RHCSA第一次作业实操指南：文件、用户、网络与yum源配置

我第一次做RHCSA的第一次作业，是在装完虚拟机之后，对着一个空荡荡的命令行界面懵了十分钟。题目其实不难，无非是建几个目录、创建用户、配个静态IP、把yum源换成自己的，但那一晚我光是把命令敲错又重敲就折腾到凌晨。后来才发现，第一次作业的分量根本不在题目本身，而在于它把RHCSA考试里最吃手感的几块——文件管理、用户权限、网络配置、软件源管理——全部串了一遍。

你要是正在备考红帽认证，或者刚接触Linux还没找到练习的抓手，这篇内容就是按我第一次做作业的真实经历来写的，包含完整的实操步骤、常见报错和提交前的自查清单。照着做，两三个小时能把这套基本功夯实，后面学什么都会顺畅很多。

1. 先搞懂第一次作业的考核逻辑，不要被题目吓住

1.1 第一次作业为什么值得认真做

很多人觉得RHCSA就是一场“背命令”的考试，第一次作业也就是练几个命令而已。我的体验完全相反，第一次作业其实是把RHCSA的核心考核方式提前预演了一遍。

真实考场的环境很朴素：一台跑着RHEL服务器的最小化系统，没有图形界面，没有桌面环境，考前给你一组题目，要求你在规定时间内用命令行完成系统配置。第一次作业模拟的就是这个场景，给你一台刚装好的虚拟机，要求你通过手工配置，把它变成一台“符合基本规范的服务器”。

它不考原理，不考inode的底层实现，不考TCP三次握手的过程，就考你能不能敲出正确的命令，做完之后能不能验证结果是正确的。这一点非常关键。我见过不少人，花大量时间去啃《鸟哥私房菜》里的原理章节，结果到了考场连useradd的参数都记不全。第一次作业就是给你提个醒：先把操作练熟，把命令和场景对应上，再谈原理。

1.2 一份典型的第一次作业任务清单

结合我当年练习的环境和后来帮人辅导的经验，一份有代表性的RHCSA第一次作业通常包含下面这些任务：

看起来任务不少，但合到一起其实就是一套完整的基础服务器初始化流程。第一次作业的意义就是让你把“装完系统之后该做什么”形成肌肉记忆。

2. 环境准备：在动手之前把虚拟机这块战场铺好

2.1 镜像选择与虚拟机配置

做RHCSA练习，环境越接近真实考试越好。真实考试用的是Red Hat官方的RHEL系统，个人练习时不用纠结，红帽官方提供开发者订阅，注册之后可以合法下载RHEL镜像。如果觉得麻烦，用CentOS Stream或者Rocky Linux、AlmaLinux也完全可以，命令体系和RHEL完全一致，考试的核心操作没有任何区别。

虚拟机软件我建议用VMware Workstation或VirtualBox，哪个顺手用哪个，功能上没有本质差别。安装系统时用默认的“带GUI的服务器”也行，用最小化安装也行。我个人的建议是：如果你第一次接触Linux，可以选带GUI的版本，出了问题还能开浏览器查资料；如果已经有一点基础，直接最小化安装，更贴近考试环境。

虚拟机配置方面，CPU给2核，内存给2GB到3GB，磁盘给30GB到40GB。磁盘稍微给大一点是有原因的，RHCSA考试涉及LVM逻辑卷管理，你要留出空间练习扩展逻辑卷和创建新卷组，磁盘给太小后面做存储练习会很痛苦。

2.2 手动分区与安装细节

安装到磁盘分区这一步，我强烈建议选择“手动分区”，不要用“自动分区”。原因有两个：第一，RHCSA考试里有涉及LVM和分区的题目，你要提前熟悉这些界面和概念；第二，手动分区可以让你理解RHEL安装器到底在做什么。

一个合理的分区方案是这样的：

剩下的空间可以先不分配，或者分配给/home，后面练习时再手动创建新的卷组和逻辑卷。如果你分配完磁盘后发现空间不足，可以直接把根分区给到25GB，然后把/home压到5GB，这对第一次作业完全没有影响。

安装过程中还要注意一个细节：密码策略。真实考试会给root用户和你新建的用户设置密码，练习时也要养成“密码要有一定复杂度”的习惯，至少8位、包含大小写字母和数字，否则后面做chage等账户策略相关的题目时，容易因为密码强度不够被系统拦截。

2.3 装完系统后的第一件事：快照

这句话我要强调三遍：装完系统，第一件事是打快照；做完第一次作业，再打一个快照；做存储和SELinux相关实验之前，再打一个快照。

快照是虚拟机最实用的功能。练习Linux配置时，把系统弄崩是常有的事。yum源配错了、SELinux状态改错了、防火墙把ssh端口挡了，这些问题在真实服务器上会让你焦头烂额，但在虚拟机上，只要恢复快照就能回到上一个正常状态。我自己的习惯是，每次练完一组题目，确认无误后打一个快照，然后大胆去折腾。这个习惯让我省下了大量重装系统的时间。

3. 作业核心实操：文件管理、通配符和权限

3.1 文件与目录操作：路径、递归创建和通配符

第一次作业里的目录创建，看似简单，实际上考察的是你对路径和命令细节的理解。比如要求创建/data/backup、/data/scripts、/data/logs这三个目录，很多人在这个环节就会暴露问题。

bash复制# 错误示范：逐层创建，低效且容易手滑
mkdir /data
mkdir /data/backup
mkdir /data/scripts
mkdir /data/logs

# 正确做法：使用 -p 参数一次性递归创建
mkdir -p /data/backup /data/scripts /data/logs

mkdir -p后面可以直接跟多个目录路径，Linux命令绝大多数都支持多个参数，不需要反复敲。这是一种很典型的思维差异：新手习惯一条命令干一件事，老手习惯一条命令干完一件事。

通配符也是第一次作业的高频考点。很多题目的描述不会直接告诉你文件名，而是要求“找出所有以.conf结尾的文件并复制到指定目录”。这时候*和?就派上用场了。

bash复制# 复制所有.conf文件到指定目录
cp /etc/*.conf /data/backup/

# 查找文件名由5个字符组成的文件（?代表任意单个字符）
find /data -name "?????" 

关于通配符有一个特别容易踩的坑：在root用户下执行rm -rf *，当前目录下所有文件都会消失，连确认都不需要。我见过有人手滑把rm -rf /data/写成了rm -rf /data /*，中间多了一个空格，整个根目录下面的东西差点被清掉。日常练习时，建议给rm命令设置一个别名，加上-i参数，让它在删除前询问确认：

bash复制alias rm='rm -i'

3.2 软链接和硬链接：链接是作业里最容易被扣分的地方

链接这一块，第一次作业通常要求“为某个文件创建软链接”，很多人在这一步莫名其妙丢分。软链接和硬链接的区别，一句话概括：软链接是一个独立的文件，保存的是目标的路径；硬链接则是目标的另一个目录项，和原文件共享同一个inode。

我直接把练习过程和易错点一起讲。

bash复制# 创建软链接：把 /usr/bin/ls 链接到 /data/scripts/myls
ln -s /usr/bin/ls /data/scripts/myls

# 验证软链接
ls -l /data/scripts/myls

关键易错点有三个。

第一，ln -s后面先写原始文件路径，再写链接文件路径，这个顺序我一开始经常记反。事实证明，只要多写几次就能记住，不用硬背。

第二，原始文件路径一定要写绝对路径。如果你写了相对路径，比如ln -s bin/ls /data/scripts/myls，那么链接文件里保存的是bin/ls，它在被访问时会相对于链接文件所在目录去解析，也就是去/data/scripts/bin/ls找目标，找不到就变成失效链接。这个问题在重新分区、迁移目录后特别常见，表现形式就是“链接红色的、一闪一闪的”。用readlink命令可以查看链接指向的目标路径：

bash复制readlink /data/scripts/myls

第三，软链接删除时不要把源文件干掉。很多人想“清理”一下，直接对链接文件执行了rm，这个操作没问题，删除链接本身不会影响源文件；但如果有人对链接目标执行了rm，那链接自然就失效了。练习时可以刻意做一次“删除源文件后查看链接”的实验，对理解软链接的本质非常有帮助。

3.3 权限管理：从数字权限到属主属组

文件权限题目在第一次作业里不会单独出一道题，但它会渗透在其他任务里。最常见的是你创建了一个脚本或备份目录，要求“仅对指定用户可写”。这时候要用到chmod和chown。

数字权限的计算逻辑其实很简单：r=4、w=2、x=1，把三种权限的数字加起来，得到一个权限位。比如755代表所有者有rwx（7=4+2+1），组和其他用户有rx（5=4+1）。644则是所有者rw，其他人只有r。

bash复制# 设置目录权限：所有者可读写执行，其他人只能读和进入
chmod 755 /data/scripts

# 修改属主属组
chown tom:dev /data/backup

修改属主属组时有个细节，chown tom:dev中间用的是冒号，不是点。现在RHEL 9上兼容点号的写法，但新代码和教材都推荐冒号，养成习惯就好。

另外，目录权限和文件权限的语义有区别：目录的r权限代表能列出目录内容，w权限代表能在目录内创建或删除文件，x权限代表能进入目录。如果你只给了一个目录r权限而没有x权限，你会发现ls能列出文件名，但cd进不去，这个现象在第一次做实验时几乎一定会遇到，正常现象，不是系统坏了。

4. 用户、组和密码策略的实际操作

4.1 创建用户和组：明确顺序，别让系统替你“默认”

第一次作业里用户相关的题目一般是这样：创建tom和jim两个用户，并且让它们都属于dev组。这里必须严格区分几个命令的作用。

bash复制# 第一步：创建用户组 dev
groupadd dev

# 第二步：创建用户并设置初始组和附加组
useradd -m -d /home/tom -s /bin/bash -G dev tom

# 第三步：设置密码
passwd tom

为什么要先建组再建用户？因为如果你在dev组不存在的情况下直接执行useradd -G dev tom，系统会提示group 'dev' does not exist，命令直接失败。不要觉得这是小问题，不少人在第一次作业时都会卡在这里。

useradd的参数有几个值得说明：

• -m：创建用户的同时创建家目录，RHEL默认策略下不写-m也会创建家目录，但显式写上更保险，逻辑也更清晰。
• -d：指定家目录路径，不写的话默认是/home/用户名。
• -s：指定登录shell，一般写成/bin/bash。如果不指定，有可能会用系统的默认shell/bin/sh，功能上没大问题，但考试时让你“查看用户默认shell”就会对不上。
• -G：参数指定附加组，用逗号分隔可指定多个组，比如-G dev,ops。

设置密码时，passwd tom会交互式地让你输入两次密码。如果要非交互式设置，可以用：

bash复制echo 'YouPassw0rd123' | passwd --stdin tom

--stdin在RHEL 9中能用，建议备考时把这句记到笔记里，真实考场非常实用，因为考试时间紧张，交互式输密码会占用额外的操作时间。

4.2 密码策略和sudo授权的细节

密码策略在第一次作业里的常见形式是设置有效期，比如“要求tom用户每30天修改一次密码”。这个用chage命令实现：

bash复制chage -M 30 tom

-M指定密码最大有效期天数。判断是否设置成功，用chage -l tom查看详细信息，能看到“Maximum number of days between password change”这一项已经变为30。验证这个步骤特别重要，因为真实考试不仅看你做了没有，还看你的配置是不是真的生效。

sudo授权是另一个经典考点。让dev组成员能够执行所有命令且不需要输密码，要改的是/etc/sudoers文件。请注意，直接编辑这个文件风险很高，语法写错会导致sudo全面失效，必须用visudo命令编辑：

bash复制visudo

在文件里找到%wheel那一行，按格式追加：

text复制%dev    ALL=(ALL)    NOPASSWD: ALL

或者如果你想让用户只能执行部分命令，比如只能执行systemctl，可以写成：

text复制tom     ALL=(ALL)    /usr/bin/systemctl

这里有两个点要提醒。第一，NOPASSWD后面的冒号不要漏，ALL=(ALL)和NOPASSWD:之间的空格有没有都可以，但冒号必须有。第二，改完/etc/sudoers后，可以用sudo visudo -c检查语法，返回parsed OK再放心退出。

4.3 用户相关的三个实验：让自己真正看明白账户体系

光会敲命令不算掌握，第一次作业之后我给自己追加了三个小实验，强烈建议你也做一遍。

第一个实验：用cat /etc/passwd查看用户信息，关注每行用冒号分隔的7个字段，分别是用户名、密码占位符、UID、GID、注释信息、家目录、Shell。这个命令可以帮你理解为什么创建用户会改这么多地方。

第二个实验：用cat /etc/shadow查看密码哈希，你会看到tom那一行有一串很长的密文，而!开头的可能表示该用户尚未设置密码。考试偶尔会考“为什么无法用某些用户登录”，答案往往就是shadow文件里没有密码或者密码锁定。

第三个实验：用id tom查看用户的UID、GID和附属组。做完这三个实验，再回头看useradd命令，理解就不是死记硬背，而是顺理成章了。

5. 网络与仓库配置：第一次作业里最容易被扣分的模块

5.1 用nmcli配置静态IP：网卡配置文件已是过去式

RHEL 9默认使用NetworkManager管理网络，/etc/sysconfig/network-scripts/ifcfg-*这种传统方式已经不再是主推方案。考试和作业里如果要求配置静态IP，优先使用nmcli命令。

先看清当前状态：

bash复制nmcli device status
nmcli connection show

第一条命令可以查看网卡名称和状态，常见的是ens160或ens33；第二条命令可以查看当前是否有激活的连接。接着用nmcli修改连接配置：

bash复制nmcli connection modify ens160 \
  ipv4.method manual \
  ipv4.addresses 192.168.10.10/24 \
  ipv4.gateway 192.168.10.1 \
  ipv4.dns "223.5.5.5 114.114.114.114" \
  connection.autoconnect yes

然后重新激活连接：

bash复制nmcli connection up ens160

这里面的关键点是ipv4.method manual。如果你只改了ipv4.addresses而没有改method，网卡还是会通过DHCP获取地址，你配置的IP不会生效。这是第一次作业里命中率极高的坑。

ipv4.dns可以配置多个DNS，用空格分隔并用引号包起来。上面写的223.5.5.5和114.114.114.114都是国内比较常用的公共DNS，解析速度表现稳定。验证配置是否生效：

bash复制ip addr show ens160
ip route show
ping -c 4 192.168.10.1

ping自己的网关是检验网络配置的快速方法。如果网关不通，先检查IP和掩码有没有写错；如果通了还是不能解析域名，再检查DNS配置。逐层排查，不要上来就怀疑虚拟机网络模式有问题。

5.2 配置yum仓库：不会配源，后面什么都装不上

第一次作业里的软件源配置，基本可以分两条路线：本地ISO仓库和网络镜像仓库。两条都值得练，因为考试环境有可能不联网，本地仓库是保底方案。

本地仓库的做法是先挂载ISO镜像。把虚拟机光驱里放入安装用的ISO文件，然后执行：

bash复制mkdir -p /mnt/cdrom
mount -t iso9660 /dev/cdrom /mnt/cdrom

接着在/etc/yum.repos.d/目录下创建repo文件。这个目录下自带的官方源文件建议先改名或清空，避免冲突：

bash复制cd /etc/yum.repos.d/
mkdir /root/backup_repos
mv *.repo /root/backup_repos/

然后新建一个local.repo：

bash复制vim /etc/yum.repos.d/local.repo

内容如下：

ini复制[BaseOS]
name=BaseOS
baseurl=file:///mnt/cdrom/BaseOS
enabled=1
gpgcheck=0

[AppStream]
name=AppStream
baseurl=file:///mnt/cdrom/AppStream
enabled=1
gpgcheck=0

这里必须解释一下BaseOS和AppStream的关系。RHEL 8之后的仓库默认拆成两个核心仓库：BaseOS存放操作系统的关键组件，AppStream存放应用和运行时。只配一个，你后面要么装不了基础包，要么装不了常见软件。gpgcheck=0表示不校验签名，练习环境为了省事可以这么写。但真实生产环境强烈不建议，千万别说我没提醒。配置完成后执行：

bash复制yum clean all
yum repolist

如果看到BaseOS和AppStream两个仓库，且数量不为0，说明源配置成功。之后就可以用：

bash复制yum install -y httpd

验证实际安装效果了。

网络镜像仓库的思路完全一样，只是baseurl换成网络地址。国内常用的是阿里云镜像站、清华TUNA镜像站等，配置文件写法无非是：

ini复制[BaseOS]
name=BaseOS
baseurl=https://mirrors.aliyun.com/centos-stream/9-stream/BaseOS/x86_64/os/
enabled=1
gpgcheck=1
gpgkey=https://mirrors.aliyun.com/centos-stream/RPM-GPG-KEY-CentOS-Official

写网络源时需要联网，且baseurl路径要找对，写错一层目录就会报404或者“Cannot retrieve repository metadata”。这种错误排查起来也不难，用curl -I看一下这个URL是否返回200，就能确认路径对不对。

5.3 服务管理：enable不只是“启动”

RHCSA第一次作业里经常出现这样一句话：“安装httpd服务，并设置开机自启。”很多新手只记得systemctl start httpd就交卷了，忘了代码“开机自启”。

bash复制# 安装
yum install -y httpd

# 启动服务
systemctl start httpd

# 设置开机自启
systemctl enable httpd

# 合到一起的写法
systemctl enable --now httpd

enable --now是一次性完成启动和设置开机自启的快捷方式，真实考试能用尽量用，既省时间又不会漏步骤。验证服务运行状态用：

bash复制systemctl status httpd

如果要求验证服务能对外访问，还要注意防火墙的问题。RHEL默认防火墙是firewalld，80端口默认不开放：

bash复制firewall-cmd --permanent --add-service=http
firewall-cmd --reload

我自己第一次做这个作业时，httpd明明启动了，页面就是打不开，查了半天才发现是防火墙拦着。后来学乖了，凡是涉及网络服务的题目，做完先用ss -tlnp看端口是否监听，再用curl本机访问一下：

bash复制curl http://localhost

重点说一句：防火墙和SELinux这类安全机制是RHEL考试和实际运维里绕不开的内容，第一次作业最好就把“改了服务和端口之后要检查防火墙”这个习惯建立起来。

6. 常见报错与排查实录：新手最容易踩的五个坑

6.1 网络起不来：连接激活失败与配置冲突

典型报错：Connection activation failed: No suitable device found for this connection。这个报错看着吓人，实际上就是网卡名称和连接名称对不上。你执行nmcli connection modify ens160，但系统里可能根本没有名为ens160的连接，或者网卡实际叫ens33。解决办法很简单，先执行nmcli device status看清楚设备名，再用nmcli connection show看清楚连接名，修改时用对的名称。

还有一种情况更隐蔽：你手贱改了/etc/sysconfig/network-scripts/下的旧配置文件，同时NetworkManager也在管同一个网卡，两者配置冲突，导致网卡状态反复横跳。RHEL 9已经把NetworkManager作为唯一网络管理入口，建议彻底放弃手动改旧配置文件的习惯。

6.2 用户创建失败：组不存在、UID被占用

useradd -G dev tom如果报group 'dev' does not exist，问题很清楚，就是组还没建。另一个常见报错是UID already exists，这是因为你前面删除过用户，但系统记录了它使用过的UID，或者你手动指定了一个已经被占用的UID。解决办法是用useradd -u时先检查现有UID：

bash复制tail -5 /etc/passwd

如果非要删除重建用户，连家目录一起删干净，用：

bash复制userdel -r tom

-r参数会删除用户的家目录和mail spool。不加-r删用户后留下的家目录文件和孤儿UID/GID数据，会造成后续操作的各种疑难杂症。

6.3 yum仓库报错：repomd.xml和gpgcheck

仓库配置完执行yum repolist，报错无法获取repomd.xml，百分之八十是baseurl路径写错了。用文件协议时，先确认ISO确实挂载成功：ls /mnt/cdrom/BaseOS，能看到repodata目录说明挂载正常。用HTTP协议时，用curl -I验证URL可访问。

gpgcheck相关的报错一般长这样：Public key for xxx.rpm is not installed。你在repo文件里写了gpgcheck=1但没配gpgkey，或者软件包签名使用的密钥没有导入。练习场景直接改成gpgcheck=0，生产环境则应该通过rpm --import导入官方公钥。

6.4 软链接失效：源文件路径写得不对

软链接报错最常见的表现形式是ls -l时链接名后面跟着“红底白字”的闪动路径。用readlink查一下，发现链接指向的是一段“半截路径”。原因前面讲过，就是创建链接时没有写绝对路径。记住一条规则：创建软链接时，源文件路径永远写从根开始的完整路径。这条规则能避免九成以上的链接失效问题。

6.5 服务启动失败：SELinux和端口占用

systemctl start httpd报错Job for httpd.service failed，先看详细日志：

bash复制journalctl -u httpd -n 30

报错可能指向端口被占用，也可能是SELinux阻止访问非标准目录。第一次作业里最典型的场景是把网站根目录改到了/data/www，然后启动失败。这不是权限问题，是SELinux策略不允许httpd访问非默认目录。解决办法有很多种，练作业时最简单的是用semanage调整标签：

bash复制semanage fcontext -a -t httpd_sys_content_t "/data/www(/.*)?"
restorecon -Rv /data/www

这条路比直接setenforce 0好得多。你要知道，考试明确要求系统重启后SELinux仍然处于Enforcing状态，如果你靠setenforce 0强行启动服务，重启之后照样崩。把SELinux的策略调整方法练熟，比绕过它重要得多。

7. 提交作业前的自查清单：把这些检查项都过一遍再交卷

7.1 快速自查清单

第一次作业做完之后，不要急着提交，按照下面这份清单逐项检查。真实考试时，这同样是一套有效的检查流程。

这套清单我每次练习都会过一遍，花费不超过三分钟，但是能精准找出大多数遗漏。特别是systemctl is-enabled和chage -l这种“检查状态”的命令，考试时一定要用起来，它们比凭感觉判断可靠得多。

7.2 从第一次作业到真实考场的对应关系

RHCSA考试时间是两个半小时，一般二十道题左右，全部都是操作题，机器判卷加人工核验。第一次作业覆盖的恰好是考试的前半段内容：基础命令、用户权限、网络配置、软件源、服务管理。把这套基础练扎实，后面再学SELinux、存储管理、容器和Ansible脚本时就有了牢固的底子。

我建议你练习时给自己加一个条件：整个做作业过程中不要打开任何资料，像考试一样凭记忆完成所有命令。做完之后，再翻笔记逐题对照检查。第一次翻车很正常，正是这些翻车记录，能帮你标记出最薄弱的知识点，备考时也就更有针对性。

7.3 给第一次接触Linux的读者一点额外建议

如果你连虚拟机都还不太会用，建议先花半小时把下面这几个操作练熟：虚拟机快照、切换root用户、编辑文件并保存退出。用的命令无非是sudo -i、vim里的i进入编辑、Esc退出编辑、:wq保存。这几项是后面所有操作的地基，地基不稳，后面做什么都别扭。

我个人比较喜欢在练习本上准备一张速查卡，自己手写常用的命令和参数，比如useradd的常用参数、nmcli的修改语法、tar的打包解包组合。手写一遍和看一遍的感觉完全不一样，信我，这个方法比任何网课笔记都管用。

最后再分享一个小技巧：第一次作业里如果卡住了，优先看报错信息，不要盲目重试。Linux的报错基本都是英文，但结构都非常直白，它往往会告诉你“文件不存在”“组不存在”“网络不可达”“权限被拒绝”。把报错信息复制出来，逐词翻译一遍，你会发现自己能排查掉八成以上的问题。剩下的两成，带着报错信息去找答案，效率也比闷头猜高得多。