1. 部署 Red Hat Enterprise Linux 9
本章介绍如何在 VMware Workstation Pro 中完成 RHEL 9 的安装与基础配置，内容涵盖 ISO 完整性校验、虚拟机创建、安装向导关键配置，以及首次启动后的系统验证与基线快照建立。本章是后续所有章节的起点与基线环境。
1.1 前提条件
宿主机要求：
| 项目 | 最低 | 推荐 |
|---|---|---|
| CPU | 4 核，支持 VT-x / AMD-V | 8 核 |
| 内存 | 16 GB | 32 GB |
| 磁盘 | 100 GB SSD | 200 GB NVMe SSD |
虚拟机配置：
| 项目 | 配置值 |
|---|---|
| CPU | 2 核 |
| 内存 | 4 GB（推荐 8 GB） |
| 磁盘 | 50 GB，预分配空间 |
| 固件 | UEFI |
| 网络 | 桥接（推荐）或 NAT |
必备软件：
- VMware Workstation Pro（最新版本）
- SecureCRT + SecureFX（SSH 远程登录与文件传输）
- RHEL 9.x x86_64 DVD ISO（从 Red Hat Customer Portal 下载，需登录账户）
执行权限说明
本教程所有代码块命令默认以 root 身份执行，不添加 sudo 前缀。生产环境建议创建运维账户 ops（加入 wheel 组），以 ops 用户登录后执行 sudo -i 切换至 root 环境，或搭配 sudo 执行各特权命令。
预分配磁盘
创建虚拟机时勾选"预分配磁盘空间"，可避免 I/O 碎片化，在频繁创建快照的实验环境中显著提升读写性能。
1.2 验证 ISO 完整性
安装前必须校验 ISO 文件，确认镜像完整且未被篡改。
Linux / macOS 宿主机：
sha256sum rhel-9.x-x86_64-dvd.iso
Windows 宿主机（PowerShell）：
Get-FileHash .\rhel-9.x-x86_64-dvd.iso -Algorithm SHA256
将输出的哈希值与 Red Hat Customer Portal 下载页面公布的 SHA-256 Checksum 逐字符比对，完全一致方可继续。
1.3 创建虚拟机
在 VMware Workstation Pro 中新建虚拟机，按以下参数配置：
| 配置项 | 设置值 |
|---|---|
| 安装介质 | 加载已验证的 rhel-9.x-x86_64-dvd.iso |
| 固件类型 | UEFI（企业标准，支持 Secure Boot） |
| CPU / 内存 | 参照 1.1 节 |
| 磁盘类型 | 预分配空间（Preallocate disk space） |
| 网络适配器 | 桥接（Bridged）推荐，或 NAT |
1.4 安装系统
启动虚拟机后进入 RHEL 图形安装向导（Anaconda），按以下各节完成关键配置。
1.4.1 安装向导基础配置
| 配置项 | 设置值 | 说明 |
|---|---|---|
| 安装语言 | English (United States) | 推荐英文，避免本地化引发服务异常 |
| 软件选择 | Server with GUI | 含图形界面，便于实验操作 |
| Root 密码 | 强密码（≥12 位，含大小写、数字、符号） | 或勾选"Lock root account"禁止 root 直接登录 |
| 创建用户 | 用户名 ops，勾选"Make this user administrator" |
自动加入 wheel 组，获得 sudo 权限 |
1.4.2 磁盘分区方案
选择 Custom（自定义分区），按以下企业级标准配置：
| 挂载点 | 文件系统 | 建议大小 | 说明 |
|---|---|---|---|
/boot/efi |
EFI System Partition（FAT32） | 512 MiB | UEFI 引导分区 |
/boot |
xfs | 1 GiB | 内核与引导文件 |
swap |
swap | 与内存等大（内存 > 16 GB 时设 8 GB） | 虚拟内存 |
/ |
xfs | 20 GiB | 系统根目录 |
/var |
xfs | 20 GiB | 日志、缓存（独立防止根目录写满） |
/home |
xfs | 剩余空间 | 用户数据 |
为何独立 /var
/var 存放日志、包管理缓存和数据库文件，增长不可预测。独立分区后即使 /var 写满，根文件系统仍正常运行，系统不会崩溃。
1.4.3 网络与主机名配置
在安装向导的网络页面完成以下配置：
| 参数 | 值 |
|---|---|
| IPv4 方式 | Manual（手动静态） |
| IP 地址 / 前缀 | 192.168.1.100 / 24 |
| 网关 | 192.168.1.1 |
| DNS | 8.8.8.8，8.8.4.4 |
| 主机名 | linuxdc |
静态 IP 的必要性
服务器必须使用静态 IP，否则 DHCP 分配的地址变动后，SSH 连接、服务绑定等所有依赖 IP 的配置均会失效。
1.5 首次启动后验证
系统安装完成后，通过控制台或 SecureCRT（SSH 端口 22，此时尚未更改端口）以 root 身份登录，执行以下验证。
SSH 端口说明
安装完成后 SSH 使用默认端口 22。第 5 章完成 SSH 安全配置后，端口将更改为 2222，此后所有章节统一使用 2222 端口。
1.5.1 验证主机名
hostnamectl
若安装时未设置主机名，执行：
hostnamectl set-hostname linuxdc
exec bash
检查点
输出中 Static hostname 应为 linuxdc。
1.5.2 验证网络
ip addr show ens33
ip route show default
ping -c 4 8.8.8.8
检查点
ip addr show ens33 显示 192.168.1.100/24；ping 8.8.8.8 连通。
1.5.3 验证 SELinux 状态
getenforce
应返回 Enforcing。这是 RHEL 企业生产环境的标准安全状态，任何时候都不应将其设为 Permissive 或 Disabled。
cat /etc/selinux/config
检查点
SELINUX=enforcing 且 getenforce 返回 Enforcing。
1.5.4 验证系统版本
cat /etc/redhat-release
uname -r
检查点
输出包含 Red Hat Enterprise Linux release 9.x。
1.6 创建基线快照
系统验证通过后，立即在 VMware 中创建快照：
- 快照名称：
RHEL9-Base - 描述：
RHEL 9.x 安装完成，主机名 linuxdc，IP 192.168.1.100，SELinux Enforcing
快照管理原则
基线快照是整个实验体系的安全锚点。建议在每个重大变更前均创建命名快照，格式：RHEL9-<阶段>-<YYYYMMDD>，例如 RHEL9-SSH-Secured-20250601。
1.7 实践任务
- 下载 RHEL 9 ISO，校验 SHA-256 哈希值与官方一致。
- 按 1.3 节参数创建 VMware 虚拟机。
- 完成安装，采用 1.4.2 的分区方案，创建用户
ops并赋予管理员权限。 -
首次启动后执行完整验证：
hostnamectl ip addr show ens33 ping -c 4 8.8.8.8 getenforce cat /etc/redhat-release -
创建快照
RHEL9-Base。
1.8 自测问题
Q1：安装时为何推荐使用英文界面？
英文界面可避免部分软件包在中文 locale 下出现路径或编码异常，且与官方文档保持一致，便于问题排查。
Q2：/var 为何要独立分区？
/var 中日志和缓存增长不可预测，独立分区后即使写满也不影响根文件系统，系统可继续运行。
Q3：SELinux 在 Enforcing 模式下访问被拒绝时，正确的处理方式是什么？
通过 ausearch -m avc 或 sealert 分析 AVC 拒绝日志，使用 semanage 或 restorecon 修正安全上下文，不应关闭 SELinux。
1.9 章节总结
本章完成了 RHEL 9 从 ISO 校验、虚拟机创建、系统安装（含企业级分区方案、网络与主机名配置）到首次启动验证的完整流程，并建立了可回滚的基线快照。
后续章节的学习路径：
- 第 2 章：掌握 Vim 编辑器（后续所有章节编辑配置文件的前提）
- 第 3 章：规范化网络配置
- 第 4 章：用户与权限管理
- 第 5 章：SSH 安全加固（完成后统一切换至端口 2222）