张表走天下如果你只是装个系统练手或者跑轻量服务完全可以用安装器的“自动配置分区”它会自动帮你把/、/boot、swap分配好。这里补充一句安装器默认会把LVM逻辑卷管理作为分区方式这也意味着未来可以做在线扩容这点比较友好。个人练手的场景自动分区完全够用。不需要手动折腾/home是否单独分、/data要不要独立分区先把系统跑起来比什么都重要。我见过太多新手在分区界面纠结半小时最后因为不敢操作改成自动分区白白消耗耐心。4.2 生产环境方案拆分/boot、/和swap生产服务器我建议在自动分区的基础上做一次手动微调核心思路是把/boot独立出来把/var和/独立出来避免某个服务写日志把根分区塞满导致整个系统进入一种“能开机但服务全部瘫痪”的奇怪状态。一个典型的物理机生产分区方案可以这样参考/boot1GB存放内核和启动引导文件独立挂载在MBR或EFI分区之后。/剩余空间的50%放系统程序和基础库。/var剩余空间30%左右独立挂载日志和缓存全在这里就算被日志撑爆了也不影响根文件系统的读写。/home剩余空间或者干脆不分服务器上通常没有多少个人文件。swap分配内存的1到2倍内存大时比如64GB以上反而建议固定给8GB到16GB即可不要无脑按两倍来大量交换分区其实对性能是种浪费。这个方案的难点在于安装界面里手动分区不能直接用鼠标“放大小方框”而是靠修改每块分区的大小数值来实现。具体操作是选择“我将配置分区”默认会显示LVM自动分区结果双击/对应的卷或点“修改”把想要的容量手动填进去然后再单独添加/var卷。新手第一次操作会慢一些但熟悉一次之后就完全能驾驭。4.3 数据库与应用服务器方案LVM逻辑卷跑数据库或大规模应用我强烈建议用LVM把整个磁盘包起来逻辑卷分开挂载预留未分配的卷组空间。LVM的好处用一句话说明普通分区扩容比登天还难而LVM卷扩容只需要一条命令。划分逻辑上推荐这样分层物理卷PV是整块硬盘卷组VG是这一块的“总仓库”。在仓库里切逻辑卷LV一个挂/一个挂/var一个挂/data再给swap一个卷。卷组里不要一次性全分完留出10%到20%的“自由空间”。以后/data不够用时执行lvextend把自由空间划给它再配grow文件系统操作几秒钟完成扩容不用拆机不用重装。分区方案表列出来就是挂载点容量分区类型用途/boot1GB标准分区xfs或ext4内核与引导文件/50GBLVM逻辑卷xfs系统根目录/var30GBLVM逻辑卷xfs日志、缓存、应用数据/data剩余空间LVM逻辑卷xfs数据库数据文件、业务数据swap16GBLVM逻辑卷swap虚拟内存最后一个提醒CentOS 7默认文件系统是xfs/boot分区建议用ext4更稳swap一律用swap类型。手动分区时看清楚“挂载点、文件系统类型、分区类型”三列再按“更新设置”别把xfs选在swap上。4.4 UEFI分区表和BIOS分区表的差异如果你从UEFI引导进入安装界面手动分区时会发现安装器自动生成了一个几百MB的/boot/efi分区这是EFI系统分区ESP文件系统类型是EFI System Partition。它跟/boot两个分区缺一不可在UEFI方案里引导加载器存放于EFI分区内核文件则放在/boot。不要删掉EFI分区删了启动引导就会找不到设备。Legacy引导模式下不会生成EFI分区但磁盘开头会有一个1MB大小的“BIOS Boot”分区这是安装器为gpt分区表的BIOS引导方式自动创建的保护区域。总结成一句话UEFI模式下给EFI留足容量Legacy模式下保持系统自动生成的BIOS引导分区不动其余空间都由你规划别手痒格式化或者删除它们。5. root密码、普通用户与隐藏的初始化选项分区完成之后回到主配置界面最左边会看到一个“ROOT密码”和一个“创建用户”的区块。这里的操作直接影响装完系统后的安全基础也是很多人栽跟头的地方。5.1 密码策略与root安全机制设置root密码时CentOS 7的安装器会对弱密码提出警告。这个警告不是说你不能设置弱密码而是提醒你风险太高。生产服务器上root密码最好满足两点长度超过12位包含大小写字母和数字。装完系统后我建议额外启用SSH的禁止root直接登录策略改用普通用户加sudo。不过这里有个反差点虚拟机里做实验root密码设成123456也不是不行只要你的实验环境不暴露到公网用自己的机器玩方便快捷远大于安全顾虑。但要清楚这不是生产环境的做法生产系统里root密码泄漏等于把服务器送给别人。5.2 普通用户的sudo配置安装时最好顺手创建一个普通用户。很多人图省事直接跳过这步装完就一直用root干活时间久了路径、权限都会变得很乱。创建用户时勾上“将此用户设为管理员”等价于把这个用户加到wheel组之后该用户可以使用sudo获得管理员权限。普通用户权限的具体表现是进系统后用sudo whoami查看时输出root执行sudo时提示输入的是当前用户密码不是root密码。这样日常日志里会记录到具体是谁用了sudo出了问题能追责到人信息安全和运维规范上都更有保障也更便于多人共用服务器时协作。5.3 KDUMP、相关安全策略该不该关安装界面中还有“KDUMP”和“SECURITY POLICY”两个选项。KDUMP是内核崩溃转储机制服务器一旦内核panic它会抓取一份内存转储用于事后分析。生产环境建议保留方便内核故障回溯但虚拟机或内存紧张的环境可以选择不让KDUMP预留内存因为默认情况下KDUMP会占用系统内存的一小部分这在内存吃紧时并不划算。安全策略SECURITY POLICY通常不需要手动调整CentOS 7默认就是推荐的安全基线除非公司有专门的安全加固要求否则保持默认比装完再折腾省心很多。6. 安装完成后的第一轮配置与验证当所有配置都设置好点击“开始安装”后系统会进入正式的安装流程。此时你会看到进度条在跑几分钟到十几分钟不等取决于你选了哪些软件包和磁盘速度。装完后点“重新引导”拔掉U盘等它从硬盘启动。6.1 登录后先做的三件事第一次登录进入系统后不要急着干活先把三件事做完。第一件事是确认系统版本和内核信息执行命令进行验证cat /etc/redhat-release uname -a这里会看到类似“CentOS Linux release 7.9.2009 (Core)”的输出确认安装的是哪个版本、内核版本是多少。第二件事是过一遍网络状态检查IP、网关和DNS是否正常。装系统时如果开了DHCPIP可能跟你预期不一致执行ip addr查看实际分配到的地址用ping测试连通性。远程连接如果不通大概率就是这步没验证好。第三件事是更新系统到最新补丁yum update -y如果更新源配置有问题或者没有网络这一步会报错。出错时先排查网络再看/etc/yum.repos.d/里的仓库配置。6.2 固定IP的核心nmcli命令服务器是不可能靠DHCP过日子的DHCP分配的IP一旦变化你写好的连接地址、外部的访问配置全部失效。CentOS 7用NetworkManager管理网络命令行工具是nmcli。设置固定IP时可以先查看当前网卡名称通常是ens33或ens192nmcli connection show然后修改这块网卡的连接配置把ipv4.method从auto改成manual并填入IP、网关和DNSnmcli connection modify ens33 ipv4.addresses 192.168.1.100/24 nmcli connection modify ens33 ipv4.gateway 192.168.1.1 nmcli connection modify ens33 ipv4.dns 223.5.5.5 nmcli connection modify ens33 ipv4.method manual nmcli connection up ens33执行完ip addr检查IP是否变成你设定的值。如果不生效可能是网卡名称或NetworkManager服务状态的问题先systemctl status NetworkManager查服务再确认网卡名是否匹配。这一套配置流程搞明白网络这块就打牢基磐了。6.3 防火墙与SELinux的初期取舍CentOS 7默认开启了firewalld和SELinux这是默认安全机制。新手装完第一时间可能因为SSH连不上或者复制文件被拒绝就想着“先关了”我建议分场景来看。firewalld主要管理端口放行装完系统后如果不放行对应服务端口外部请求就会被拦下来。用命令行放行指定端口firewall-cmd --permanent --add-port8080/tcp firewall-cmd --reload对想先快速跑通业务的人来说直接停掉firewalld也听过很多次systemctl stop firewalld systemctl disable firewalld但生产环境不建议长期把防火墙停掉安全边界少一道风险高一分。这个决定权在你但至少你要知道默认防火墙在拦你而不是瞎猜“为什么端口通了却连不上”。SELinux是更底层一点的强制访问控制机制。遇到文件服务、自定义目录权限导致服务起不来的时候很多人第一反应是setenforce 0临时关掉这样确实能快速跳过问题但不能从根本解决问题。建议先查/var/log/audit/audit.log里的SELinux拦截日志有时间就学一下chcon或semanage fcontext去修正策略标签。把SELinux从enforcing改成disabled属于放弃治疗能临时解决但长期看不利于学习。7. 一次生产环境安装后的教训别急着交工最后补充一个真实发生过很多次的情况。某次我帮某公司重装一台旧服务器镜像、启动盘、分区全都很顺利装完系统也重启成功当时我们准备把服务器挂进机柜。结果第二天早上业务方反馈服务异常登录一看网卡乱序了。起因是这台机器有双网卡装系统时第一块网卡的顺序由主板的物理插槽决定但重装后系统根据内核枚举顺序重新分配接口名原本配置好的网卡1变成了网卡2。其实这套机制可以通过配置udev规则来手工指定稳定的网卡名称但当时没提前处理重启后才发现。所以我的经验是生产机器的安装收尾阶段一定要把“重启后再验证一次”当成标准流程。装完系统只是第一步重启后网卡是否还在、服务是否自动拉起、分区挂载是否正常这些都需要观察一轮才能放心交接。顺手也可以把/etc/fstab里的UUID挂载信息对比一遍避免以后插拔磁盘导致挂载错乱。顺便多说一个关于安装的小习惯安装完成后把当时的安装日志、分区方案、网卡配置截图存一份到内部文档里。今后这台机器或者同样型号的再装系统时照着这份记录来能节约非常多排查的时间。这个习惯不算什么技术亮点但越到后面越觉得值。