银河麒麟系统 OpenSSH 升级至 10.x 实战避坑指南 银河麒麟系统 OpenSSH 升级至 10.x 实战避坑指南⚠️ 核心警告（操作前必读）绝对不要关闭当前的 SSH 连接窗口！ 必须保留一个已登录的旧会话作为“救生艇”，直到新终端测试连接成功为止，否则一旦配置错误将导致服务器失联。银河麒麟特性： 在重启 SSH 服务前必须执行 systemctl daemon-reload，否则会出现服务状态异常或配置不生效的提示。PAM 认证模块变更： 从 OpenSSH 10 以下版本升级，必须修改 PAM 加密模块配置（pam_stack.so 已被废弃），这是导致“密码正确却提示 Failed password”的通用致命错误。第一步：升级前准备与备份在操作前，务必备份当前的 SSH 配置文件，以便在出现问题时快速回滚。# 备份 sshd 配置文件 sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak.$(date +%F) # 进入 RPM 包所在目录（假设放在 /root/openssh/） cd /root/openssh/第二步：执行 RPM 升级使用 rpm 命令直接进行升级安装：sudo rpm -Uvh openssh-*.rpm第三步：修复 Host Key 权限（必做）OpenSSH 10.x 对安全性要求极高，如果主机密钥（Host Key）权限过于宽松，sshd 将直接拒绝启动。执行以下命令修正权限和属主：# 1. 确保私钥权限为 600 chmod 600 /etc/ssh/ssh_host_rsa_key chmod 600 /etc/ssh/ssh_host_ecdsa_key chmod 600 /etc/ssh/ssh_host_ed25519_key # 2. 确保对应的公钥权限为 644 chmod 644 /etc/ssh/ssh_host_rsa_key.pub chmod 644 /etc/ssh/ssh_host_ecdsa_key.pub chmod 644 /etc/ssh/ssh_host_ed25519_key.pub # 3. 确保属主正确 chown root:root /etc/ssh/ssh_host_*_key /etc/ssh/ssh_host_*_key.pub第四步：清理废弃配置项 (sshd_config)OpenSSH 10 彻底移除了对 SSHv1 协议及相关古老加密算法的支持。旧配置文件中的某些选项会导致 sshd 报错。💡 避坑经验：报错提示的行号（如 155行、157行）并不固定。不要盲目按行号删除，一定要用 sshd -t 命令动态查看报错。# 测试配置文件是否有语法错误或废弃选项 sudo sshd -t常见报错及修复方法：报错 1： /etc/ssh/sshd_config line 157: Deprecated option RhostsRSAAuthenticationsudo sed -i '/^RhostsRSAAuthentication/d' /etc/ssh/sshd_config报错 2： /etc/ssh/sshd_config line 155: Deprecated option RSAAuthenticationsudo sed -i '/^RSAAuthentication/d' /etc/ssh/sshd_config修复后，再次执行 sudo sshd -t，如果没有任何输出，则说明配置文件已完全合法。第五步：重载配置与启动服务（麒麟系统关键步）在银河麒麟系统中，由于 systemd 单元文件或 init 脚本发生了变更，必须重载 daemon 配置。# 1. 重载 systemd 管理器配置（银河麒麟必做！） sudo systemctl daemon-reload # 2. 启动/重启 sshd 服务 sudo systemctl restart sshd.service # 3. 查看服务运行状态 sudo systemctl status sshd.service确认状态为 active (running) 且 22 端口正常监听。第六步：修复 PAM 认证模块（🔥 核心重点）这是从 10 以下版本升级必须修改的部分！旧版系统使用 pam_stack.so，而该模块在现代系统中已被移除。如果不修复，查看日志（journalctl -xeu sshd）会看到 PAM unable to dlopen(/usr/lib64/security/pam_stack.so)，导致即使密码正确也无法登录。# 1. 备份旧的 PAM 配置 sudo cp /etc/pam.d/sshd /etc/pam.d/sshd.bak.$(date +%F) # 2. 写入 OpenSSH 10 兼容的标准 PAM 配置 sudo tee /etc/pam.d/sshd << 'EOF' #%PAM-1.0 auth required pam_sepermit.so auth substack password-auth auth include postlogin account required pam_nologin.so account include password-auth password include password-auth session required pam_selinux.so close session required pam_loginuid.so session optional pam_keyinit.so force revoke session include password-auth session include postlogin session required pam_selinux.so open env_params EOF第七步：最终验证1. 验证版本：ssh -V预期输出应包含 OpenSSH_10.x 字样。2. 验证连接（关键）：新开一个终端窗口，尝试 SSH 登录服务器。如果能成功输入密码并进入系统 $\rightarrow$ 升级成功。如果提示 Permission denied 或连接断开 $\rightarrow$ 立即回到保留的旧终端窗口，检查 /etc/pam.d/sshd 内容是否写入正确，或恢复备份文件。📝 总结与排错心得关于报错行号： sshd -t 报出的行号只是参考，核心是看它提示 Deprecated option 后面的参数名，用 sed 精准删除即可。关于通用错误： pam_stack.so 缺失是跨大版本升级的“通用错误”，只要是从低版本升到 10.x，这个 PAM 配置文件必须替换。关于 systemctl 警告： 如果启动时提示 Warning: The unit file... changed on disk，不要慌，这只是提醒你执行 systemctl daemon-reload，执行后重启服务即可消除。底线原则： 只要不关闭老的 SSH 会话，哪怕配置改错了、服务起不来，你依然有权限在旧窗口里把备份文件还原，从容救场。

Ungoogled Chromium Binaries 离线部署实战指南 Ungoogled Chromium Binaries 离线部署实战指南—— 跨发行版、多架构服务器环境下的"绿色版"精准获取与使用1. 为什么选择 Ungoogled Chromium Binaries？在离线、多发行版（EulerOS / Kylin / Ubuntu）、多版本且混合架构（x86_64 + ARM64）的服务器环境中部署 Chrome，官方 .deb/.rpm 包因对 glibc、NSS、GTK 等系统库的严格版本锁定而完全不可用。Ungoogled Chromium Binaries 是 ungoogled-software/ungoogled-chromium 主仓库官方推荐的预编译二进制分发页面。它专门解决了以下核心痛点：零/低系统依赖：Portable（便携）版本静态链接了大部分运行时库，不绑定特定版本的 glibc，真正实现"解压即用"。双架构全覆盖：同时提供 x86_64 和 aarch64 (ARM64) 构建，完美适配信创鲲鹏/飞腾及传统 Intel/AMD 服务器。去 Google 化：移除了所有 Google 私有服务、追踪器和 API 依赖，符合内网及信创环境的安全合规要求。免 Root 权限：无需系统级安装，普通用户即可运行，避免污染宿主系统环境。⚠️ 安全声明该页面的二进制由社区贡献者构建，非可重现构建（non-reproducible）。若用于高安全合规环境，建议在隔离环境中自行从源码审计构建。对于一般内网服务器自动化、渲染、截图等场景，此方案是当前兼容性最优解。2. 读懂下载页：没有搜索框，如何找到"绿色版"？很多用户首次打开该页面时会困惑：没有搜索框，也没有"绿色版/安装版"的中文标签。这是因为该页面遵循开源社区惯例，按 平台 + 架构 + 构建类型 分类。你需要建立以下概念映射：页面表格中的名称实际含义对应 Windows 概念是否推荐离线多系统环境Portable Linux 64-bit解压后直接运行的 tar.xz 包，自带依赖库✅ 真·绿色版强烈推荐Linux AppImage 64-bit自包含的 .AppImage 单文件✅ 绿色版推荐（仅 x86_64）Portable Linux 64-bit (musl)针对 Alpine/Void 等轻量系统的静态构建✅ 超级绿色版老旧系统兜底Debian/Ubuntu (unportable).deb 包，需 dpkg 安装，强依赖系统库❌ 安装版绝对不要用Fedora/RHEL (unportable).rpm 包，需 rpm 安装，强依赖系统库❌ 安装版绝对不要用💡 核心原则只认准 Portable 和 AppImage 字样。凡是带有 unportable、.deb、.rpm 后缀的，一律跳过。快速定位技巧页面为静态生成，无搜索功能。请使用浏览器 Ctrl+F 搜索以下关键词：x86_64 绿色版 → 搜索 Portable Linux 64-bitARM64 绿色版 → 搜索 Portable Linux 64-bit ARM 或 aarch64自包含单文件 → 搜索 AppImage3. 下载与离线部署全流程第一步：联网机下载访问 Ungoogled Chromium Binaries在表格中找到目标架构对应的 Portable 行，点击版本号链接（如 150.0.7871.128-1），跳转至 GitHub Release 页面。下载对应文件：目标架构文件名示例x86_64ungoogled-chromium-150.0.7871.128-1-linux-portable.tar.xzARM64ungoogled-chromium-150.0.7871.128-1-linux-arm64-portable.tar.xz务必同时下载中文字体（离线服务器无 CJK 字体必然乱码）：wget https://github.com/notofonts/noto-cjk/raw/main/Sans/SubsetOTF/SC/NotoSansSC-Regular.otf第二步：离线服务器部署将下载的文件通过 U 盘或内网传输至目标服务器后执行：# 1. 创建目录并解压（无需 root） mkdir -p /opt/chromium tar -xf ungoogled-chromium-*-portable.tar.xz -C /opt/chromium --strip-components=1 # 2. 放置字体 mkdir -p /opt/chromium/fonts cp NotoSansSC-Regular.otf /opt/chromium/fonts/ # 3. 赋予执行权限 chmod +x /opt/chromium/chrome # 4. 验证动态链接库完整性（应全部显示 found 或 static） ldd /opt/chromium/chrome第三步：运行测试/opt/chromium/chrome \ --headless=new \ --no-sandbox \ --disable-gpu \ --disable-dev-shm-usage \ --font-path=/opt/chromium/fonts \ --screenshot=/tmp/test.png \ https://example.com确认 /tmp/test.png 生成且中文渲染正常，即部署成功。4. 多架构统一启动脚本（生产环境推荐）在混合架构集群中，建议封装 wrapper 脚本自动适配，屏蔽底层差异：#!/bin/bash # /usr/local/bin/chrome-headless ARCH=$(uname -m) CHROME_DIR="/opt/chromium" FONT_DIR="${CHROME_DIR}/fonts" case "$ARCH" in x86_64) CHROME_BIN="${CHROME_DIR}/chrome-x86_64" ;; aarch64) CHROME_BIN="${CHROME_DIR}/chrome-aarch64" # ARM64 二进制缺失时回退到容器 if [ ! -f "$CHROME_BIN" ]; then exec docker run --rm \ -v "${FONT_DIR}:/usr/share/fonts/custom:ro" \ zenika/alpine-chrome \ --headless=new --no-sandbox --disable-gpu \ --disable-dev-shm-usage \ --font-path=/usr/share/fonts/custom \ "$@" fi ;; *) echo "Unsupported architecture: $ARCH" >&2 exit 1 ;; esac exec "$CHROME_BIN" \ --headless=new \ --no-sandbox \ --disable-gpu \ --disable-dev-shm-usage \ --font-path="$FONT_DIR" \ "$@"调用方式统一为：chrome-headless --screenshot=/tmp/output.png https://example.com5. 常见问题速查表问题现象根因解决方案GLIBC_2.xx not found宿主机 glibc 版本过低换用 musl Portable 构建，或使用容器方案中文显示方块/乱码缺少 CJK 字体添加 --font-path 指向 Noto Sans SC 或文泉驿字体Out of memory / 崩溃/dev/shm 空间不足必须加 --disable-dev-shm-usageRunning as root without --no-sandboxroot 用户运行加 --no-sandbox（容器内或 root 下必需）ARM64 无可用 Portable 构建社区未覆盖该架构使用 zenika/alpine-chrome ARM64 容器镜像替代ldd 显示大量 not foundPortable 版仍依赖少量系统库安装缺失基础库（如 libnss3），或换用完全静态构建6. 参考链接二进制下载页：https://ungoogled-software.github.io/ungoogled-chromium-binaries/主仓库（源码/补丁）：https://github.com/ungoogled-software/ungoogled-chromium容器替代方案：https://hub.docker.com/r/zenika/alpine-chromeCJK 字体下载：https://github.com/notofonts/noto-cjk

在联网机器上下载所有 RPM 包并在离线机器上安装所有软件 在联网机器上下载所有 RPM 包并在离线机器上安装所有软件下载1. 安装下载工具sudo dnf install -y dnf-utils2. 创建目录mkdir ~/openEuler-20.03-LTS-SP4 && cd ~/openEuler-20.03-LTS-SP43. 启用必要仓库（关键！）欧拉openEuler系统sudo dnf config-manager --set-enabled everything EPOLCentos8.5系统sudo dnf config-manager --set-enabled base AppStream3. 下载dnf download --resolve \ nginx \ redis \ docker \ java-1.8.0-openjdk \ java-1.8.0-openjdk-devel4. 验证ls -l *.rpm | wc -l5. 打包tar -czvf openEuler-24.03-LTS-x86_64.tar.gz *.rpm安装：1. 解压 RPM 包cd /tmp tar -xzvf offline-apps.tar.gz dnf deplist java-1.8.0-openjdk2. 安装所有软件（自动解决依赖顺序）sudo dnf install -y *.rpm# （如果系统只有 yum，没有 dnf，可用：） # sudo yum localinstall -y *.rpm3. 启动并启用服务sudo systemctl enable --now nginx sudo systemctl enable --now redis sudo systemctl enable --now docker4. 验证安装结果nginx -v # 应显示版本 redis-cli --version # 应显示版本 docker --version # 应显示版本 java -version # 应显示 OpenJDK 17 curl http://localhost # 应看到 nginx 欢迎页

构建离线 YUM 仓库：银河麒麟 V10 上构建 openEuler 25.03 离线 YUM 仓库 支持 openEuler 22.03 / 23.09 / 25.03 等多个版本，标准化命名，便于长期维护目标在银河麒麟 V10 系统上，通过解析 openEuler 官方仓库元数据，自动化采集、下载、打包指定版本的 RPM 包，并制作成 标准化命名的离线 YUM 仓库，支持✅ 多版本共存（22.03、23.09、25.03）✅ 多架构支持（aarch64、x86_64）✅ 多类型仓库（everything、baseos）✅ 标准化命名与目录结构✅ 离线部署一键配置环境准备操作系统：银河麒麟 V10（aarch64 或 x86_64）网络环境：当前机器可联网（用于下载）目标系统：openEuler / 银河麒麟 离线环境存储空间：≥ 10GB（建议使用 /data 分区）依赖工具：wget, zstd, createrepo_c, genisoimage（可选）命名规范（核心！避免混淆）为支持多版本管理，采用统一命名格式：openeuler-{version}-{repo_type}-{arch}.{format}字段示例值{version}22.03, 23.09, 25.03{repo_type}everything, baseos{arch}aarch64, x86_64{format}tar.gz, iso✅ 示例：含义文件名openEuler 25.03 Everything aarch64openeuler-25.03-everything-aarch64.tar.gzopenEuler 25.03 BaseOS x86_64openeuler-25.03-baseos-x86_64.tar.gzopenEuler 22.03 Everything aarch64openeuler-22.03-everything-aarch64.iso推荐目录结构 /data/openeuler-offline/ ├── 22.03/ │ └── openeuler-22.03-everything-aarch64.tar.gz ├── 23.09/ │ └── openeuler-23.09-everything-aarch64.tar.gz └── 25.03/ ├── openeuler-25.03-everything-aarch64.tar.gz └── openeuler-25.03-everything-aarch64.iso✅ 第一步：创建工作目录 VERSION="25.03" REPO_TYPE="everything" ARCH="aarch64" WORK_DIR="/data/openeuler-offline/${VERSION}/${REPO_TYPE}-${ARCH}" mkdir -p "$WORK_DIR" cd "$WORK_DIR"🔁 你可以修改 VERSION、REPO_TYPE、ARCH 来适配不同组合。✅ 第二步：下载 repomd.xml BASE_URL="https://repo.openeuler.org/openEuler-${VERSION}/${REPO_TYPE}/${ARCH}" wget "${BASE_URL}/repodata/repomd.xml" -O repomd.xml✅ 第三步：提取 primary.xml.zst 文件名PRIMARY_FILE=$(grep -A2 "primary" repomd.xml | grep "location href" | grep -o 'href="[^"]*"' | cut -d'"' -f2) echo "Primary XML: $PRIMARY_FILE"✅ 第四步：下载 primary.xml.zstwget "${BASE_URL}/repodata/${PRIMARY_FILE##*/}" -O primary.xml.zst✅ 第五步：解析出所有 RPM 包名 zstd -dc primary.xml.zst | \ grep -o 'location href="Packages/[^"]*\.rpm"' | \ sed 's/location href="Packages\///' | sed 's/"$//' | \ sort -u > rpm-list.txt # 验证 wc -l rpm-list.txt head rpm-list.txt✅ 第六步：批量下载所有 RPM 包 cat rpm-list.txt | xargs -I {} -P 8 \ wget -c --show-progress \ "${BASE_URL}/Packages/{}"⚠️ 如果网络不稳定，可改用 -P 4 减少并发。✅ 第七步：创建本地 YUM 仓库（生成元数据）1. 安装 createrepo_csudo dnf install -y createrepo_c || sudo yum install -y createrepo_c2. 生成 repodatacreaterepo_c .✅ 成功后会生成 repodata/ 目录。✅ 第八步：制作可移动离线包1. 创建离线包目录 OFFLINE_DIR="${WORK_DIR}/../openeuler-offline-repo" rm -rf "$OFFLINE_DIR" mkdir -p "$OFFLINE_DIR/repo" # 复制 RPM 和 repodata cp *.rpm "$OFFLINE_DIR/repo/" cp -r repodata "$OFFLINE_DIR/repo/"2. 创建一键配置脚本 setup-repo.sh cat > "$OFFLINE_DIR/setup-repo.sh" << 'EOF' #!/bin/bash # openEuler 离线仓库自动配置脚本 # 用法：chmod +x setup-repo.sh && ./setup-repo.sh set -e echo "🔍 正在查找仓库目录..." SCRIPT_DIR="$(cd "$(dirname "$0")" && pwd)" REPO_DIR="$SCRIPT_DIR/repo" if [ ! -d "$REPO_DIR" ]; then echo "❌ 错误：未找到 repo 目录，请确保 repo/ 在同一路径下" exit 1 fi echo "✅ 找到仓库目录：$REPO_DIR" # 转义路径中的 / 用于 sed REPO_DIR_ESCAPED=$(echo "$REPO_DIR" | sed 's/\//\\\//g') # 创建 YUM 源文件 cat > /etc/yum.repos.d/local-openeuler-offline.repo << REPOEOF [local-openeuler-offline] name=Local openEuler Offline Repository baseurl=file://$REPO_DIR_ESCAPED enabled=1 gpgcheck=0 priority=1 REPOEOF echo "✅ 已创建 YUM 源：/etc/yum.repos.d/local-openeuler-offline.repo" # 清理并重建缓存 sudo dnf clean all sudo dnf makecache echo "🎉 离线仓库配置成功！" echo "📦 你现在可以使用 dnf 安装软件，例如：" echo " dnf install nginx" echo " dnf install docker" echo " dnf groupinstall Base" EOF chmod +x "$OFFLINE_DIR/setup-repo.sh"3. 创建说明文档 README.txt cat > "$OFFLINE_DIR/README.txt" << EOF openEuler ${VERSION} ${REPO_TYPE} ${ARCH} 离线仓库 用途： 用于无网络环境下安装 openEuler 软件包。 使用方法： 1. 将整个目录复制到目标机器 2. 进入目录并运行：./setup-repo.sh 3. 即可使用 dnf 安装软件 注意事项： - 目标机器需为 openEuler 或银河麒麟 ${ARCH} - 需 root 权限运行 setup-repo.sh EOF✅ 第九步：打包为标准命名格式方式一：打包为 .tar.gz cd "$WORK_DIR" tar -czf "openeuler-${VERSION}-${REPO_TYPE}-${ARCH}.tar.gz" -C "$OFFLINE_DIR" .方式二：打包为 .iso（推荐用于分发） # 安装 genisoimage（若未安装） sudo dnf install -y genisoimage || sudo yum install -y genisoimage # 创建 ISO 工作目录 ISO_DIR="${WORK_DIR}/../openeuler-offline-iso" rm -rf "$ISO_DIR" mkdir -p "$ISO_DIR" cp -r "$OFFLINE_DIR"/* "$ISO_DIR/" # 生成 ISO genisoimage \ -o "openeuler-${VERSION}-${REPO_TYPE}-${ARCH}.iso" \ -r -J -l \ -V "OE${VERSION}_${REPO_TYPE^^}_${ARCH}" \ "$ISO_DIR/"✅ 第十步：拷贝到目标机器并使用1. 拷贝文件将生成的包拷贝到目标机器：scp openeuler-25.03-everything-aarch64.tar.gz user@target:/opt/2. 解压并配置 tar -xzf openeuler-25.03-everything-aarch64.tar.gz -C /opt cd /opt/openeuler-offline-repo sudo ./setup-repo.sh3. 验证 dnf list available | head -5 dnf install -y nginx #如果需要安装指定版本，请使用 dnf list available nginx #然后再进行安装指定版本✅ 批量构建脚本（可选）保存为 build-offline-repo.sh： #!/bin/bash # 用法：./build-offline-repo.sh 25.03 everything aarch64 tar.gz VERSION="$1" REPO_TYPE="$2" ARCH="$3" FORMAT="${4:-tar.gz}" [[ -z "$VERSION" || -z "$REPO_TYPE" || -z "$ARCH" ]] && { echo "用法：$0 <version> <repo_type> <arch> [format]" echo "示例：$0 25.03 everything aarch64 tar.gz" exit 1 } WORK_DIR="/data/openeuler-offline/${VERSION}/${REPO_TYPE}-${ARCH}" mkdir -p "$WORK_DIR" cd "$WORK_DIR" echo "🚀 开始构建 openEuler ${VERSION} ${REPO_TYPE} ${ARCH}" # （此处插入上述完整流程命令，略） echo "✅ 构建完成：openeuler-${VERSION}-${REPO_TYPE}-${ARCH}.${FORMAT}"✅ 最终成果示例 /data/openeuler-offline/25.03/ ├── openeuler-25.03-everything-aarch64.tar.gz ├── openeuler-25.03-everything-aarch64.iso ├── openeuler-25.03-baseos-aarch64.tar.gz └── 20250405-build.log📌 总结步骤输出采集包名rpm-list.txt下载 RPM*.rpm生成元数据repodata/打包输出openeuler-{ver}-{type}-{arch}.tar.gz 或 .iso目标使用./setup-repo.sh

OpenEuler离线部署Redis、Nginx 前言OpenEuler虽然是基于Linux，和CentOS很像，但是其内部还是有很大差别，尤其是基础组件像gcc这，故直接拿CentOS中的组件去安装可能会出问题在开发环境，服务器可以连外网，很多组件可以直接yum安装，各种依赖包会自动安装好但在项目现场，如果服务器在内网无法访问Internet，就很棘手了，这时只能准备rpm包一个个去安装安装包下载地址OpenEuler镜像站罗列（推荐使用华为的官方镜像），基于OpenEuler 22.03 LTS SP3版本华为开源镜像站：https://mirrors.huaweicloud.com/openeuler/openEuler-22.03-LTS-SP3/everything/x86_64/Packages/华中科技大学镜像站：https://mirrors.hust.edu.cn/openeuler/openEuler-22.03-LTS-SP3/everything/x86_64/Packages/中国科学技术大学镜像站：https://mirrors.ustc.edu.cn/openeuler/openEuler-22.03-LTS-SP3/everything/x86_64/Packages/官方：https://easysoftware.openeuler.openatom.cn/zh/rpm?name=nginx准备安装包下载这些基础包：redis安装执行命令rpm -ivh /opt/redis6-6.2.7-3.oe2203sp3.x86_64.rpmnginx安装执行命令rpm -ivh /opt/nginx-1.21.5-6.oe2203sp3.x86_64.rpm重要事项没把握的话，千万不要用下面这个命令，这个命令会忽略依赖和兼容性，可能会导致基础组件被卸载掉。rpm -Uvh *.rpm --nodeps --force