Tag: rhel

要設定讓 yum 可以使用指定的 proxy 伺服器，可以在 /etc/yum.conf 的 [main] 區段裡增加 proxy 設定即可

[main]
proxy=http://<proxy_server>:3128

那如果是個別的 repository 要使用不同的 proxy 伺服器，可以怎麼做呢？
原本以為會很麻煩的，但意想不到簡單，因為有支援此設定。
就在 repository 的區段裡增加 proxy 設定就可以：

[repo]
name=baseos
baseurl=http://yumrepo.example.com/baseos
enabled=1
gpgcheck=0
proxy=http://<proxy_server>:3128

參考資料

• How to set up proxy for yum repository in Linux?

因為好奇怎麼去查，就找到這篇：How to check if an RHEL system is vulnerable to a CVE ，文章裡面提到兩個方法。

第一個方法是用 rpm -q --changelog <套件> | grep <CVE_number>

舉個例子

rpm -q --changelog openssl | grep CVE-2021-3450

第二個方法是用 yum updateinfo info --cve <CVE_number>

舉個例子

yum updateinfo info --cve CVE-2021-3445

最後，想調查這台 RHEL 有受到哪些 Errata 影響，可以用

yum updateinfo info --summary
yum updateinfo info --list

若要帶入 CVE 資訊，可以用這兩個指令

yum updateinfo info --summary --with-cve
yum updateinfo info --list --with-cve

Red Hat 也有一篇 KB ，方法相似：https://access.redhat.com/solutions/3628301

不太一樣的地方是，指令是查看 rpm 的，所以是用

rpm -qp kernel-3.10.0-862.11.6.el7.x86_64.rpm --changelog | grep CVE-2017-12190

或者是用 yum list –cve <CVE_number>

yum list --cve CVE-2017-12190 | grep kernel.x86_64

在企業裡，因為不會讓所有伺服器都對外，一般會在內部架設一台 YUM mirror server ，定期去 mirror 外部的 RHEL 套件庫。

坦白說，我不知道用哪個名字比較好，知道的名字有

• Local mirror
• YUM repository server
• YUM mirror server

總之，用途都是一致的。

作法

首先這台要作為 mirror 的伺服器必須要對外，接著在伺服器裡，以 subscription-manager 註冊到 RHEL 服務去。

安裝做 mirror 的套件，這邊選用 apache，也可以用 nginx，路徑跟設定調整一下就可以。

yum install yum-utils createrepo httpd

使用 subscription-manager 查看可以下載的 repository

subscription-manager repos --list

接著對需要做 mirror 的 repository 去做 mirror

mkdir -p /var/www/html/{baseos,appstream}
reposync -p /var/www/html/baseos \
        --download-metadata \
        --repo=rhel-8-for-x86_64-baseos-rpms \
        --delete \
        --downloadcomps

reposync -p /var/www/html/appstream \
        --download-metadata \
        --repo=rhel-8-for-x86_64-appstream-rpms \
        --delete \
        --downloadcomps

這邊可以寫成一個腳本，然後設定 cron，定期去執行 mirror。

一般會再多寫一個 repo 檔案，放在 /var/www/html ，後續到其他主機時，可以直接下載這個 repo 檔案，放到 /etc/yum.repos.d 裡面，就可以直接 yum update 。

[baseos]
name=baseos
baseurl=http://<ip>/rhel-8-for-x86_64-baseos-rpms/
enabled=1
gpgcheck=0

[appstream]
name=appstream
baseurl=http://<ip>/rhel-8-for-x86_64-appstream-rpms/
enabled=1
gpgcheck=0

最後啟用 httpd，就大功告成了。

systemctl enable --now httpd

限制

使用這個方法，基本上一台主機就是對應一個版本，例如 7.9, 8, 8.5, 8.6 這樣，沒辦法有多個版本，若需要有多個版本，建議使用 Foreman 或是 Satellite 會比較方便。

參考資料

• How to create a local mirror of the latest update for Red Hat Enterprise Linux 5, 6, 7, 8 and 9 without using Satellite server?