上周在一家客户的机房里折腾了大半天就为了在一台完全断网的生产服务器上把MySQL装起来。这台机器别说外网连内网的其他机器访问都受限yum源根本用不了apt更是指望不上。最后我把整套离线安装包和依赖库提前准备好一次性装完整个部署过程大概花了四十分钟。说实话离线部署MySQL本身并不难难的是你得事先把每一步都想明白——装哪些包、按什么顺序装、初始化会碰到什么问题、启动失败了从哪里看日志。这篇文章就是把我这次完整的操作过程和踩过的坑整理出来给同样要在内网环境部署MySQL的朋友一个可以直接照着抄的参考。1. 为什么要离线部署内网隔离环境下的最可靠方案1.1 离线部署适用场景分析先明确一个概念所谓离线部署指的是目标服务器无法直接访问外网或者出于安全合规要求不允许连接外网你需要在另一台能联网的机器上提前把所有需要的安装包和依赖下载好然后通过内网传输到目标机器上进行安装。常见的离线部署场景有以下几类生产内网服务器很多公司的生产环境是隔离网段服务器只能在内网访问为了保证安全不会开放外网出站流量。政企内网、金融、能源等对安全合规有严格要求的行业环境这类环境对网络安全有严格要求除业务需要外禁止任何外网连接。跨区域跨机房部署源服务器和目标服务器不在同一个网络区域中间可能经过堡垒机、网闸只能通过文件传输方式拷贝安装包。供应链安全管理要求有些企业为了规避开源软件供应链风险会提前在测试环境将软件包及依赖进行审查、封装再统一分发到生产环境。在这些场景下离线部署不是可选的而是唯一的选择。但离线部署也有它的特殊性你必须一次性把所有依赖都准备好否则在目标机器上装到一半才发现缺了个依赖库又没有网络可用就只能干瞪眼了。1.2 离线部署和在线部署的核心差异在线部署时yum或者apt会自动帮我们解析依赖关系甚至会帮你把MariaDB等冲突包自动处理掉。离线部署则完全相反这些自动化的便利几乎都享受不到对比项在线部署离线部署依赖解析自动下载安装所需依赖需要手动准备所有依赖包冲突处理自动处理已安装的冲突包需要手动卸载或替换版本控制取决于yum源中的版本可以精确锁定某版本网络要求需要外网或可用的内网yum源完全不需要网络排错难度相对较低相对较高需要预判各种异常部署速度与网络速度相关取决于文件传输速度一般更快大多数离线部署方案可以分成两种一种是把MySQL官方提供的rpm包全部下载好直接rpm -ivh安装另一种是下载官方的tar.gz二进制包手动解压配置。对于生产环境而言我更推荐rpm包的方案因为它的目录结构和配置方式都经过了打包者的规范处理更符合Linux系统的文件系统标准后续的systemd管理也会自动配置好。这里有一个重要的经验要分享离线部署最忌讳装到一半才发现缺东西。我在实际部署时会先在一台相同系统的虚拟机上做一次完整的模拟离线安装把所有可能缺的依赖包都记录下载下来等模拟安装成功后再去生产环境操作。这个方法成本很低却能帮你避开绝大部分的突发状况。2. 准备工作把需要的东西在联网机器上一次性备齐2.1 先确认目标系统的版本和架构离线部署的第一步不是急着下载安装包而是先搞清楚目标服务器的系统信息。这一点很多人会忽略直接就在网上找了一堆安装包下载传到服务器上才发现架构不匹配或者系统版本不对白白浪费了大把时间。需要确认的信息主要有三个Linux发行版及其版本、系统架构、是否安装了和MySQL冲突的组件。在目标服务器上执行以下命令# 查看系统发行版和版本 cat /etc/redhat-release # 或者 cat /etc/os-release # 查看系统架构 uname -m # 查看是否已安装mysql或mariadb相关包 rpm -qa | grep -E mysql|mariadb执行结果类似下面这样CentOS Linux release 7.9.2009 (Core) x86_64 # 如果没有任何返回结果说明当前系统没有安装mysql/mariadb相关包需要特别注意的是架构问题。目前主流的服务器架构是x86_64但也有不少ARM架构的服务器比如华为鲲鹏、飞腾等国产CPU。如果架构不匹配安装时会出现wrong ELF class、Exec format error之类的报错。另外CentOS 7和CentOS 8的软件包管理方式有些差异。CentOS 8使用dnf替代了yum且默认开启了AppStream仓库。如果你下载的rpm包是从CentOS 8的AppStream仓库里拿的在CentOS 7上就会因为依赖版本过高而无法安装。所以最好是下载MySQL官方提供的rpm包而不是从系统的软件源下载。2.2 从MySQL官方下载离线安装包确定好系统和架构后就可以在联网机器上下载MySQL的离线安装包了。这里我以CentOS 7.9 MySQL 5.7.44为例因为这是目前生产环境中最常见的组合之一。MySQL 8.0的安装流程和5.7基本一致只是初始化密码策略等细节上略有差别后面我会单独说明。MySQL提供了专门的yum仓库你可以把仓库源下载下来后用yumdownloader命令来下载需要的包也可以直接使用wget从官方下载固定版本的rpm包。我更推荐后一种方式因为版本锁定得更精确不会有意外。MySQL的下载地址是有规律的以5.7.44为例在联网机器上执行wget https://cdn.mysql.com/Downloads/MySQL-5.7/mysql-community-server-5.7.44-1.el7.x86_64.rpm wget https://cdn.mysql.com/Downloads/MySQL-5.7/mysql-community-client-5.7.44-1.el7.x86_64.rpm wget https://cdn.mysql.com/Downloads/MySQL-5.7/mysql-community-common-5.7.44-1.el7.x86_64.rpm wget https://cdn.mysql.com/Downloads/MySQL-5.7/mysql-community-libs-5.7.44-1.el7.x86_64.rpm wget https://cdn.mysql.com/Downloads/MySQL-5.7/mysql-community-libs-compat-5.7.44-1.el7.x86_64.rpm你可能会问为什么安装一个MySQL需要下载这么多包这和rpm包的依赖设计有关系。MySQL的rpm包被拆分成了几个独立模块mysql-community-server服务器端主程序包含mysqld服务mysql-community-client命令行客户端工具mysql、mysqldump等mysql-community-common通用文件包括配置文件、脚本等mysql-community-libs共享库文件很多其他软件编译时会引用这些库mysql-community-libs-compat老版本兼容库解决和其他软件依赖上的冲突这五个包在安装时是有先后顺序的先装common和libs再装client和server。因为server在安装时需要链接libs库而client又需要common中的配置。需要注意的是不同的MySQL小版本下载链接的路径也不同。如果你需要的是8.0版本把链接中的MySQL-5.7换成MySQL-8.0即可包名也要相应改成mysql-community-server-8.0.x-1.el7.x86_64.rpm这种格式。2.3 检查依赖库最容易忽略的一步准备好MySQL的rpm包还不够还得检查目标机器上的依赖库是否齐全。MySQL 5.7在安装时依赖libaio和libnuma等库如果缺失在rpm安装阶段就会直接报错。常见的依赖包如下libaio libaio-devel libnuma numactl perl ncurses-libs对于CentOS 7.9来说系统默认一般会自带libaio和ncurses-libs但libnuma和perl不一定默认安装。为了保险起见可以在联网机器上用yumdownloader把依赖包也一并下载好yum install -y yum-utils mkdir /opt/mysql-offline-deps cd /opt/mysql-offline-deps # 下载可能用到的依赖包 yumdownloader --resolve --destdir /opt/mysql-offline-deps libaio libaio-devel libnuma numactl perl ncurses-libs这里用--resolve参数可以让yumdownloader把依赖也一并下载下来--destdir指定保存的目录。下载完成后把整个目录包括MySQL的rpm包一起打包就可以带到目标机器上去了。2.4 上传安装包并完成环境自检拿到离线包之后把安装包和依赖包都上传到目标服务器。上传方式没有一定之规只要能把文件送过去就行可以用scp命令也可以通过U盘拷贝还可以用内网的FTP、网盘等方式。如果上传是通过堡垒机的注意一下文件的完整性就可以通常可以用md5sum命令校验一下md5sum mysql-community-*.rpm对比联网机器上的md5值确认文件传输过程中没有被损坏。上传完成后在目标服务器上做一个全面的环境自检依次执行# 1. 检查磁盘剩余空间MySQL数据目录建议至少20GB df -h /data /var/lib/mysql # 2. 确认系统可用内存至少2GB建议4GB以上 free -m # 3. 检查3306端口是否被占用 ss -tlnp | grep 3306 # 4. 查看SELinux状态 getenforce # 5. 查看防火墙状态 systemctl status firewalld这里提醒一下SELinux的问题在强制模式下运行MySQL会碰到各种奇怪的权限问题最典型的就是MySQL服务无法创建socket文件或者无法读取数据目录。如果你对SELinux的配置规则不熟悉在实际部署时我建议先临时将SELinux切换为允许模式setenforce 0如果要永久生效需要修改/etc/selinux/config文件把SELINUXenforcing改成SELINUXpermissive。生产环境如果必须要保留SELinux那就要额外配置MySQL相关的SELinux策略这个复杂度就高很多了一般运维团队很少在生产环境给自己找这个麻烦。所以这个点大家在部署时一定要根据自己的安全策略提前判断。环境自检通过之后就可以进入真正的安装了。3. 一步步安装MySQL从解压到服务的成功启动3.1 清理残留的MariaDB和旧版本MySQL这一步非常关键。CentOS 7系统自带了一个MariaDB数据库如果你系统默认安装了mariadb-libs而你还想另外装一个MySQL那就必须先把它卸载掉否则在安装mysql-community-libs时会提示和mariadb-libs冲突。检查并要求卸载的命令如下# 查看已安装的mariadb/mysql相关包 rpm -qa | grep -E mysql|mariadb # 确认是mariadb-libs后强制卸载 rpm -e --nodeps mariadb-libs用--nodeps参数的意思是跳过依赖检查直接强制卸载。因为mariadb-libs会被postfix等系统组件依赖如果直接rpm -e mariadb-libs会报依赖错误所以必须用--nodeps。这也是离线环境下处理冲突包的常规手段。注意卸载mariadb-libs不会影响系统其他软件的正常运行。postfix之类的组件虽然声明依赖mariadb-libs但实际上在正常的邮件服务中很少会真的用到这些库所以可以放心卸载。3.2 创建mysql用户和目录结构MySQL服务不能以root身份直接运行这是出于安全考虑。如果mysqld以root身份运行一旦数据库被攻击者拿到权限就意味着攻击者直接获得了整个服务器的root权限后果不堪设想。所以我们要为MySQL创建一个专用的系统用户。# 创建mysql用户禁止登录shell useradd -M -s /sbin/nologin mysql # 确认用户创建成功 id mysql参数解释-M表示不创建家目录因为mysql用户不需要登录也就不需要家目录。-s /sbin/nologin表示禁止该用户通过shell登录系统这可以进一步降低安全风险。如果你的MySQL数据目录准备放在自定义路径比如/data/mysql还需要手动创建目录结构并设置属主mkdir -p /data/mysql chown -R mysql:mysql /data/mysql3.3 安装rpm包顺序和依赖处理现在进入了正式的安装阶段。把之前准备好的所有rpm包放到同一个目录下然后按照common、libs、client、server的顺序依次安装。先安装common和libscd /opt/mysql-offline-pkgs rpm -ivh mysql-community-common-5.7.44-1.el7.x86_64.rpm rpm -ivh mysql-community-libs-5.7.44-1.el7.x86_64.rpm如果系统提示缺少依赖库比如libaio.so.1就需要先把之前准备好的依赖包安装上去rpm -ivh libaio-*.rpm libaio-devel-*.rpm numactl-*.rpm perl-*.rpm这几个依赖包的安装顺序不用太纠结rpm会自动提示缺失的依赖库你按提示把对应rpm包补装上就行。这也是我前期准备依赖包的意义所在。依赖处理完毕后继续安装client和serverrpm -ivh mysql-community-client-5.7.44-1.el7.x86_64.rpm rpm -ivh mysql-community-server-5.7.44-1.el7.x86_64.rpm安装完成后确认所有包都装上了rpm -qa | grep mysql预期输出应该包含上面提到的5个rpm包如果少了任何一个都要回头检查为什么没装上。3.4 初始化数据目录和服务启动MySQL 5.7之后的版本初始化数据目录和使用初始root密码的方式和5.6以前的老版本有了很大不同。5.6以前装完MySQL之后root用户默认是空密码直接mysql -uroot就能进但从5.7开始初始化时系统会生成一个随机临时密码必须用这个临时密码登录后才能修改成自己想用的密码。执行初始化命令mysqld --initialize --usermysql参数解释--initialize表示初始化数据目录同时生成临时root密码--usermysql表示以mysql用户的身份执行初始化这样生成的数据文件属主都是mysqlMySQL服务启动时才能正常读写。如果初始化成功数据目录下会生成一堆文件。查看临时密码grep temporary password /var/log/mysqld.log输出类似2024-11-15T11:28:34.173569Z 1 [Note] A temporary password is generated for rootlocalhost: xxxxxxxx最后的xxxxxxxx就是临时密码。赶紧把它记录到记事本上因为待会登录时必须用它。虽然这个临时密码不会立刻过期但如果你长时间不修改MySQL的策略配置可能会拒绝你登录。然后启动MySQL服务systemctl start mysqld # 查看服务状态 systemctl status mysqld # 配置开机自启动 systemctl enable mysqld启动成功后从status输出中可以看到Active: active (running)这样的字样。如果启动失败状态会显示active (failed)这时就需要查看错误日志来进行排查这个过程放到第5章来详细讲。确认服务正常后先验证一下登录是否可用mysql -uroot -p输入之前记录的临时密码能进入mysql命令行界面就说明整个安装流程已经成功了一大半。4. 初始化配置临时密码、字符集和远程访问一个都不能少4.1 修改root密码并设置密码策略进入mysql命令行后第一件事就是把临时密码改掉。修改密码的操作如下ALTER USER rootlocalhost IDENTIFIED BY YourStrongPssw0rd;MySQL 5.7的validate_password插件默认是启用的它会强制要求密码至少包含大写字母、小写字母、数字和特殊字符长度至少8位。如果你设置的密码太简单会直接报错ERROR 1819 (HY000): Your password does not satisfy the current policy requirements。对于内部测试环境如果你觉得这个密码策略太严格可以降低密码策略等级-- 查看当前密码策略 SHOW VARIABLES LIKE validate_password%; -- 将策略等级改为LOW只校验长度 SET GLOBAL validate_password_policy LOW; SET GLOBAL validate_password_length 6;注意这只是临时修改重启MySQL后会恢复默认。如果要永久生效需要在my.cnf中添加validate_password相关配置。关于密码策略的修改我的建议是生产环境保持默认的最高安全等级不要因为嫌麻烦就把密码策略降级。密码写得复杂一点用密码管理器记一下MySQL的安全底线就是账号密码这里松了整个数据库的安全防护就崩塌了。4.2 创建业务账号并分配权限生产环境中几乎不会直接用root账号来跑业务连接。正确的做法是给每个业务系统创建独立的数据库账号只授予这个账号必要的权限。比如要给一个名为order_system的数据库创建一个专属账号-- 创建专用于order_system库的账号允许从任何主机连接 CREATE USER order_app% IDENTIFIED BY OrderApp123; -- 授权该账号对order_system库的所有权限 GRANT ALL PRIVILEGES ON order_system.* TO order_app%; -- 刷新权限生效 FLUSH PRIVILEGES;这里的%表示允许从任何IP地址连接。如果希望限制只允许某个网段访问可以这样写-- 只允许192.168.1.x网段访问 CREATE USER order_app192.168.1.% IDENTIFIED BY OrderApp123; GRANT ALL PRIVILEGES ON order_system.* TO order_app192.168.1.%;权限最小化是一个值得认真执行的原则能用SELECT权限解决的就不要给UPDATE权限能限定主机访问的就不要用%通配。虽然运维阶段多一次权限变更看起来麻烦但真的出现安全事件时你会发现这个坏习惯付出的代价远大于当时的便利。4.3 远程访问的防火墙和监听地址配置MySQL默认的监听地址是127.0.0.1也就是只能本机访问。如果要让其他机器通过网络连接需要检查配置。在/etc/my.cnf中bind-address参数决定了MySQL监听的IP地址。默认情况下如果没有显式配置MySQL 5.7会监听所有地址但有些发行版的默认配置中会明确写成bind-address127.0.0.1。可以通过以下命令确认SHOW VARIABLES LIKE bind_address;如果需要远程连接确保bind-address不是127.0.0.1即可。如果要显式指定监听所有地址在my.cnf中添加[mysqld] bind-address 0.0.0.0修改配置后重启MySQL服务systemctl restart mysqld接下来是防火墙放行。如果系统开启了firewalld3306端口默认是不通的需要放行# 启动防火墙 systemctl start firewalld # 放行3306端口 firewall-cmd --permanent --add-port3306/tcp firewall-cmd --reload # 验证端口放行状态 firewall-cmd --list-ports如果在云服务器上阿里云、腾讯云等还需要在安全组规则中额外放行3306端口这一步是在云控制台上操作的很容易被遗漏。4.4 字符集设置中文乱码的一次性解决MySQL 5.7默认的字符集是latin1如果你不调整就入库中文数据等遇到乱码时再来改配置数据就已经出现问题了。所以在数据库对外提供服务之前建议先把字符集统一成utf8mb4。utf8mb4是utf8的超集除了能存储所有utf8的字符还能存储emoji表情等四字节字符。在互联网应用场景下它是现在唯一推荐的字符集选择。在my.cnf中添加以下配置[mysqld] character-set-server utf8mb4 collation-server utf8mb4_unicode_ci [client] default-character-set utf8mb4 [mysql] default-character-set utf8mb4修改完成后重启MySQLsystemctl restart mysqld重启后验证字符集是否生效SHOW VARIABLES LIKE character_set%;预期输出中character_set_server应该显示utf8mb4character_set_client和character_set_connection也应该是utf8mb4。这里有一个容易踩的坑如果你通过mysql命令行连接后单独执行SET NAMES utf8mb4这只对当前连接生效连接断开后重新连接又回到默认配置。所以字符集的配置一定要落在my.cnf里不要只依靠会话级设置。5. 离线部署常见问题排查启动失败与登录报错实战5.1 mysqld启动失败的典型原因与排查思路离线部署MySQL最让人头疼的就是启动失败。虽然我们在前面做了一系列准备工作但总有一些意料之外的情况。如果遇到systemctl start mysqld之后状态显示failed不要慌按以下顺序排查第一看错误日志。MySQL的错误日志默认放在/var/log/mysqld.log这是排查问题的第一手信息来源tail -n 50 /var/log/mysqld.log常见的关键错误信息包括数据目录权限不对Cant create/write to file /var/lib/mysql/xxx通常是目录属主不是mysql配置文件语法错误Unknown variable xxxyyy说明my.cnf中写了不认识的参数端口被占用Bind on TCP/IP port: Address already in use依赖库缺失error while loading shared libraries: libaio.so.1第二检查数据目录的属主和权限ls -ld /var/lib/mysql chown -R mysql:mysql /var/lib/mysql第三检查端口占用情况ss -tlnp | grep 3306如果端口被占用用lsof -i:3306找到占用进程确认是否可以停止该进程或者把MySQL的监听端口换掉。在实际部署中我遇到过最多的启动失败原因排序是数据目录权限问题、依赖库缺失、端口被占用。前两个问题在安装前的环境自检阶段就能规避端口冲突则需要在安装前用ss命令仔细确认。5.2 error 2002 (HY000)socket连接不了的真相登录MySQL时报错error 2002 (HY000): Cant connect to local MySQL server through socket /tmp/mysql.sock相信有不少朋友都踩过这个坑这个报错是很多新手必问的问题。这个报错的本质是mysql客户端去找socket文件结果找不到。常见原因有两种一是MySQL服务真的没启动或启动后异常退出了二是socket文件的路径和客户端期望的路径不一致。排查思路如下先确认MySQL服务是否正常运行systemctl status mysqld ps -ef | grep mysqld如果服务停止先尝试启动systemctl start mysqld然后再次登录。如果服务正常但依然报错就要检查socket路径-- 在mysql里查看实际socket文件路径 SHOW VARIABLES LIKE socket;默认情况下MySQL 5.7的socket文件在/var/lib/mysql/mysql.sock但有些配置路径会放在/tmp/mysql.sock。客户端mysql命令默认会去/tmp/mysql.sock找如果实际socket文件在/var/lib/mysql/mysql.sock那么直接用mysql -uroot -p连接就会报错。解决办法有二一是登录时显式指定socket文件路径mysql -uroot -p --socket/var/lib/mysql/mysql.sock二是在my.cnf的[mysqld]和[client]段中统一配置socket路径[mysqld] socket /tmp/mysql.sock [client] socket /tmp/mysql.sock然后重启MySQL。这样客户端和服务端的socket路径就一致了。5.3 忘记临时密码后的重置流程前面我们提到MySQL 5.7初始化时生成的临时密码在/var/log/mysqld.log里。但有些时候等你想登录了日志已经被循环覆盖了或者临时密码因为某些原因找不到了这种情况很让人抓狂。这时可以用skip-grant-tables模式来重置密码流程如下第一步停止MySQL服务systemctl stop mysqld第二步以跳过授权表验证的方式启动MySQLmysqld_safe --skip-grant-tables --skip-networking 这里的--skip-networking很重要它会在跳过授权表的同时关闭网络监听防止其他主机趁虚而入。用mysqld_safe命令启动会直接在前台/后台运行不需要通过systemd。第三步无密码登录MySQLmysql -uroot此时因为没有加载授权表不需要密码就能直接进入。第四步先刷新权限表让授权表正常加载然后修改root密码FLUSH PRIVILEGES; ALTER USER rootlocalhost IDENTIFIED BY NewStrongPssw0rd;第五步重新启动MySQL服务mysqladmin -uroot -p shutdown systemctl start mysqld注意用skip-grant-tables模式登录时一定要记得先执行FLUSH PRIVILEGES否则ALTER USER时会报错。这个重置流程在任何版本的MySQL 5.7和8.0中都适用算是运维人员的必备技能。5.4 从离线安装到日常运维几点实在的经验整套流程走完最后分享几条我这些年总结的经验尤其是离线环境下的运维习惯第一把安装包和依赖包都归档好。我习惯在/opt目录下建一个mysql-offline-pkgs目录把每个版本的安装包和依赖包按版本号整理同时在目录下放一个README文件记录安装顺序和注意事项。这样下一次部署同版本数据库时直接照着README操作即使过了半年自己也能快速回忆起整个流程。第二MySQL的配置文件my.cnf是核心。对生产库来说所有变更都必须先备份my.cnf改动后重启前先验证mysqld --validate-config这个命令可以提前检查my.cnf的语法和参数有效性避免重启后才发现配置错误导致数据库起不来。我每次改配置都会先跑一遍这个命令再决定是否重启。第三数据目录的备份不能节省。离线部署完成后就紧接着做一个数据目录的基线快照或者mysqldump逻辑备份放在和服务器分离的存储上。别等业务跑了一阵子之后才想起来做备份那时候再做可能就晚了。第四日志别只看错误日志慢查询日志也要开着。生产环境建议开启slow_query_log和long_query_time2把超过2秒的SQL记录到慢查询日志中这是分析数据库性能的基本盘。最后再提醒一个细节离线部署完成后把临时密码、root新密码、业务账号密码这些关键信息放到密码管理工具里集中保存不要直接写在服务器的文本文件里。密码管理这件事看似和部署无关但实际上和数据库安全高度相关值得从一开始就养成好习惯。