Rocky Linux: анализ, стратегия миграции и практики администрирования

История возникновения дистрибутива Rocky Linux неразрывно связана с внезапным и кардинальным изменением стратегии проекта CentOS, который сменил модель стабильного корпоративного клона Red Hat Enterprise Linux (RHEL) на модель непрерывной поставки (CentOS Stream). Этот сдвиг создал серьезный вакуум на рынке корпоративных операционных систем, поскольку системные администраторы и разработчики потеряли предсказуемую, бинарно-совместимую, бесплатную альтернативу RHEL, критически важную для тестирования и эксплуатации.

В ответ на этот запрос сообщества, основатель CentOS Грегори Курцер инициировал создание Rocky Linux. Фундаментальный принцип проекта заключался в том, чтобы быть полным бинарно-совместимым релизом, построенным на основе исходного кода RHEL, обеспечивая знакомую стабильность и долгосрочную поддержку.  

Наследие и вакуум CentOS: хроника рождения RESF

Rocky Linux управляется некоммерческой организацией Rocky Enterprise Software Foundation (RESF). Создание независимого фонда было ключевым шагом для обеспечения долговечности и непредвзятости проекта. Основные принципы, закрепленные в уставе RESF, включают управление и контроль со стороны сообщества, полную прозрачность в принятии решений и разработке, а также обеспечение того, что все зависимости и исходные артефакты остаются свободными, открытыми и воспроизводимыми.  

Особое внимание уделяется принципу «enablement of commercial interests» (обеспечение возможностей для коммерческих интересов). Это стратегическое решение стало краеугольным камнем устойчивости Rocky Linux. В то время как другие RHEL-клоны могут испытывать финансовые трудности, RESF создал структуру, которая активно приветствует и поощряет коммерческую поддержку от таких партнеров, как CIQ. Эта модель управления позволяет привлекать значительное финансирование, что, согласно анализу, ставит Rocky Linux в более сильную финансовую позицию по сравнению с конкурентами, например, AlmaLinux. Такая финансовая устойчивость, обусловленная прозрачной и открытой моделью фонда, критически важна для поддержания 10-летнего жизненного цикла поддержки, требуемого корпоративным рынком.  

Актуальный ландшафт: Rocky Linux 10.x — жизненный цикл и производительность

Rocky Linux 10.0 (кодовое имя Red Quartz) является актуальным крупным релизом для новых корпоративных развертываний, официально выпущенным 11 июня 2025 года. Он пришел на смену Rocky Linux 9, принеся значительные архитектурные изменения, улучшения безопасности и обновленные ключевые компоненты.

Почему переход на Rocky 10.x неизбежен

Администраторы, работающие с Rocky Linux 9.x, должны уже планировать миграцию. Актуальный минорный релиз Rocky Linux 9.6, вышедший 4 июня 2025 года, перейдет в фазу поддерживающего обслуживания (Maintenance Support) уже в ноябре 2025 года. Полная поддержка (Full Support), включающая новые функции, исправления ошибок и поддержку нового оборудования, прекращается после выпуска следующего минорного релиза или достижения конечной даты.  

Rocky Linux 8.x уже давно находится в фазе Maintenance Support (с мая 2024 года ) и не получает новых функций или поддержки современного оборудования. Таким образом, переход на RL 10.x необходим для всех организаций, стремящихся использовать актуальные технологии, новейшие исправления безопасности и долгосрочную полную поддержку.  

Важно: Rocky Linux не поддерживает прямое обновление (in-place) между основными версиями (например, с 9.x на 10.x). Рекомендуемый метод перехода на Rocky Linux 10 — это чистая установка операционной системы.  

Ключевые компоненты и нововведения Rocky Linux 10.0

Rocky Linux 10.0 представляет собой фундаментальный сдвиг в экосистеме Enterprise Linux, обусловленный изменениями в исходном RHEL.

Изменения в десктоп-окружении: В RL 10 произошли значительные изменения, ориентирующие дистрибутив строго на серверное использование. Из основного дистрибутива были удалены ключевые компоненты для рабочего стола, такие как X.Org, Firefox, LibreOffice и Evolution. Для сохранения функциональности пользователям рекомендуется переходить на альтернативные решения, например, Flatpak-версии или пакеты из репозитория EPEL.

Стратегия EOL: сроки и планирование

Проект Rocky Linux тщательно придерживается цикла релизов, синхронизированного с RHEL, обеспечивая долгосрочное планирование для корпоративных клиентов. В таблице ниже представлены ключевые даты жизненного цикла, подчеркивающие необходимость миграции на RL 10.x.

Примечание: Поскольку Rocky Linux 10.0 является текущим минорным релизом, его полная поддержка закончится с выходом 10.1 (ориентировочно в конце 2025 года).

Rocky Linux сохраняет свою репутацию платформы, оптимизированной для высокопроизводительных вычислений (HPC). Продолжается глубокая инженерная работа по тонкой настройке ядра и библиотек.

Например, специализированные HPC-образы Rocky Linux 8 в Google Cloud Platform (GCP) ранее демонстрировали повышение производительности в тестах Intel MPI Benchmark (IMB) AllReduce до 25% и IMB Ping-Pong до 15% по сравнению со стандартными образами. Этот факт подтверждает, что Rocky Linux является не просто клоном RHEL, но профессионально оптимизированной платформой, способной обеспечить максимальную эффективность в кластерных вычислениях и обработке больших данных.  

Безопасность и администрирование

Для эффективного и безопасного управления системами на базе Rocky Linux 10+ системным администраторам необходимо активно использовать современные инструменты, интегрированные в экосистему Enterprise Linux.

Cockpit: дверь к веб-управлению

Cockpit является официальным веб-интерфейсом для управления серверами Linux, который позволяет администраторам выполнять задачи системного администрирования, такие как управление службами, пользователями, хранилищем и сетевыми настройками, через интуитивно понятный браузерный интерфейс. Это особенно полезно при работе с удаленными серверами.

Доступ к Cockpit осуществляется через порт 9090 по протоколу HTTPS: https://ip-address-of-machine:9090. Вход производится с использованием учетной записи и пароля системного пользователя.  

Установка и запуск Cockpit в Rocky Linux 10+ выполняются следующими командами:

sudo dnf install cockpit
sudo systemctl enable --now cockpit.socket

После установки, Cockpit автоматически запускает сокет. Рекомендуется использовать актуальные версии браузеров (Mozilla Firefox, Google Chrome) для обеспечения полной функциональности и безопасности.  

Firewalld: управление сетевыми зонами

Firewalld остается стандартным динамическим брандмауэром в Rocky Linux 10. Он управляет сетевыми зонами, позволяя администраторам определять различные уровни доверия для различных сетевых интерфейсов.

При работе с Firewalld критически важно помнить о двух режимах: runtime (текущий) и permanent (постоянный). Изменения, внесенные без флага --permanent, будут потеряны после перезагрузки. После внесения постоянных изменений необходимо применить их, перезагрузив конфигурацию:

# Пример: Открытие порта 5672 (RabbitMQ) в публичной зоне
sudo firewall-cmd --zone=public --add-port=5672/tcp --permanent
# Применение изменений
sudo firewall-cmd --reload
# Проверка открытых портов
sudo firewall-cmd --list-all --zone=public

Использование постоянных правил и их обязательный перезапуск (--reload) предотвращает частые административные ошибки.  

SELinux: комплексная защита, которую нельзя игнорировать

Security-Enhanced Linux (SELinux) является обязательным компонентом безопасности. Сообщество экспертов настоятельно рекомендует избегать отключения SELinux, поскольку это подвергает систему серьезным рискам, устраняя важнейший уровень защиты. Гораздо более безопасной практикой является изучение принципов работы SELinux и настройка его политик.  

Если SELinux был временно отключен, при его реактивации (например, при установке SELINUX=enforcing), новосозданные или измененные файлы могут не иметь необходимых меток безопасности. Чтобы избежать сбоев, администратор должен выполнить полное перемаркирование системы:

sudo touch /.autorelabel
sudo reboot

Эта процедура обязывает ядро переназначить правильные контексты безопасности всем файлам при следующей загрузке, что является критически важным шагом для восстановления целостности системы безопасности.  

Настройка репозиториев: обязательный CRB для EPEL

Для корректной работы стороннего репозитория EPEL (Extra Packages for Enterprise Linux) в Rocky Linux 9+ и 10+ обязательно должен быть включен репозиторий CRB (CodeReady Builder), который ранее был известен как PowerTools в Rocky Linux 8.  

Многие пакеты в EPEL зависят от библиотек и утилит, находящихся в CRB. Включение CRB в Rocky Linux 9+ и 10+ осуществляется следующей командой:

# Включение CRB в Rocky 9+ и 10+
sudo dnf config-manager --set-enabled crb

Это небольшой, но критичный административный шаг, который обеспечивает гладкое функционирование сторонних пакетов.

Эра контейнеров: Rocky Linux, Podman и Hardening в облаке

Современные корпоративные IT-инфраструктуры невозможно представить без контейнеризации. Rocky Linux, следуя стратегии RHEL, активно продвигает Podman как предпочтительный инструмент для работы с контейнерами.

Podman: контейнеризация без демонов

Podman отличается от традиционных систем контейнеризации тем, что он не использует постоянно работающий централизованный демон. Вместо этого он интегрирован с системным менеджером systemd для управления службами и процессами.  

Ключевым преимуществом Podman в корпоративной среде является его глубокая интеграция с SELinux. Podman по умолчанию запускает каждый контейнер с меткой Security-Enhanced Linux, что дает администраторам расширенный контроль над тем, к каким ресурсам и возможностям имеет доступ контейнерный процесс.  

Использование Podman, основанного на архитектуре без демонов и усиленного SELinux, устраняет крупные потенциальные векторы атак, связанные с постоянным корневым демоном. Эта модель безопасности идеально соответствует высоким требованиям безопасности Enterprise Linux.

Усиленные образы (Hardened Images) в облаках

Взаимодействие Rocky Linux с коммерческими партнерами, такими как CIQ, позволило вывести дистрибутив за рамки базового бесплатного предложения. CIQ активно расширяет доступность «Rocky Linux Hardened» (усиленных образов) на ведущих облачных платформах, включая AWS, Azure и Google Cloud.  

Эти усиленные образы предлагают готовые решения для компаний с повышенными требованиями к безопасности. Ключевые механизмы защиты, встроенные в Hardened Images, включают:

• Проактивное устранение угроз: Проактивное усиление устраняет целые классы уязвимостей, блокируя эксплойты до того, как они смогут быть реализованы.
• Обнаружение и реагирование на атаки: Применение Linux Kernel Runtime Guard (LKRG) — инструмента, предназначенного для обнаружения сложных вторжений и атак, ориентированных на ядро системы.  

Внедрение LKRG непосредственно в облачные образы обеспечивает защиту ядра в реальном времени, что выходит за рамки стандартных настроек безопасности. Это подтверждает техническую зрелость и ориентированность Rocky Linux на высоконадежные среды.  

Стратегические вызовы: Rocky Linux и новая реальность RHEL Source

В середине 2023 года Red Hat приняла решение ограничить публичный доступ к исходному коду RHEL, что стало крупнейшим стратегическим вызовом для всех downstream-дистрибутивов.

Потеря бинарной совместимости 1:1

Исторически Rocky Linux позиционировался как точный, бинарно-совместимый 1:1 клон RHEL. После изменения политики Red Hat, которая прекратила свободный доступ к коду RHEL, будущие версии Rocky Linux больше не могут быть точными 1:1 клонами.  

Разработчики Rocky Linux были вынуждены искать альтернативные источники кода, чтобы продолжить выпуск операционной системы, что потенциально ставило под вопрос ключевое обещание дистрибутива.

Сдвиг парадигмы: переход к новым источникам

Rocky Linux успешно преодолел этот стратегический вызов с выпуском версии 10.0. Для поддержания максимальной совместимости команда проекта теперь собирает исходный код из нескольких источников: CentOS Stream, чистые upstream-пакеты и RHEL SRPMs,.

CentOS Stream был назван «логичным вторым лучшим вариантом» для использования в качестве источника. Несмотря на то, что это требует более сложной стратегии сборки, сообщество RESF придерживается высочайшего уровня прозрачности в процессах сборки и патчинга, чтобы сохранить практическую 1:1 совместимость, что соответствует фундаментальным принципам фонда.

Укрепление позиций RESF

Наличие значительного финансирования и прочной организационной структуры, как Rocky Enterprise Software Foundation (RESF), дает Rocky Linux преимущество перед конкурентами, например, AlmaLinux. RESF, описывающий себя как «самопровозглашенная некоммерческая организация» (self-imposed not-for-profit), в марте 2025 года официально одобрил Принципы открытого исходного кода ООН (UN Open Source Principles). Этот шаг подтверждает приверженность фонда прозрачности, подотчетности и устойчивому развитию, что является ключевым фактором долгосрочной надежности дистрибутива.  

Заключение: рекомендации для системных администраторов

Rocky Linux, в лице версии 10.0, зарекомендовал себя как наиболее устойчивый и надежный преемник CentOS. Успешный выпуск новой мажорной версии, несмотря на стратегические ограничения со стороны Red Hat, подтверждает долгосрочную жизнеспособность проекта.

Рекомендации по миграции и жизненному циклу

• Переход на 10.x как новый стандарт: С учетом завершения полной поддержки RL 9.x в конце 2025 года, администраторам следует немедленно планировать переход на Rocky Linux 10.x. Это обеспечит долгосрочную поддержку до 2034 года (ожидается).  
• Чистая установка: Для перехода с Rocky Linux 9.x (или 8.x) на 10.x необходимо выполнять чистую установку (fresh install), поскольку прямое обновление между мажорными версиями не поддерживается.  
• Активация CRB: При настройке Rocky Linux 10+ для установки сторонних пакетов из EPEL, всегда необходимо первым шагом включать репозиторий CRB (dnf config-manager --set-enabled crb), чтобы избежать проблем с зависимостями.  

Использование современных инструментов и практик безопасности

• Администрирование через Cockpit: Использование веб-консоли Cockpit (порт 9090) рекомендуется для упрощения мониторинга и администрирования, особенно в средах с множеством удаленных серверов.  
• Принятие Podman: Внедрение Podman в качестве стандарта контейнеризации. Его архитектура без демонов и глубокая интеграция с SELinux обеспечивают более высокий уровень безопасности в сравнении с традиционными решениями.  
• Не отключать SELinux: Администраторы должны изучать, как работают политики SELinux, а не отключать его. В случае необходимости переактивации, всегда использовать процедуру перемаркирования файловой системы (sudo touch /.autorelabel) для восстановления меток безопасности.  

Будущая оценка

Успешный выпуск Rocky Linux 10.0, основанный на новой многокомпонентной стратегии сбора исходного кода, продемонстрировал, что RESF обладает технической компетентностью и ресурсами для сохранения фактической совместимости с RHEL. Финансовая устойчивость и прозрачная структура управления Rocky Linux являются ключевыми факторами, обеспечивающими его позицию в качестве ведущего корпоративного дистрибутива Linux на годы вперед.

Читайте также

• Linux Scheduler: Автоматизация задач с Cron и Systemd Timers
• Установка Debian
• CentOS: от классики до Stream.
• Установка и настройка Linux Terminal Server Project (LTSP)
• Управление процессами в Linux