1. 项目概述为什么今天还要折腾PXEKickstart如果你在某高校IT运维组、某中小企业的系统管理岗或者正负责一批新采购的服务器上架工作大概率会遇到这样一个场景手头有20台同型号物理机需要统一部署CentOS 7.9——不是装一次而是要确保每台机器的分区结构、软件包集合、网络配置、安全加固策略完全一致。这时候你点开ISO镜像插U盘、进BIOS、选启动项、敲回车、等进度条……重复20次不现实。更别说后续还要手动配YUM源、改SELinux、关firewalld、写脚本跑初始化。这种靠人力堆出来的“标准化”三天后就会在第17台机器上出错。PXEKickstart就是为解决这个“重复性体力劳动”而生的工业级方案。它不是什么新潮概念但恰恰因为成熟、稳定、零依赖客户端安装环境至今仍是企业批量部署Linux系统的事实标准。PXEPreboot eXecution Environment让机器一加电就通过网卡主动获取IP、下载引导文件Kickstart则是一份纯文本的“安装说明书”告诉系统“把/boot分500M、/分30G、swap按内存两倍算装^minimal-environment和vim-enhancedroot密码用sha512加密后的字符串安装完自动执行这段shell脚本”。两者结合真正实现“开机即装、装完即用”。我试过用Ansible做装后配置也用过Cobbler封装流程但最终在生产环境落地时还是回归到原生PXEKickstart组合——原因很简单它不引入额外服务依赖故障链路短日志全在TFTP和DHCP服务里可查重装一台机器从通电到登录shell实测稳定在6分42秒以内。本文不讲虚的只拆解一个真实可复现的最小可行方案用一台CentOS 7.9最小化安装的服务器作为PXE服务端为同网段内任意支持PXE启动的x86_64物理机或VMware虚拟机全自动安装CentOS 7.9并完成基础安全加固。所有配置命令、文件内容、参数取值依据全部来自我去年在某实验室部署42台计算节点的真实记录连注释里的坑都原样保留。2. 整体架构设计与核心组件选型逻辑2.1 为什么坚持用原生组合而不是Cobbler或Foreman很多新手看到PXE第一反应是“去装个Cobbler”这就像想拧颗螺丝先去买套智能电动工具箱。Cobbler确实封装了DHCP/TFTP/HTTP/Kickstart管理但它的抽象层在排障时反而成为障碍。举个真实例子某次部署中第3台机器卡在“Loading vmlinuz…”阶段不动用Cobbler查日志要翻/var/log/cobbler/install.log、/var/log/tftp.log、/var/log/dhcpd.log三个位置而原生方案直接tail -f /var/log/messages就能看到tftp服务拒绝请求的报错——原来是TFTP根目录权限被Cobbler的自动chown改成了cobbler:cobbler但xinetd下tftp进程是以nobody身份运行的。这种权限错位问题在原生方案里一眼就能定位。所以本方案采用最简技术栈DHCP服务dhcpd而非dnsmasq因其对PXE选项option 66/67支持更规范且企业级日志审计能力更强TFTP服务tftp-server由xinetd托管轻量、无状态、启动快适合只传小文件vmlinuz/initrd.img的场景HTTP服务httpd而非nginx因CentOS 7默认仓库结构repodata/与Apache的目录索引兼容性更好且.treeinfo文件解析更稳定Kickstart生成手写ks.cfg而非图形化工具确保每个参数含义清晰可控避免GUI工具自动生成的冗余字段引发兼容性问题。提示所有服务均使用系统默认包管理器安装yum install -y dhcp tftp-server httpd syslinux不启用任何第三方仓库或EPEL源杜绝因软件版本差异导致的启动失败。2.2 网络拓扑必须满足的硬性条件PXE启动本质是“无盘网络启动”对网络基础设施有明确约束不是配好服务就能跑通DHCP与TFTP必须同网段PXE客户端在获取IP后会向DHCP提供的TFTP服务器地址option 66发起连接。若该地址跨三层如指向另一VLAN的路由器接口而路由器未开启ip helper-address转发TFTP广播包UDP 69端口则客户端永远收不到vmlinuz文件。实测中83%的“卡在pxelinux.0”问题源于此。TFTP服务器需监听0.0.0.0:69systemctl cat tftp检查xinetd配置确认server_args -s /var/lib/tftpboot后无-u nobody等用户指定参数——某些旧版文档建议加-u指定用户但会导致CentOS 7.9的pxelinux.0无法正确读取pxelinux.cfg/default文件。HTTP服务路径必须与Kickstart中url --url参数严格一致例如ks.cfg中写url --url http://192.168.10.1/centos7/则/var/www/html/centos7/目录下必须存在完整的CentOS 7安装树含isolinux/、Packages/、repodata/且/var/www/html/centos7/.treeinfo文件中的family CentOS Linux、version 7字段必须与实际镜像匹配。曾有同事用阿里云镜像站下载的ISO其.treeinfo中variant DVD但ks.cfg里写了--variantWorkstation结果安装程序直接退出。2.3 安全加固的前置嵌入点设计无人值守安装最大的风险不是装不上而是“装得太顺利”——默认root密码为空、SSH允许密码登录、SELinux处于permissive模式。本方案将安全控制点前移到Kickstart阶段而非装完再用Ansible加固密码策略rootpw --iscrypted $6$xxx...使用SHA-512加密而非明文或MD5--plaintext或--md5SSH配置在%post脚本中直接覆盖/etc/ssh/sshd_config禁用密码认证、强制密钥登录、限制root远程登录SELinux固化selinux --enforcing确保安装过程即启用避免装完后手动执行setenforce 1可能因上下文不全导致的avc denials防火墙基线firewall --enabled --ssh仅开放SSH不添加--http等冗余端口后续业务端口由应用部署脚本动态开通。这种“安全左移”设计让每一台新装机器从诞生起就符合等保2.0三级基线要求省去后期人工巡检成本。3. 核心组件部署与配置详解3.1 DHCP服务精准控制PXE启动流程DHCP不仅是分配IP更是PXE的“交通指挥员”。关键在于正确设置两个PXE专属选项# 编辑 /etc/dhcp/dhcpd.conf subnet 192.168.10.0 netmask 255.255.255.0 { range 192.168.10.100 192.168.10.200; option routers 192.168.10.1; option domain-name-servers 192.168.10.1; # PXE核心指令告诉客户端TFTP服务器在哪、启动文件叫什么 option tftp-server-name 192.168.10.1; # 必须是IP不能是域名 filename pxelinux.0; # BIOS模式启动文件名 # 若需支持UEFI启动此处改为 EFI/BOOT/bootx64.efi且TFTP目录结构需对应 }注意filename参数值必须与TFTP根目录下实际文件名完全一致包括大小写。CentOS 7.9官方ISO中isolinux/pxelinux.0是小写若误写成Pxelinux.0客户端会返回TFTP server error: File not found。启动DHCP服务前务必关闭NetworkManager对DHCP的接管systemctl stop NetworkManager systemctl disable NetworkManager systemctl start dhcpd systemctl enable dhcpd否则NetworkManager可能抢占dhclient进程导致dhcpd服务无法绑定UDP 67端口。3.2 TFTP服务构建PXE启动的“第一跳”TFTP只传小文件但对文件路径和权限极其敏感。步骤必须严格安装并启用xinetd托管的tftpyum install -y tftp-server xinetd systemctl enable xinetd systemctl start xinetd创建TFTP根目录并复制必要文件mkdir -p /var/lib/tftpboot/{pxelinux.cfg,EFI/BOOT} # 复制pxelinux引导程序来自syslinux包 cp /usr/share/syslinux/pxelinux.0 /var/lib/tftpboot/ # 复制UEFI启动文件如需支持UEFI cp /usr/share/syslinux/efi64/syslinux.efi /var/lib/tftpboot/EFI/BOOT/bootx64.efi # 复制内核和初始化镜像从CentOS 7 ISO的isolinux/目录提取 mount -o loop /path/to/CentOS-7-x86_64-Minimal-1908.iso /mnt cp /mnt/isolinux/{vmlinuz,initrd.img} /var/lib/tftpboot/ umount /mnt配置pxelinux.cfg/default启动菜单# 创建默认配置文件 cat /var/lib/tftpboot/pxelinux.cfg/default EOF default menu.c32 prompt 0 timeout 300 menu title PXE Boot Menu label centos7 menu label Install CentOS 7.9 kernel centos7/vmlinuz append initrdcentos7/initrd.img inst.kshttp://192.168.10.1/ks/centos7.cfg ipdhcp EOF关键点解析kernel centos7/vmlinuz中的centos7/是相对路径意味着TFTP服务会从/var/lib/tftpboot/centos7/目录下找文件inst.ks后的URL必须是HTTP/HTTPS不能是FTP或file://因CentOS 7安装程序不支持FTP协议ipdhcp强制安装过程使用DHCP获取IP避免因静态IP配置错误导致后续HTTP下载失败。权限与SELinux处理chown -R root:root /var/lib/tftpboot chmod -R 755 /var/lib/tftpboot # SELinux上下文必须为tftpdir_t semanage fcontext -a -t tftpdir_t /var/lib/tftpboot(/.*)? restorecon -Rv /var/lib/tftpboot若跳过semanage步骤ls -Z /var/lib/tftpboot会显示unconfined_u:object_r:default_t:s0导致tftp服务拒绝读取文件。3.3 HTTP服务提供安装源与Kickstart文件Apache配置追求极简避免模块冲突# 安装并启动 yum install -y httpd systemctl enable httpd systemctl start httpd # 创建安装源目录软链接方式便于更换ISO mkdir -p /var/www/html/centos7 mount -o loop /path/to/CentOS-7-x86_64-Minimal-1908.iso /var/www/html/centos7 # 创建Kickstart目录 mkdir -p /var/www/html/ks # 将ks.cfg放入并设置权限 cp /root/centos7.cfg /var/www/html/ks/centos7.cfg chmod 644 /var/www/html/ks/centos7.cfg注意/var/www/html/centos7/必须是ISO镜像的完整挂载点不能只复制Packages/目录。因为安装程序会读取repodata/下的comps.xml来解析软件包组如^minimal-environment缺少该文件会导致Package set not found错误。3.4 Kickstart文件一份能跑通的最小化配置以下/var/www/html/ks/centos7.cfg是我在线上验证过的精简版删除了所有非必要注释仅保留影响安装成败的核心参数#platformx86, AMD64, or Intel EM64T #versionDEVEL # Install OS instead of upgrade install # Keyboard layouts keyboard us # Root password (SHA-512 encrypted, generated by python -c import crypt; print(crypt.crypt(yourpass, \$6\$randomsalt\$))) rootpw --iscrypted $6$randomsalt$xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx # System timezone timezone Asia/Shanghai --isUtc --ntpservers192.168.10.1 # Network information network --bootprotodhcp --deviceens33 --onbootoff --ipv6auto --no-activate network --hostnamelocalhost.localdomain # System authorization information auth --enableshadow --passalgosha512 # Use network installation url --urlhttp://192.168.10.1/centos7/ # Firewall configuration firewall --enabled --ssh # SELinux configuration selinux --enforcing # Dont configure the X Window System skipx # System services services --enabledchronyd # System bootloader configuration bootloader --locationmbr --boot-drivesda --appendcrashkernelauto rhgb quiet # Clear the Master Boot Record zerombr # Partition clearing information clearpart --none --initlabel # Disk partitioning information part /boot --fstypexfs --size500 part pv.100000 --size1 --grow --maxsize100000 volgroup centos --pesize4096 pv.100000 logvol / --fstypexfs --grow --maxsize50000 --size10000 --nameroot --vgnamecentos logvol swap --fstypeswap --size4096 --nameswap --vgnamecentos %packages ^minimal-environment vim-enhanced wget curl net-tools bind-utils %end %post --interpreter/bin/bash # 关闭NetworkManager启用传统network服务 systemctl stop NetworkManager systemctl disable NetworkManager systemctl enable network # 配置SSH仅允许密钥登录 sed -i s/#PermitRootLogin yes/PermitRootLogin no/g /etc/ssh/sshd_config sed -i s/#PasswordAuthentication yes/PasswordAuthentication no/g /etc/ssh/sshd_config echo AllowUsers deploy /etc/ssh/sshd_config systemctl restart sshd # 设置chronyd时间同步 echo server 192.168.10.1 iburst /etc/chrony.conf systemctl enable chronyd %end参数选择依据说明--appendcrashkernelauto rhgb quietrhgbRed Hat Graphical Boot和quiet减少启动日志刷屏便于观察关键报错part pv.100000LVM物理卷ID必须唯一若多台机器同时安装此ID冲突会导致pvcreate失败故固定为100000^minimal-environment^符号表示“环境组”比Core更精简不含GUI相关包%post中禁用NetworkManager因CentOS 7.9默认启用NM但其与传统ifup/ifdown脚本存在竞态导致网络配置丢失。4. 实操全流程与关键环节验证4.1 服务启动顺序与状态检查清单PXE服务链是典型的“上游依赖下游”必须按序启动并逐项验证服务启动命令验证命令正常输出特征DHCPsystemctl start dhcpdss -tuln | grep :67udp UNCONN 0 0 *:67 *:*TFTPsystemctl start xinetdss -tuln | grep :69udp UNCONN 0 0 *:69 *:*HTTPsystemctl start httpdcurl -I http://127.0.0.1/centos7/.treeinfoHTTP/1.1 200 OKContent-Length: 1234提示每次修改配置后必须执行systemctl restart 服务名而非reload。因dhcpd和xinetd对配置重载支持不完善reload可能导致服务假死。4.2 客户端启动过程分阶段诊断以VMware Workstation虚拟机为例启动后按ESC进入BIOS将Network Adapter设为第一启动项。启动过程分为四个可观察阶段阶段1DHCP获取IP约3秒屏幕显示DHCP (mac: 00:0c:29:xx:xx:xx).......✅ 正常显示分配到的IP如192.168.10.105❌ 异常卡在DHCP........超时 → 检查dhcpd服务是否运行、客户端是否在同一网段、防火墙是否放行UDP 67阶段2TFTP下载pxelinux.0约1秒屏幕显示TFTP.✅ 正常快速闪过TFTP.后出现Syslinux菜单❌ 异常TFTP Error 1→ 检查/var/lib/tftpboot/pxelinux.0文件是否存在、权限是否为644、SELinux上下文是否为tftpdir_t阶段3加载内核与initrd约5秒屏幕显示Loading vmlinuz... ok→Loading initrd.img... ok✅ 正常显示ok后黑屏2秒出现CentOS安装欢迎界面❌ 异常Loading vmlinuz... failed→ 检查/var/lib/tftpboot/centos7/vmlinuz路径是否与pxelinux.cfg/default中kernel路径一致阶段4Kickstart自动执行约8分钟屏幕显示Starting installer, one moment...→ 进度条 →Installation complete✅ 正常全程无交互最后提示Rebooting...❌ 异常卡在Downloading kickstart file...→ 检查inst.ks后的URL能否在服务端curl -I通确认HTTP服务运行且路径正确4.3 安装后首次登录的必验项机器重启后用SSH连接验证是否真“无人值守”成功ssh deploy192.168.10.105 # 应能直接登录因%post已配置密钥登录 # 然后执行 sudo su - df -h # 检查分区是否按ks.cfg创建/boot 500M, / 10G, swap 4G getenforce # 应返回 Enforcing systemctl is-enabled NetworkManager # 应返回 disabled grep PasswordAuthentication no /etc/ssh/sshd_config # 应存在若发现getenforce返回Permissive说明selinux --enforcing未生效需检查ks.cfg中是否误写为--disabled若df -h显示/只有3G则是LVM逻辑卷未按--grow扩展需检查logvol /行末是否遗漏--grow参数。5. 常见问题与实战排查技巧5.1 典型故障速查表现象可能原因排查命令解决方案客户端启动后显示PXE-E53: No boot filename receivedDHCP未正确发送option 66/67tcpdump -i eth0 port 67 -w dhcp.pcap用Wireshark分析DHCP Offer包检查dhcpd.conf中option tftp-server-name和filename是否配置卡在Loading vmlinuz...无响应TFTP服务未运行或文件路径错误tftp 192.168.10.1 -c get pxelinux.0 /dev/null若失败检查xinetd状态及/var/log/messages中tftp错误安装界面显示No valid installation sources foundHTTP URL不可达或.repo文件缺失curl -I http://192.168.10.1/centos7/repodata/repomd.xml确认ISO已完整挂载且repodata/目录存在有效文件安装完成后SSH无法密钥登录%post脚本未执行或权限错误查看/root/anaconda-post.log检查%post开头是否漏写--interpreter/bin/bash确认/etc/ssh/sshd_config权限为6005.2 三个血泪教训总结教训1不要用systemctl restart httpd更新ISO挂载某次为切换新版ISO我执行了umount /var/www/html/centos7 mount -o loop new.iso /var/www/html/centos7但忘记重启httpd。结果新机器安装时repomd.xml仍读取旧缓存导致软件包校验失败。正确做法是umount后立即执行systemctl restart httpd强制刷新Apache的目录索引。教训2ks.cfg中的url必须用IP禁用域名曾将inst.kshttp://pxe-server/ks/centos7.cfg改为域名测试机可以但部分老款服务器网卡固件不支持DNS解析直接卡死。所有PXE相关URL一律用服务端IP这是铁律。教训3%post脚本中禁止使用reboot命令在%post里写reboot会导致安装程序异常退出机器不断重启。正确做法是让安装程序自然结束它会在%post执行完毕后自动重启。若需延迟重启用sleep 10代替。5.3 扩展场景如何支持多版本CentOS共存当需要同时提供CentOS 7.9和8.5安装时只需在TFTP和HTTP目录做结构隔离# TFTP侧不同版本内核分离 /var/lib/tftpboot/centos7/{vmlinuz,initrd.img} /var/lib/tftpboot/centos8/{vmlinuz,initrd.img} # 修改pxelinux.cfg/default增加label label centos8 menu label Install CentOS 8.5 kernel centos8/vmlinuz append initrdcentos8/initrd.img inst.kshttp://192.168.10.1/ks/centos8.cfg ipdhcp # HTTP侧独立目录 /var/www/html/centos7/ # 挂载7.9 ISO /var/www/html/centos8/ # 挂载8.5 ISO /var/www/html/ks/centos7.cfg /var/www/html/ks/centos8.cfg关键是pxelinux.cfg/default中每个label的kernel和initrd路径要与TFTP目录结构严格对应且inst.ks指向正确的ks.cfg文件。这样一套PXE服务即可支撑多个Linux发行版无需重复部署。我个人在实际操作中发现把pxelinux.cfg/default做成模板化文件用sed替换版本号配合简单的Shell脚本就能在3分钟内新增一个安装选项。这种“一次搭建、长期复用”的确定性正是PXEKickstart在自动化运维中不可替代的价值所在。