Как Rocky Linux спас мир Enterprise Linux
Для многих системных администраторов и инженеров DevOps смерть CentOS Linux в пользу CentOS Stream стала настоящим кризисом. Стабильный, предсказуемый и, главное, бинарно-совместимый клон Red Hat Enterprise Linux (RHEL) внезапно превратился в тестовую площадку, непригодную для критически важных корпоративных систем.
Именно в ответ на этот вызов и появился Rocky Linux. Его основатель, Грегори Курцер (один из сооснователей того самого CentOS), взял на себя миссию восстановить предсказуемую, бесплатную альтернативу RHEL. Основной принцип остался неизменным: полная бинарная совместимость с RHEL, но при этом долгосрочная поддержка и стабильность.
Некоммерческий фундамент: RESF и устойчивость
Rocky Linux управляется независимой некоммерческой организацией Rocky Enterprise Software Foundation (RESF). Создание такого фонда было ключевым шагом для гарантии того, что проект никогда не будет контролироваться одной корпорацией, как это произошло с CentOS.
Ключевые принципы RESF:
- Полный контроль со стороны сообщества.
- Прозрачность в разработке и принятии решений.
- Обеспечение возможностей для коммерческих интересов (enablement of commercial interests). Это означает, что RESF активно сотрудничает с партнерами, которые предоставляют платную поддержку (например, CIQ) и создают усиленные продукты, обеспечивая приток финансирования. Эта модель сделала Rocky Linux более финансово устойчивым по сравнению с другими клонами.
Актуальный стандарт: Rocky Linux 10.0 (Red Quartz)
В настоящее время (Октябрь 2025 года) основным стандартом для новых развертываний является Rocky Linux 10.0 (кодовое имя Red Quartz), который вышел 11 июня 2025 года. Этот мажорный релиз принес самые значительные изменения со времен Rocky 8, и планирование перехода на него - обязательная задача.
Почему пора забыть о 8.x и 9.x?
Если вы все еще используете Rocky Linux 9.x, обратите внимание: актуальный минорный релиз 9.6 уже перешел в фазу поддерживающего обслуживания (Maintenance Support) в ноябре 2025 года. Это значит, что вы не будете получать новые функции, обновления библиотек или поддержку нового "железа".
Rocky Linux 10.0, напротив, гарантирует полную поддержку до конца 2025 года (до выхода 10.1) и переход на фазу поддерживающего обслуживания с горизонтом до мая 2034 года.
Важное правило миграции: Rocky Linux не поддерживает прямое обновление (in-place upgrade) между основными версиями (например, с 9.x на 10.x). Для перехода требуется чистая установка операционной системы.
Ключевые технологические сдвиги в RL 10.0
Rocky Linux 10.0 - это не просто обновление, это пересмотр архитектуры, который соответствует современным требованиям Enterprise IT:
Важно: Из RL 10.0 были удалены многие компоненты, традиционно связанные с десктопными окружениями (например, Firefox, LibreOffice, Evolution, X.Org). Это подтверждает ориентацию дистрибутива строго на серверное использование. Для десктопных задач разработчики RHEL-экосистемы предлагают использовать альтернативные решения, например, Flatpak-приложения.
Современные инструменты
Для эффективной работы с Rocky Linux 10 необходимо освоить современные подходы к администрированию, которые включены в дистрибутив по умолчанию.
Cockpit: Веб-консоль для удаленного управления
Cockpit - официальный веб-интерфейс, который позволяет системным администраторам управлять серверами через любой браузер (рекомендуются актуальные версии Chrome или Firefox ).
Это идеальный инструмент для мониторинга ресурсов, управления службами systemd, хранилищем, пользователями и сетевыми настройками без необходимости постоянного доступа к консоли.
Установка и запуск Cockpit:
sudo dnf install cockpit
sudo systemctl enable --now cockpit.socket
После запуска доступ к веб-консоли осуществляется через порт 9090: https://ip-address-of-machine:9090.
Обязательный CRB для пакетов EPEL
Если вы используете сторонние пакеты из репозитория EPEL (Extra Packages for Enterprise Linux), в Rocky Linux 9+ и 10+ есть обязательное требование: необходимо включить репозиторий CRB (CodeReady Builder) .
Многие популярные пакеты EPEL зависят от библиотек, расположенных именно в CRB (который раньше назывался PowerTools в Rocky Linux 8). Если вы забудете это сделать, установка завершится ошибкой зависимостей.
Включение CRB:
sudo dnf config-manager --set-enabled crb
SELinux: Не отключать, а изучать
Security-Enhanced Linux (SELinux) - важнейший компонент безопасности в корпоративных дистрибутивах. Эксперты категорически не рекомендуют отключать SELinux, так как это устраняет критический уровень защиты .
Однако, если вы временно отключали SELinux (например, для отладки), при его повторной активации необходимо провести процедуру перемаркировки файловой системы. Если этого не сделать, вновь созданные файлы будут иметь некорректные метки безопасности, что приведет к сбоям приложений.
Команды для восстановления целостности SELinux:
# Добавление файла-маркера для перемаркировки
sudo touch /.autorelabel
# Перезагрузка для выполнения процедуры
sudo reboot
Ядро автоматически переназначит правильные контексты безопасности всем файлам при следующей загрузке .
Эра контейнеров и безопасности
Rocky Linux 10, следуя курсу RHEL, активно продвигает современный, безопасный стек контейнеризации.
Podman: контейнеры без демона и с SELinux
Podman стал стандартом контейнеризации в Rocky Linux. Его ключевое отличие от Docker - отсутствие постоянно работающего централизованного демона. Вместо этого Podman интегрируется напрямую с systemd для управления процессами .
Главное преимущество Podman в корпоративной среде: он запускает каждый контейнер с меткой SELinux по умолчанию . Это обеспечивает более строгий контроль доступа и изоляцию процессов на уровне ядра, устраняя при этом крупный вектор атаки, связанный с корневым демоном.
Hardened Images и защита ядра (LKRG)
Благодаря партнерству с коммерческими организациями (например, CIQ), Rocky Linux вышел за рамки базового бесплатного дистрибутива. Стали доступны «Rocky Linux Hardened» (усиленные образы) для ведущих облачных платформ (AWS, Azure, Google Cloud) .
Эти усиленные образы поставляются с уникальными функциями безопасности, в частности:
- Системное усиление для минимизации рисков zero-day уязвимостей .
- Внедрение Linux Kernel Runtime Guard (LKRG). Это инструмент, который обеспечивает защиту ядра в реальном времени от сложных вторжений и атак, ориентированных на ядро системы. LKRG блокирует эксплойты еще до того, как они смогут быть реализованы .
Стратегические вызовы: Как Rocky Linux победил Red Hat
В 2023 году Red Hat ограничила публичный доступ к исходному коду RHEL, что стало крупнейшим стратегическим кризисом для всех RHEL-клонов. Историческое обещание 1:1 бинарной совместимости оказалось под угрозой.
Успешный переход к новой стратегии
Rocky Linux успешно преодолел этот вызов, выпустив версию 10.0. Команда проекта перешла на стратегию сбора исходного кода из множества источников, включая CentOS Stream, чистые upstream-пакеты и RHEL SRPMs.
Хотя это усложнило процесс сборки, прозрачность и техническая компетентность RESF позволили проекту сохранить фактическую совместимость с RHEL. Наличие серьезного финансирования и прочная структура фонда дали Rocky Linux необходимые ресурсы, чтобы инвестировать в новые инструменты автоматизации и гарантировать надежность дистрибутива на годы вперед.
В марте 2025 года Фонд RESF дополнительно укрепил свою приверженность открытости, официально одобрив Принципы открытого исходного кода ООН (UN Open Source Principles), что подтверждает его долгосрочную надежность и прозрачность.
Рекомендации администраторам
Rocky Linux 10.0 является лучшим выбором для любой корпоративной инфраструктуры, требующей стабильности, безопасности и долгосрочной поддержки.
Чеклист администратора на 2025 год
- Срочная миграция на 10.x: Переходите с Rocky Linux 9.x на 10.x с помощью чистой установки, чтобы получить полную поддержку до 2034 года.
- Активация CRB: Не забудьте включить репозиторий CRB (dnf config-manager --set-enabled crb) перед установкой пакетов из EPEL .
- Используйте Cockpit: Внедрите Cockpit (порт 9090) для эффективного и централизованного управления удаленными серверами.
- Контейнеризация: Используйте Podman для всех контейнерных задач, максимально используя его интеграцию с SELinux .
- SELinux - обязателен: Изучайте политики безопасности и, если требуется реактивация, всегда проводите процедуру перемаркировки (sudo touch /.autorelabel) .
Rocky Linux доказал, что может адаптироваться к любым стратегическим изменениям на рынке. Его прочная основа, мощное сообщество и коммерческая поддержка делают его самым надежным преемником CentOS и будущим стандартом Enterprise Linux.