离线安装安全补丁的核心是全程前置管控：在有网跳板机上精准获取可信二进制补丁包，严格校验签名与哈希，预检依赖并打包，再于目标机执行安装、多层验证（包注册、grub条目、cve覆盖）及可控重启。
离线环境安装安全补丁，核心不是“装上就行”，而是确保补丁来源可信、依赖完整、应用准确、效果可验。没有网络，就不能依赖自动更新机制，必须把整个补丁生命周期——下载、校验、分发、安装、验证——全部前置到有网环境中完成规划与打包。
一、精准获取补丁包：区分类型与来源
Linux安全补丁不是单一文件，需按实际需求分类准备：
-
二进制包补丁（推荐首选）：对应发行版官方发布的.rpm（RHEL/CentOS）或.deb（Debian/Ubuntu）格式更新包。例如：
kernel-3.10.0-1160.119.1.el7.x86_64.rpm或linux-image-5.10.0-28-amd64_5.10.209-2_amd64.deb。这类包已编译完成，安装即生效，风险低、效率高。 - 源码级补丁（慎用）：如内核CVE修复补丁（.patch文件），需手动打补丁+重新编译，仅适用于深度定制场景。普通运维应避免，除非明确要求且具备编译环境与验证能力。
- 安全公告与元数据：同步下载对应CVE编号的Red Hat Errata、Debian Security Tracker页面快照，或Ubuntu USN公告PDF。用于后续人工核对补丁内容、影响范围和重启要求。
二、离线部署前的关键验证动作
在跳板机（有网、同系统版本架构）上完成以下三步校验，能避免90%的现场失败：
-
版本严格匹配：执行
cat /etc/os-release和uname -r，记录ID、VERSION_ID、PLATFORM_ID及内核版本。所选补丁包的命名中必须包含完全一致的发行版标识（如el7、focal）和内核ABI字符串（如5.4.0-150-generic）。 -
签名与哈希校验：从官方镜像站（如
mirror.centos.org、archive.ubuntu.com）下载补丁包的同时，务必下载其.asc签名文件和.sha256sum校验文件。用gpg --verify验签，再用sha256sum -c比对哈希值，确认包未被篡改或损坏。 -
依赖预检：对.rpm包运行
rpm -qpR package.rpm，对.deb包运行dpkg-deb -f package.deb Depends，检查依赖项是否已在目标系统中存在。缺失依赖需一并打包带入。
三、安装与即时验证流程
在目标离线服务器上，按顺序执行：
-
基础工具就位：确认系统已安装
patch命令（yum install -y patch或apt-get install -y patch，需提前打包好该工具rpm/deb）；若用二进制包，则确认rpm或dpkg可用。 -
安装补丁：
- RHEL/CentOS：
rpm -Uvh --force --nodeps kernel-*.rpm（注意：--force慎用，仅当确认无冲突时） - Debian/Ubuntu：
dpkg -i linux-image-*.deb，随后运行apt-get install -f（该命令不联网，仅修复本地dpkg数据库依赖关系）
- RHEL/CentOS：
-
安装后必做验证：
- 检查包是否注册成功：
rpm -qi kernel或dpkg -l | grep linux-image - 确认新内核已写入grub：
awk -F\' '$1=="menuentry " {print $2}' /boot/grub2/grub.cfg | head -5（RHEL）或grep menuentry /boot/grub/grub.cfg | head -5（Ubuntu） - 验证CVE是否覆盖：使用
uname -r比对补丁公告中的“Fixed in”版本；或运行grep -r 'CVE-2023-1234' /usr/src/kernels/$(uname -r)/（若源码已部署）
- 检查包是否注册成功：
四、重启策略与回滚预案
多数内核与关键库补丁需重启生效，但离线环境不允许试错：
-
重启前锁定旧内核：编辑
/etc/default/grub，设置GRUB_DEFAULT=saved，再执行grub2-set-default 'CentOS Linux (3.10.0-1160.118.1.el7.x86_64) 7 (Core)'，确保即使新内核启动失败，下次仍可默认进入已知稳定版本。 - 准备最小化回滚包：将上一个稳定版本的内核rpm/deb及对应initramfs生成工具（如dracut）一并打包。一旦新内核无法启动，可紧急重装旧版并重建initramfs。
-
验证非重启类补丁：对glibc、openssl等用户态库补丁，安装后需重启所有依赖进程（如
systemctl restart sshd nginx），并用ldd /usr/sbin/sshd | grep ssl确认链接到新库路径。
