环境准备：操作系统选型与网络规划
做补丁分发系统，第一步不是写代码，而是选好"地基"。我见过不少项目，代码写得挺漂亮，结果部署时发现操作系统不兼容、端口被占、网络不通……最后全得返工。这一章，咱们就把这些坑提前填上。
操作系统选型：CentOS vs Ubuntu vs Windows Server
说白了，选哪个系统取决于你的管理对象。我个人的习惯是：管 Linux 机器就用 Linux 做服务端，管 Windows 就用 Windows。但实际场景往往更复杂。
| 特性 | CentOS 7/8 | Ubuntu 20.04/22.04 | Windows Server 2019/2022 |
|---|---|---|---|
| 稳定性 | 极高，RHEL 系血统 | 高，LTS 版本可靠 | 高，但重启频繁 |
| 包管理 | yum/dnf | apt | MSI/Chocolatey |
| 补丁工具生态 | Spacewalk、Katello | Landscape、Aptly | WSUS、SCCM |
| 学习成本 | 中等 | 低 | 高（需 AD 域） |
| 适用场景 | 企业级、长期运行 | 开发测试、云原生 | 纯 Windows 环境 |
我的建议：如果团队 Linux 经验丰富，优先选 CentOS 7 或 Rocky Linux 8（CentOS 停更后的替代品）。如果管理的是混合环境，Ubuntu 的社区支持和文档更友好。Windows Server 嘛……除非你整个环境都是 .NET 和 AD，否则别给自己找麻烦。
我记得有一次帮客户搭建补丁系统，对方坚持用 CentOS 6。我说这系统都 EOL 了，他说"稳定"。结果呢？yum 源全挂了，装个 Python3 都得编译。后来我直接给他换了 Rocky Linux 8，世界清净了。
网络规划：别让补丁堵在路上
补丁分发说白了就是文件传输。网络规划不好，再好的系统也白搭。我一般按三层来设计：
- 管理网段：服务端所在，10.0.0.0/24，只允许运维人员访问
- 分发网段：补丁存储和中转，172.16.0.0/16，与客户端通信
- 业务网段：客户端所在，192.168.0.0/16，正常业务流量
为什么要分开？你想想看，如果补丁分发占满了带宽，业务系统卡了，老板不找你找谁？
避坑指南：我曾经把分发服务直接放在业务网段，结果一次大规模补丁推送，把核心交换机的带宽吃光了。后来我加了 QoS 策略，给分发流量限速 30%，才算稳住。
防火墙与端口策略：该开的开，该关的关
防火墙策略是安全底线。我见过太多人图省事直接关防火墙，结果被勒索病毒教做人。下面是我常用的端口清单：
| 方向 | 端口 | 协议 | 用途 | 备注 |
|---|---|---|---|---|
| 服务端 → 客户端 | 22 | TCP | SSH 推送脚本 | 仅限管理网段 |
| 服务端 → 客户端 | 445 | TCP | SMB 文件分发 | Windows 环境 |
| 客户端 → 服务端 | 8080 | TCP | HTTP 下载补丁 | 可改用 443 |
| 客户端 → 服务端 | 9090 | TCP | Agent 心跳上报 | 自定义端口 |
| 管理端 → 服务端 | 22/3389 | TCP | 运维管理 | 白名单 IP |
注意：千万不要把 SSH 和 SMB 暴露到公网。我见过有人把 22 端口映射到公网，三天后被扫了 2 万次暴力破解。老老实实用 VPN 或者跳板机。
嗯，这里还要提一句：如果客户端数量超过 500 台，建议用 P2P 分发 或者 CDN 加速。否则单台服务器扛不住并发下载，网络也会被打爆。
整体架构图
下面这张图是我自己画的一个标准部署架构，你可以参考：
实战检查清单
最后，我列一个自己每次搭建前都会过一遍的清单，你可以直接拿去用：
- 操作系统版本确认：是否还在官方支持周期内？yum/apt 源是否可用？
- 主机名和 DNS：所有机器的主机名是否唯一？DNS 解析是否正常？
- 时间同步：NTP 服务是否配置？时区是否统一？
- 防火墙规则：是否只开放了必要端口？默认 deny 策略是否生效？
- SELinux/AppArmor：是否关闭或调整为 permissive 模式？
- 磁盘空间：补丁存储目录是否有足够空间？建议预留 100GB+
- 网络带宽：分发网段是否有带宽保障？是否配置了 QoS？
我的习惯：每完成一项，就在清单后面打个勾。别嫌麻烦，我吃过亏——有一次忘了配 NTP，结果补丁时间戳全乱套，客户端比对版本号时出了大问题。
好了，环境准备这块就这些。说白了，就是选对系统、划好网段、管好端口。这三件事做好了，后面搭建服务端和客户端的时候，你会感谢自己的。