简介本资源是一套专为CentOS 7系统定制的Docker离线安装软件包集合面向Linux运维工程师、容器技术初学者及需在无网络环境部署Docker的系统管理员。资源完整覆盖Docker 1.12.6核心组件及其依赖包括docker主程序、客户端、OCI工具链skopeo、oci-umount、oci-register-machine、容器存储与SELinux策略支持模块等可实现一键式本地yum源搭建与离线安装。压缩包共16个文件含9个关键rpm安装包如docker-1.12.6、docker-client、container-selinux、3个gz格式元数据文件primary.xml.gz等、3个bz2格式仓库索引文件及1个repomd.xml总大小19.27MB结构符合标准RPM仓库规范便于直接配置为本地repo使用。目前已有382人学习下载读者可直接获取开箱即用的CentOS适配版Docker安装体系省去手动下载依赖、解决版本冲突与构建本地源的繁琐过程。1. 这不是 Docker 官方安装包docker.rpm.tar是个被压缩的 RPM 包集合专为离线环境批量部署 Docker 而生你刚在某内网服务器上执行yum install docker却提示“无可用软件源”或者在客户现场拿到一个叫docker.rpm.tar的文件双击打不开、tar -xvf解出来全是.rpm文件——别急这不是下载错了也不是病毒包。它本质是一个预打包的、可离线复用的 Docker 依赖闭环把docker-ce主程序、containerd、runc、docker-cli以及所有系统级依赖如libseccomp、libsystemd、iptables兼容层按 CentOS/RHEL 7/8 版本号精确匹配后统一打包进 tar 归档。它不带安装逻辑不改系统配置不启动服务但能让你在没网络、没仓库、没 root 权限仅能本地解压的受限环境中5 分钟内完成 Docker 二进制级就位。适合信创项目交付、金融核心区跳板机初始化、国产化替代过渡期运维、以及任何需要「零外部依赖」验证容器基础能力的场景。如果你正卡在离线环境装不上 Docker或反复因glibc版本冲突、selinux策略拦截、systemd单元缺失而失败这个包就是你该盯住的确定性出口。2. 拆包即用从docker.rpm.tar提取 RPM 并验证完整性2.1 解压归档并确认 RPM 清单结构docker.rpm.tar不是普通压缩包它采用 GNU tar 标准归档非 gzip/bzip2 压缩直接解压即可获得原始 RPM 文件列表。关键在于目录层级是否规范——合格的离线包必须包含Packages/子目录且所有 RPM 文件名需含版本与架构标识如docker-ce-24.0.7-1.el8.x86_64.rpm。执行以下命令验证# 创建安全解压目录避免路径遍历风险 mkdir -p /tmp/docker-offline cd /tmp/docker-offline # 解压注意不加 -z/-j 参数因是纯 tar 归档 tar -xf /path/to/docker.rpm.tar # 检查核心目录与文件数量典型应含 8~12 个 RPM ls -1 Packages/ | wc -l # 正常输出9 # 查看关键组件版本确认是否匹配目标系统 ls -1 Packages/docker-* | head -3 # 示例输出 # Packages/docker-ce-24.0.7-1.el8.x86_64.rpm # Packages/docker-ce-cli-24.0.7-1.el8.x86_64.rpm # Packages/containerd.io-1.6.32-3.1.el8.x86_64.rpm提示若ls Packages/报错 “No such file or directory”说明该 tar 包未按标准结构打包如直接把 RPM 放根目录此时需手动find . -name *.rpm -type f定位后续安装命令路径要相应调整。2.2 校验 RPM 签名与 SHA256 完整性离线包一旦被篡改会导致安装后容器运行时崩溃或权限越界。必须校验两层RPM 内置 GPG 签名验证来源可信和归档层 SHA256验证传输未损坏。先检查包是否内置签名# 进入 Packages 目录 cd Packages/ # 抽样校验 docker-ce 主包签名其他包同理 rpm -K docker-ce-*.rpm # 正常输出应含 gpg OK例如 # docker-ce-24.0.7-1.el8.x86_64.rpm: digests signatures OK # 若报 gpg NOKEY说明系统未导入 Docker 官方 GPG 公钥 # 此时需提前在联网机器执行rpm --import https://download.docker.com/linux/centos/gpg # 将生成的 /etc/pki/rpm-gpg/RPM-GPG-KEY-docker-ce 复制到离线机 /etc/pki/rpm-gpg/再校验 tar 包自身完整性需提前获取发布方提供的 SHA256 值# 在离线机计算 tar 包哈希 sha256sum /path/to/docker.rpm.tar | cut -d -f1 # 输出示例a1b2c3d4e5f6...32字节十六进制 # 与发布方提供的哈希值逐字符比对严禁肉眼扫用 diff 或 sha256sum -c echo a1b2c3d4e5f6... docker.rpm.tar checksum.sha256 sha256sum -c checksum.sha256 # 成功时输出docker.rpm.tar: OK参数说明rpm -K执行四重校验file size, mtime, digest, signature其中digest验证 RPM 内部文件哈希signature验证 GPG 签名链。sha256sum -c是唯一可靠方式比对哈希值避免空格/换行导致误判。2.3 确认目标系统兼容性CPU 架构与发行版代际docker.rpm.tar通常按el7/el8/el9和x86_64/aarch64组合分发。错误混用会导致error: Failed dependencies或cannot execute binary file。执行精准匹配# 查看当前系统发行版与主版本号 cat /etc/redhat-release # 示例输出CentOS Linux release 8.5.2111 # 提取主版本el8 对应 CentOS/RHEL 8.xel9 对应 9.x rpm -q --qf %{VERSION}\n centos-linux-release 2/dev/null || \ rpm -q --qf %{VERSION}\n rocky-release 2/dev/null || \ cat /etc/os-release | grep VERSION_ID | cut -d -f2 | tr -d # 查看 CPU 架构必须与 RPM 包名中架构一致 uname -m # x86_64 → 选 *x86_64.rpmaarch64 → 选 *aarch64.rpm # 关键验证检查 glibc 版本是否满足 Docker 最低要求2.28 for el8, 2.34 for el9 ldd --version | head -1 # 输出示例ldd (GNU libc) 2.28 → 兼容 el8 包若为 2.17el7则不可用 el8 包血泪经验某次在国产化 ARM 服务器Kylin V10 SP1上强行安装el8-aarch64包因内核模块overlay缺失且systemd版本过低dockerd启动后立即 segfault。最终发现该环境实际需el7-aarch64 手动加载overlay模块。永远以uname -r和ldd --version为准而非发行版名称。3. 离线安装分步强制安装 RPM 并规避依赖地狱3.1 依赖解析顺序为什么不能rpm -Uvh *.rpm一把梭Docker 组件间存在强依赖链docker-ce依赖docker-ce-cli和containerd.io而containerd.io又依赖runc和libseccomp。若顺序错误如先装docker-ce再装containerd.iorpm会因未满足依赖中断并回滚留下半残状态。正确顺序必须是底层运行时 → 中间件 → CLI → 主程序。典型依赖树如下libseccomp → runc → containerd.io → docker-ce-cli → docker-ce ↘ systemd-libs (el7/8)因此必须按--nodeps分步安装并确保containerd和runc优先就位。3.2 分步安装命令带依赖覆盖与静默模式进入Packages/目录后执行以下五步每步必须成功才进行下一步# Step 1: 安装底层安全库libseccomp——无依赖最安全起点 rpm -ivh libseccomp-*.rpm # Step 2: 安装容器运行时runc——依赖 libseccomp已满足 rpm -ivh runc-*.rpm # Step 3: 安装容器守护进程containerd.io——依赖 runc libseccomp rpm -ivh containerd.io-*.rpm # Step 4: 安装客户端工具docker-ce-cli——依赖 containerd.io rpm -ivh docker-ce-cli-*.rpm # Step 5: 安装主程序docker-ce——依赖 cli containerd systemd rpm -Uvh --force --nodeps docker-ce-*.rpm参数说明-ivhiinstall,vverbose显示详情,hhash进度条--force强制覆盖已存在文件如/usr/bin/docker--nodeps跳过依赖检查仅对docker-ce主包启用因其依赖systemd单元可能未注册但二进制本身可运行严禁对前 4 步加--nodeps——否则runc或containerd缺失将导致dockerd启动失败。3.3 启动 Docker 服务并验证基础功能安装完成后Docker 二进制已就位但服务未启用。需手动加载 systemd 单元并启动# 重新加载 systemd 配置识别新安装的 docker.service systemctl daemon-reload # 启用开机自启可选生产环境建议开启 systemctl enable docker # 启动服务 systemctl start docker # 验证服务状态关注 Active: active (running) systemctl status docker --no-pager -l | head -10 # 运行 hello-world 镜像首次会下载镜像需确保有外网或已预置 docker run --rm hello-world # 成功输出Hello from Docker! ... This message shows your installation appears to be working correctly. # 若报错 Cannot connect to the Docker daemon检查 dockerd 是否在运行 ps aux | grep dockerd | grep -v grep # 应看到类似/usr/bin/dockerd -H fd:// --containerd/run/containerd/containerd.sock注意docker run hello-world首次执行会尝试拉取镜像。若环境完全断网需提前在联网机器docker pull hello-world再docker save hello-world hello-world.tar拷贝到离线机后docker load hello-world.tar。4. 避坑指南离线安装 Docker 的五个高频翻车点4.1 现象systemctl start docker报错 Failed to start docker.service: Unit not found原因docker-ceRPM 包虽含docker.service文件但systemctl daemon-reload未执行或该文件被 SELinux 策略阻止读取。解决执行systemctl daemon-reload检查服务文件是否存在ls /usr/lib/systemd/system/docker.service若存在但无效手动复制cp /usr/lib/systemd/system/docker.service /etc/systemd/system/检查 SELinux 上下文ls -Z /usr/lib/systemd/system/docker.service正常应为system_u:object_r:unit_file_t:s0若为unconfined_u则执行restorecon -v /usr/lib/systemd/system/docker.service。4.2 现象docker info显示WARNING: No swap limit support或WARNING: bridge-nf-call-iptables is disabled原因内核参数未启用非安装失败但影响容器网络与资源限制功能。解决# 启用 iptables bridge 支持 echo net.bridge.bridge-nf-call-iptables1 /etc/sysctl.conf sysctl -p # 启用 cgroup swap 限制需内核支持 CONFIG_MEMCG_SWAP echo vm.swappiness0 /etc/sysctl.conf sysctl -p4.3 现象docker run -it ubuntu:20.04 /bin/bash报错 standard_init_linux.go:228: exec user process caused: no such file or directory原因容器镜像使用glibc版本高于宿主机如 el7 宿主机运行 el8 编译的镜像。解决降级镜像改用ubuntu:18.04glibc 2.27或alpine:3.14musl libc或升级宿主机yum update glibc需确认兼容性根本方案在离线包同版本系统构建镜像避免跨代际混用。4.4 现象docker images为空docker pull报错 x509: certificate signed by unknown authority原因离线环境缺少 CA 证书HTTPS 请求失败。解决# 将联网机器的 ca-bundle 复制过来 # 在联网机cp /etc/pki/ca-trust/extracted/pem/tls-ca-bundle.pem /tmp/ca-bundle.pem # 在离线机cp /tmp/ca-bundle.pem /etc/pki/ca-trust/extracted/pem/tls-ca-bundle.pem update-ca-trust4.5 现象dockerd进程存在但docker ps无响应strace docker ps显示卡在connect(/run/docker.sock)原因/run/docker.sock文件权限错误或 SELinux 拒绝 socket 访问。解决# 检查 socket 权限应为 srw-rw----组为 docker ls -l /run/docker.sock # 若权限错误chmod 660 /run/docker.sock; chgrp docker /run/docker.sock # 检查 SELinux 上下文 ls -Z /run/docker.sock # 正常应为 system_u:object_r:container_runtime_socket_t:s0 # 若异常restorecon -v /run/docker.sock5. 进阶技巧构建可审计的离线 Docker 环境快照5.1 生成环境指纹记录所有关键组件哈希与版本离线环境必须可复现、可审计。每次安装后立即生成环境快照用于故障回溯与合规检查# 创建快照目录 mkdir -p /opt/docker-offline-snapshot/$(date %Y%m%d-%H%M%S) # 记录系统基础信息 cat /etc/os-release /opt/docker-offline-snapshot/$(date %Y%m%d-%H%M%S)/os-info.txt uname -r /opt/docker-offline-snapshot/$(date %Y%m%d-%H%M%S)/os-info.txt ldd --version /opt/docker-offline-snapshot/$(date %Y%m%d-%H%M%S)/os-info.txt # 记录所有已安装 Docker 相关 RPM 的完整信息含哈希 rpm -qa | grep -E (docker|containerd|runc|libseccomp) | sort | while read pkg; do echo $pkg /opt/docker-offline-snapshot/$(date %Y%m%d-%H%M%S)/rpm-details.txt rpm -qi $pkg | grep -E (Version|Release|Architecture|Install Date|Signature) /opt/docker-offline-snapshot/$(date %Y%m%d-%H%M%S)/rpm-details.txt rpm -V $pkg 21 | grep -v missing /opt/docker-offline-snapshot/$(date %Y%m%d-%H%M%S)/rpm-details.txt done # 计算所有 RPM 文件的 SHA256用于未来比对是否被篡改 find /tmp/docker-offline/Packages/ -name *.rpm -type f -exec sha256sum {} \; /opt/docker-offline-snapshot/$(date %Y%m%d-%H%M%S)/rpm-sha256.txt提示此快照目录可打包为docker-snapshot-20240520.tar.gz随交付物一同提供给客户作为环境基线证据。5.2 预置常用镜像构建免拉取的离线镜像仓库避免每次docker run都触发网络请求将高频镜像如nginx:alpine,redis:7-alpine,busybox预加载# 在联网机器执行假设已安装 docker docker pull nginx:alpine docker pull redis:7-alpine docker pull busybox # 导出为单个 tar 文件节省空间 docker save nginx:alpine redis:7-alpine busybox /tmp/offline-images.tar # 拷贝到离线机后加载 docker load /tmp/offline-images.tar # 验证是否加载成功 docker images | grep -E (nginx|redis|busybox)参数说明docker save生成的是分层 tardocker load可直接解析无需 registry。相比docker export导出容器文件系统save/load保留镜像元数据与历史层是离线分发的黄金标准。5.3 自动化安装脚本封装为幂等、可重入的 Bash 工具将前述步骤封装为install-docker-offline.sh支持重复执行幂等、失败自动退出、日志留存#!/bin/bash # install-docker-offline.sh —— 专为 docker.rpm.tar 设计的离线安装器 set -e # 任一命令失败即退出 LOGFILE/var/log/docker-offline-install-$(date %Y%m%d-%H%M%S).log exec (tee -a $LOGFILE) 21 echo 【$(date)】开始离线安装 Docker WORKDIR/tmp/docker-offline TAR_PATH${1:-/path/to/docker.rpm.tar} if [[ ! -f $TAR_PATH ]]; then echo 错误未指定或找不到 docker.rpm.tar 路径 exit 1 fi # 步骤1解压 echo 步骤1解压 $TAR_PATH mkdir -p $WORKDIR tar -xf $TAR_PATH -C $WORKDIR # 步骤2校验 echo 步骤2校验 RPM 签名 cd $WORKDIR/Packages rpm -K *.rpm | grep -v OK$ { echo RPM 签名校验失败; exit 1; } # 步骤3安装按顺序 echo 步骤3安装底层依赖 rpm -ivh libseccomp-*.rpm runc-*.rpm containerd.io-*.rpm docker-ce-cli-*.rpm rpm -Uvh --force --nodeps docker-ce-*.rpm # 步骤4启动服务 echo 步骤4启动 Docker 服务 systemctl daemon-reload systemctl enable docker systemctl start docker # 步骤5验证 echo 步骤5验证安装 if docker info /dev/null 21; then echo ✅ 安装成功Docker 版本$(docker --version) echo ✅ 运行测试$(docker run --rm hello-world 2/dev/null | head -1) else echo ❌ 安装失败请检查 $LOGFILE exit 1 fi使用方式chmod x install-docker-offline.sh ./install-docker-offline.sh /path/to/docker.rpm.tar。脚本会自动记录完整日志失败时直接退出并提示日志位置避免“半途而废”状态。从那以后我每次交付离线 Docker 环境都强制走一遍install-docker-offline.sh 快照生成流程哪怕客户说“不用这么麻烦”。因为去年一次金融项目上线前夜正是靠快照里的rpm -V输出30 秒定位到某个 RPM 被运维误删了/usr/bin/runc而不是花 4 小时重装整个系统。希望帮到你。本文还有配套的精品资源点击获取