CentOS 7 在 2024 年 6 月 30 日正式停止维护了这意味着 CentOS 官方仓库里的所有软件包都停止更新而且官方源从 2024 年 8 月开始陆续迁移到 vault.centos.org 归档站点。很多还在生产环境里跑着 CentOS 7 的朋友某天突然执行yum update发现提示 404或者下载软件包直接失败才意识到需要马上处理 yum 源的问题。这篇文章就来完整梳理 CentOS 7 更换 yum 源的整套流程为什么要换、怎么选源、替换的完整步骤、常见报错怎么排查、以及几个平时没人提醒的坑。不管你是刚接触 Linux 的新手还是被 EOL 折腾到想骂人的老运维照着下面的思路操作基本都能把源的问题一次性解决。1. 先把原理搞清楚yum 源到底是什么1.1 yum 的工作机制yum全称 Yellowdog Updater Modified是 CentOS 7 默认的软件包管理器。它的核心工作机制说简单也简单你执行yum install或者yum update的时候yum 会读取本地配置的仓库地址也就是 yum 源去远程服务器上获取软件包的元数据包括包名、版本号、依赖关系等然后根据这些元数据计算出需要安装哪些软件包以及依赖包最后依次下载并安装。yum 源配置文件放在/etc/yum.repos.d/目录下文件后缀必须是.repo。系统启动时会读取这个目录下所有.repo文件把它们合并成一个可用仓库列表。所以更换 yum 源本质就是修改这些.repo文件里的地址。1.2 为什么 CentOS 7 必须换源CentOS 7 停止维护EOL之后官方仓库发生了这些变化官方源停止更新mirror.centos.org上的 CentOS 7 仓库不再推送任何新软件包安全漏洞也不再修补。仓库内容被迁移并删除旧仓库地址会先重定向到vault.centos.org但 vault 站点上的历史版本也只保留一段时间。到 2024 年 8 月之后大量旧地址直接返回 404。epel 源同样受影响EPELExtra Packages for Enterprise Linux仓库虽然还在维护但它的基础依赖会引用 CentOS 官方源官方源不可用之后EPEL 源在中国大陆的网络环境中同样大面积失效。也就是说不换源的话你面临的问题不只是“装不了新软件”还包括“已有的 yum 操作全部报错”“系统无法通过 yum 安装任何依赖包”。对于生产环境来说这就是必须马上解决的故障。提示如果你的 CentOS 7 系统已经完全不打算通过 yum 安装软件只跑现有服务理论上也可以不换源。但只要你某天想装一个补丁包、装个 Nginx 或者 PHP 扩展yum 源就是绕不过去的坎。1.3 换源前必须了解的兼容性CentOS 7 的软件包目录结构和发行版本对应关系是固定的不同的镜像源只是文件存储位置不同软件包内容是完全一致的都是 CentOS 官方编译好的 RPM。所以换源不存在“兼容性问题”你只需要保证两件事.repo文件中写的 baseurl 地址里的系统版本号7和7.9.2009和你的系统匹配。仓库地址实际存在不是空目录或者已经 404。这也是很多一键换源脚本的原理它做的事情无非是下载一套新的.repo文件再把原来的Base.repo、Extras.repo、Updates.repo等文件清理掉或改为只读备份。2. 换源前准备备份、确认、排查2.1 系统版本确认很多人在换源时忽略了一个细节先搞清楚自己的 CentOS 7 具体是哪个小版本。虽然大版本都是 7但 7.2、7.9 的软件包会有细微差异仓库路径也可能不同。执行以下命令确认cat /etc/redhat-release uname -a输出类似CentOS Linux release 7.9.2009 (Core)就是正常的。绝大多数换源脚本都会根据这个来判断仓库路径是否正确。另外要确认系统架构arch一般是x86_64。如果你用的是 ARM 架构的服务器比如鲲鹏、飞腾那么 baseurl 里对应的系统架构也应该写aarch64而不是x86_64。这一点在我接触过的换源教程里几乎都没提但实际踩坑的人非常多。2.2 检查现有 yum 配置在动手改配置之前先看一眼当前系统的 yum 源状态yum repolist如果显示repolist: 0说明没有任何可用仓库这是最典型的情况。如果报错Cannot find a valid baseurl for repo: base/7/x86_64说明仓库地址已经失效返回 404。2.3 网络连通性排查这里要专门提一个热搜词里出现的场景“centos7 无法 ping 通百度”。很多朋友一看这句描述就直接下结论说网络不通然后去折腾网卡其实多数组网环境下 ping 不通和 yum 源不可用是两回事。ping 不通公网域名先确认 DNS 配置是否正确cat /etc/resolv.conf里有没有可用的 nameserver。ping 不通 IP用ping 223.5.5.5阿里 DNS或ping 114.114.114.114测试。如果 IP 能通、域名不通那就是 DNS 的问题。yum 源 404 但网络通这种情况属于官方源迁移后地址失效直接换源即可不用去排查网卡。2.4 备份现有配置换源之前务必备份原来的.repo文件这不是做样子而是真正的保险措施。万一新源出了问题你可以快速恢复原状。mkdir -p /etc/yum.repos.d/backup cp -a /etc/yum.repos.d/*.repo /etc/yum.repos.d/backup/或者更简单一些直接移动mkdir -p /etc/yum.repos.d/backup mv /etc/yum.repos.d/*.repo /etc/yum.repos.d/backup/注意我选择了mv而不是cp因为替换源的时候最好让目录下只保留一套新的.repo文件否则多个仓库文件里如果有互相冲突的配置会导致后面排查起来非常痛苦。3. 主流镜像源的选择与替换实操3.1 三个主流源怎么选CentOS 7 在国内比较常用的镜像源有三个阿里云、清华 TUNA、中科大 USTC。另外网易 163 也有但实际用下来更新频率和稳定性略逊一筹所以我不太推荐。镜像源地址优势适合场景阿里云mirrors.aliyun.com国内访问速度好阿里云 ECS 用户推荐一般服务器、云主机清华 TUNAmirrors.tuna.tsinghua.edu.cn高校背景同步及时稳定性好教育网、科研环境中科大 USTCmirrors.ustc.edu.cn内容全含 EPEL、SCL 等扩展仓库需要第三方源较多的环境选源的时候注意一点不要反复换来回比速度选一个能用、速度快、稳定的就行。因为换源的过程本质是把.repo文件里的地址改掉换来换去反而容易搞乱。3.2 阿里云源替换完整步骤我把替换过程写成一步一步可以直接执行的命令。第一步先备份原有 repomkdir -p /etc/yum.repos.d/backup mv /etc/yum.repos.d/*.repo /etc/yum.repos.d/backup/第二步下载阿里云的 CentOS 7 repo 文件curl -o /etc/yum.repos.d/CentOS-Base.repo https://mirrors.aliyun.com/repo/Centos-7.repo如果curl命令报错可以先安装这里需要临时用到系统自带的源不一定可用也可以用wget。如果 wget 和 curl 都没有可以手动用 vim 创建文件把下面内容写进去[base] nameCentOS-$releasever - Base - aliyun baseurlhttp://mirrors.aliyun.com/centos/$releasever/os/$basearch/ gpgcheck1 gpgkeyhttp://mirrors.aliyun.com/centos/RPM-GPG-KEY-CentOS-7 [updates] nameCentOS-$releasever - Updates - aliyun baseurlhttp://mirrors.aliyun.com/centos/$releasever/updates/$basearch/ gpgcheck1 gpgkeyhttp://mirrors.aliyun.com/centos/RPM-GPG-KEY-CentOS-7 [extras] nameCentOS-$releasever - Extras - aliyun baseurlhttp://mirrors.aliyun.com/centos/$releasever/extras/$basearch/ gpgcheck1 gpgkeyhttp://mirrors.aliyun.com/centos/RPM-GPG-KEY-CentOS-7这里你可能会问为什么 baseurl 里用的是$releasever和$basearch这种变量而不是直接写7和x86_64因为 yum 在读取配置时会自动把$releasever替换成系统的 release 版本号从/etc/redhat-release读取把$basearch替换成系统架构。这样一份配置文件可以同时适配多种环境这也是官方源默认的写法。第三步清理缓存并重新生成yum clean all yum makecacheyum clean all会清空/var/cache/yum下的缓存文件。这一步必须做。因为旧的缓存里存的是失效仓库的数据不清理的话即使换了新源yum 可能还是去读旧缓存导致报错。第四步验证yum repolist正常输出会显示 base、updates、extras 三个仓库数量几百到几千不等。只要能列出仓库数量就说明换源成功。3.3 清华源替换完整步骤清华源的 CentOS 7 repo 文件可以这样获取mv /etc/yum.repos.d/*.repo /etc/yum.repos.d/backup/ curl -o /etc/yum.repos.d/CentOS-Base.repo https://mirrors.tuna.tsinghua.edu.cn/help/centos/不过清华源的帮助页返回的是一个 HTML 页面而不是直接的 repo 文件直接用 curl 存下来会有问题。稳妥的做法是手动创建vim /etc/yum.repos.d/CentOS-Base.repo写入以下内容[base] nameCentOS-$releasever - Base baseurlhttps://mirrors.tuna.tsinghua.edu.cn/centos/$releasever/os/$basearch/ gpgcheck1 gpgkeyhttps://mirrors.tuna.tsinghua.edu.cn/centos/RPM-GPG-KEY-CentOS-7 [updates] nameCentOS-$releasever - Updates baseurlhttps://mirrors.tuna.tsinghua.edu.cn/centos/$releasever/updates/$basearch/ gpgcheck1 gpgkeyhttps://mirrors.tuna.tsinghua.edu.cn/centos/RPM-GPG-KEY-CentOS-7 [extras] nameCentOS-$releasever - Extras baseurlhttps://mirrors.tuna.tsinghua.edu.cn/centos/$releasever/extras/$basearch/ gpgcheck1 gpgkeyhttps://mirrors.tuna.tsinghua.edu.cn/centos/RPM-GPG-KEY-CentOS-7然后同样执行yum clean all yum makecache。3.4 中科大源的替换中科大的源地址是mirrors.ustc.edu.cn/centos/。配置方式类似这里不再重复写 repo 文件内容只提醒一点中科大的源默认支持 http 和 https 两种访问方式gpgkey路径写https://mirrors.ustc.edu.cn/centos/RPM-GPG-KEY-CentOS-7是没问题的。3.5 一键换源脚本如果你管理的机器比较多一台台手动改太浪费时间。我分享一个自己常用的一键脚本基于阿里云源你可以根据实际情况改一下源地址#!/bin/bash # CentOS 7 一键换阿里云源 # 使用前确认系统为 CentOS 7 if [ $(id -u) -ne 0 ]; then echo 请以 root 身份运行 exit 1 fi mkdir -p /etc/yum.repos.d/backup mv /etc/yum.repos.d/*.repo /etc/yum.repos.d/backup/ 2/dev/null curl -o /etc/yum.repos.d/CentOS-Base.repo https://mirrors.aliyun.com/repo/Centos-7.repo if [ $? -eq 0 ]; then yum clean all yum makecache yum repolist else echo 文件下载失败请检查网络后重试 fi这个脚本的逻辑不复杂但有几个细节要注意开头判断用户是否为 root避免权限不足导致半途失败。mv时加了2/dev/null因为可能没有.repo文件可以移动报错信息会干扰判断。脚本结束前执行yum repolist做验证不用再手动跑一遍。4. 扩展场景EPEL 源、本地源与第三方源4.1 EPEL 源的替换EPEL 仓库对 CentOS 7 来说非常重要很多软件如 Nginx、Redis、Certbot都在 EPEL 里。但 EPEL 源地址同样受到官方源迁移的影响需要同步替换。以阿里云 EPEL 源为例curl -o /etc/yum.repos.d/epel.repo https://mirrors.aliyun.com/repo/epel-7.repo清华源的 EPEL 是curl -o /etc/yum.repos.d/epel.repo https://mirrors.tuna.tsinghua.edu.cn/help/epel/同样清华源的帮助页返回的是 HTML需要手动处理。我建议直接写[epel] nameExtra Packages for Enterprise Linux 7 - $basearch baseurlhttps://mirrors.tuna.tsinghua.edu.cn/epel/7/$basearch failovermethodpriority gpgcheck1 gpgkeyhttps://mirrors.tuna.tsinghua.edu.cn/epel/RPM-GPG-KEY-EPEL-7替换完成后同样要yum clean all yum makecache。4.2 本地 yum 源配置本地 yum 源常用于离线环境。思路是准备一台能联网的机器下载所有需要的 RPM 包拷贝到内网机器上再把内网机器的 yum 源指向本地目录。配置方法很简单mkdir -p /mnt/localrepo # 把 RPM 包放到 /mnt/localrepo 目录下 createrepo /mnt/localrepo然后创建/etc/yum.repos.d/local.repo[localrepo] nameLocal Repository baseurlfile:///mnt/localrepo enabled1 gpgcheck0注意baseurl的格式本地路径必须写成file://加绝对路径。这一步我见过太多人写错少了file://前缀直接导致 yum 无法识别。createrepo命令如果没安装需要先通过 yum 安装yum install -y createrepo如果是完全离线的机器你需要先从其他机器下载createrepo的 RPM 包再手动安装。这里会用到 rpm 安装的依赖处理如果你发现依赖很多直接用yum install是最省事的。注意本地源一般设置gpgcheck0因为本地的 RPM 包来源是自己或内部团队校验 GPG 的意义不大。如果坚持开启 gpgcheck需要用rpm --import导入对应的公钥。4.3 其他常见第三方源除了 EPELCentOS 7 常用的还有 SCLSoftware Collections、IUS、Remi 等源。这些源通常也需要修改 baseurl 指向国内镜像。以 SCL 源为例阿里云上有对应的地址curl -o /etc/yum.repos.d/CentOS-SCLo.repo https://mirrors.aliyun.com/repo/centos-sclo.repo这个源主要用来装高版本的开发工具比如 Python 3.8、MySQL 5.7、PostgreSQL 等。如果你只是日常使用不需要装这些可以暂时不配 SCL。4.4 源替换后的软件安装验证源换完之后实际验证环节也值得单独说说。很多人跑完yum makecache觉得没问题就走了直到某天真正yum install时才暴露问题。我建议你在换源后顺手装一个小包验证完整流程是否可用yum install -y xdotool为什么选 xdotool因为热搜词里正好有yum install xdotool。这个包本身很小依赖也很少非常适合做安装验证。如果你装完之后发现它能正常安装说明 base 源的下载、解析、依赖处理都没问题。如果你还需要验证 EPEL 源可以试着安装一个相对大一点的包比如yum install -y htophtop 在 EPEL 里能装成功就说明 EPEL 源也正常。另外建议顺手验证一下yum update是否可用yum update -y这里有个坑yum update 会把系统里所有已安装软件包升级到仓库中的最新版本。在 CentOS 7 停服之后镜像源的版本是“冻结”的但你本地的系统如果之前没更新过yum update 会一次性拉很多包。生产环境建议不要直接在业务高峰期跑 yum update而是要规划时间窗口同时提前做好备份。5. 常见问题与排查技巧5.1 换源后报错汇总我把实际操作中遇到的典型问题整理成一张速查表方便你按图索骥。报错/现象原因解决方法Cannot find a valid baseurl for repo: base/7/x86_64仓库地址 404源已失效重新配置 baseurl指向可用镜像Downloading Packages: 警告:/var/cache/yum/x86_64/7/centos-sclo-rh/packages/r...下载过程中缓存目录写入失败或中断yum clean all后重新 makecache检查 /var/cache/yum 是否存在Could not resolve host: mirror.centos.org网络 DNS 无法解析或源地址失效更换域名或者检查 DNS 配置[Errno 14] HTTPS Error 404 - Not Foundbaseurl 路径不匹配确认路径中系统版本号、架构是否正确Public key for xxx.rpm is not installedGPG 公钥未导入或配置错误将 gpgcheck 改为 0或导入对应源的 GPGKEYPackage xxx is not available仓库中不存在该软件包确认是否配置了对应扩展源EPEL、SCL5.2 缓存目录警告处理热搜词里有一条很典型的报错downloading packages: 警告:/var/cache/yum/x86_64/7/centos-sclo-rh/packages/r。这个报错的本质是 yum 下载软件包时写入缓存目录失败或者缓存目录被部分清理。最直接的解决方式rm -rf /var/cache/yum/* yum clean all yum makecache yum install -y 软件包名rm -rf /var/cache/yum/*这个操作可能会有人觉得太粗暴但说实话在 yum 源已经失效的情况下缓存里存的基本都是无效数据清掉没有任何风险。这也是 CentOS 官方文档里建议的标准处理方式。5.3 换源后仍然 404我遇到过一种情况阿里云源文件下载成功后yum repolist依然报 404。排查后发现原因是原来/etc/yum.repos.d/里残留了一个CentOS-SCLo-scl-rh.repo文件里面的 baseurl 指向的还是官方地址这个文件没有被清理干净。所以再次提醒换源前用mv /etc/yum.repos.d/*.repo /etc/yum.repos.d/backup/把所有旧文件都移动走只保留新写入的文件。5.4 GPG 校验错误的处理gpgcheck1时如果系统导入的 GPG 密钥和仓库不一致会在 makecache 或安装软件包时报错。解决思路有两个方法一把对应.repo文件里的gpgcheck1改成gpgcheck0。在国内内网环境这是比较多见的做法因为源本身是可信的。方法二重新导入正确的公钥。比如阿里云源rpm --import http://mirrors.aliyun.com/centos/RPM-GPG-KEY-CentOS-75.5 防火墙和代理问题如果你的服务器在比较严格的网络环境中比如有出站白名单可能遇到 yum 可以下载元数据但下载 RPM 包时中断的情况。这时候检查两个方面iptables -L -n或firewall-cmd --list-all确认出站规则。如果走 HTTP 代理确认/etc/yum.conf中的proxy配置是否正确。yum 默认不会读取环境变量http_proxy必须在 yum 主配置文件中显式设置。proxyhttp://proxy.example.com:8080 proxy_usernameuser proxy_passwordpass5.6 换源过程中误操作恢复如果换到一半发现新源也不可用或者配置文件写错了最快的恢复方式是使用之前的备份rm -f /etc/yum.repos.d/*.repo mv /etc/yum.repos.d/backup/*.repo /etc/yum.repos.d/ yum clean all yum makecache如果你的备份目录也不小心被清掉了还有一条后路CentOS 官方把最终版的所有仓库镜像都归档到了 vault.centos.org你可以手动指向这个站点。但 vault 站的下载速度在国内一般属于“能用但不快”的状态。顺手贴一个 vault 源配置模板[base] nameCentOS-$releasever - Base baseurlhttps://vault.centos.org/7.9.2009/os/$basearch/ gpgcheck0 [updates] nameCentOS-$releasever - Updates baseurlhttps://vault.centos.org/7.9.2009/updates/$basearch/ gpgcheck0 [extras] nameCentOS-$releasever - Extras baseurlhttps://vault.centos.org/7.9.2009/extras/$basearch/ gpgcheck0这里我特意把gpgcheck设置成 0因为 vault 是一个归档站点密钥文件是否长期保留有不确定性。5.7 多台机器批量换源如果你手里有几十台 CentOS 7不想一台台登录操作可以用pssh或ansible批量执行。我比较常用的是 ansibleplaybook 写起来很直观- hosts: all become: yes tasks: - name: backup old repo files shell: mkdir -p /etc/yum.repos.d/backup mv /etc/yum.repos.d/*.repo /etc/yum.repos.d/backup/ - name: download new repo file get_url: url: https://mirrors.aliyun.com/repo/Centos-7.repo dest: /etc/yum.repos.d/CentOS-Base.repo - name: clean yum cache shell: yum clean all yum makecache这个 playbook 的逻辑也参考了“换源脚本”的思路但用 ansible 跑起来更规模化。实际执行前建议先落一两台机器做试点确认没问题再全量铺开。6. 几个实操心得与细节补充换源这个操作本身不难难的是在不同环境下把细节处理到位。最后分享几个我踩过坑之后总结出来的心得。第一千万别在 yum 源配置里同时开启两个不同厂商的仓库作为同一软件包来源。比如你配置了阿里云的 base 源又在另一个.repo文件里配置了清华的 base 源表面看“双保险”实际上 yum 会随机或按优先级选择一个仓库来安装软件包如果两边版本号不一致轻则反复提示依赖冲突重则装到一半报错。第二yum makecache的时间比想象中长。首次生成缓存需要下载仓库里所有软件包的元数据这个量级通常在几十 MB 到几百 MB 不等。如果你网速一般看到卡在某个进度条不要急着中断多等一会儿。我当时在一台带宽 1Mbps 的机器上换源makecache 跑了将近二十分钟。第三如果系统里同时有 EPEL 源和官方源而且都要换我建议先换官方源、makecache 成功后再换 EPEL。因为 EPEL 的部分包依赖了官方源的软件包如果两个源同时是失效状态可能会在依赖解析阶段报错干扰排查。第四别忘了/etc/yum.conf里的keepcache参数。默认值是 0也就是安装完成后会自动删除缓存的 RPM 包。如果你希望保留下载的软件包比如为了搭建本地源把keepcache1打开所有安装过的 RPM 都会留在/var/cache/yum/目录下。我之前搭离线安装环境的时候就是靠这个配置攒出了一套完整的本地 RPM 包集合后面在内网机器上安装软件就再也不用到处找包了。最后再提一个很多人忽略的点换源之后最好重启一次系统或者至少重启一下相关服务再观察一段时间。虽然 yum 不会因为换源而崩溃但如果有 cron 任务或监控脚本依赖 yum 做定时更新换完源后它们的行为可能和之前不一样比如缓存更新的频率、日志输出路径等。重启的作用不是让配置生效而是让所有依赖 yum 的服务在一个干净的状态下重新初始化避免某些进程持有旧的仓库句柄导致后续操作异常。CentOS 7 已经走进了生命周期终点但对还在使用的朋友来说yum 源替换这件事只要做对一次后续维护就会顺畅很多。希望这份经验能帮你少走一点弯路。