CentOS 7 作为一款广泛使用的 Linux 发行版，其软件包管理工具 yum 在系统维护和软件安装中扮演着重要角色，随着网络安全意识的提升，SSL/TLS 加密已成为确保数据传输安全的标准配置，本文将详细探讨 CentOS 7 中 yum 与 SSL 的相关配置、问题排查及优化方法,帮助用户确保软件包管理的安全性和可靠性。
CentOS 7 中 yum 的基础配置
yum 的配置文件主要位于 /etc/yum.conf 及 /etc/yum.repos.d/ 目录下的 .repo 文件中，默认情况下，yum 会从官方镜像源下载软件包，但部分第三方源可能需要 SSL 加密连接，在基础配置中，需确保 yum.conf 中的 sslverify 参数正确设置，该参数默认为 1，表示启用 SSL 验证；若需临时禁用，可将其设置为 0，但此操作可能带来安全风险,不建议在生产环境中使用。
SSL 证书的获取与验证
yum 在连接 HTTPS 源时，会验证服务器证书的有效性，若源使用自签名证书或证书不受信任系统信任，yum 会报错，此时需将证书文件添加到系统的 CA 证书列表中，将证书文件 custom-ca.crt 复制到 /etc/pki/ca-trust/source/anchors/ 目录，并执行 update-ca-trust extract 命令更新信任链，可通过 curl -v https://repo.example.com 命令检查证书链是否完整,排查证书问题。
yum 源配置中的 SSL 参数
在 .repo 文件中，可通过特定参数调整 SSL 相关行为。sslclientcert 和 sslclientkey 用于指定客户端证书和私钥路径，适用于需要双向认证的场景；sslcacert 则用于指定 CA 证书路径，若源服务器使用 SNI（Server Name Indication），确保 yum 版本支持（CentOS 7 默认 yum 版本已支持），对于老旧系统，可能需升级 yum 包至 yum-3.4.3-168.el7.centos 或更高版本。
常见 SSL 错误排查
使用 yum 时，可能遇到多种 SSL 错误。“SSL: CERTIFICATE_VERIFY_FAILED” 通常表示证书验证失败，需检查 CA 证书是否正确安装；“SSL: WRONG_VERSION_NUMBER” 可能是服务器配置问题，导致 yum 协商失败，此时可尝试使用 --nogpgcheck 或 --disableplugin=ssl 参数临时排除问题，但需注意安全性，网络防火墙或代理服务器可能拦截 SSL 流量，需确保 443 端口开放且代理支持 HTTPS。
优化 yum 的 SSL 性能
在高并发或低带宽环境中，可优化 yum 的 SSL 性能，启用 HTTP/2 协议（需源服务器支持）可提升传输效率，通过在 .repo 文件中添加 protocol=https 参数尝试，压缩 SSL 流量（如使用 Brotli 或 gzip）能减少数据传输量，但需确保源服务器启用相应压缩算法，对于频繁更新的系统，可配置 yum 缓存，减少重复下载时的 SSL 握手开销。
安全加固建议
为确保 yum 的安全性，建议定期更新系统 CA 证书库，避免使用过期或弱加密算法（如 SSLv3），启用 yum 的插件机制，如 yum-security 插件，可及时获取安全补丁，对于内部源，建议使用私有 CA 签发证书，并限制证书的颁发范围，监控 yum 的日志文件（/var/log/yum.log）,及时发现异常访问行为。
相关问答 FAQs
问题 1：yum 提示 "SSL: CERTIFICATE_VERIFY_FAILED" 如何解决？
解答：此错误通常是由于系统未信任源服务器的 CA 证书，解决方法包括：下载源服务器的 CA 证书，将其放置于 /etc/pki/ca-trust/source/anchors/ 目录，并执行 update-ca-trust extract 更新信任链，若为自签名证书，需确保客户端和服务器使用相同的 CA，检查系统时间是否正确,时间偏差也会导致证书验证失败。
问题 2：如何配置 yum 使用自定义客户端证书进行认证？
解答：若 yum 源要求双向 SSL 认证，需在 .repo 文件中指定客户端证书和私钥路径，添加参数 sslclientcert=/etc/pki/tls/certs/client.crt 和 sslclientkey=/etc/pki/tls/private/client.key，确保证书文件权限正确（私钥文件权限应为 600），并验证证书是否在有效期内，若证书需要密码保护，可使用 sslclientkeypassword 参数指定密码，但建议避免明文存储,改用密钥环工具管理。