CentOS 7.9部署Nexus 3私有仓库：从环境准备到生产级优化

1. 项目概述与核心价值

最近在整理团队的开发环境，发现一个挺普遍的问题：大家各自从网上下载各种依赖包，版本五花八门，构建速度时快时慢，有时候网络一波动，整个构建流程就卡住了。这让我下定决心，得在内部搭一个统一的制品仓库。说到这个，Sonatype Nexus Repository Manager（后面简称Nexus）绝对是绕不开的选择。它就像一个私有的、功能强大的“软件超市”，能把Maven、npm、Docker、PyPI等几乎所有主流开发语言的依赖包都缓存到本地服务器上。这样一来，团队内部下载依赖的速度飞起，版本管理也清晰了，还能有效隔离外网的不稳定性。

这次我选择在CentOS 7.9这个经典又稳定的Linux发行版上部署Nexus 3。虽然网上教程不少，但很多细节语焉不详，比如Java环境到底怎么配最省心、系统用户权限怎么设才安全、还有那个最让人头疼的磁盘空间问题——明明df和du查出来的结果差一大截，导致服务启动失败。这篇内容就是把我从准备环境、安装配置、到优化排坑的完整过程记录下来，目标就是让你能跟着步骤，一次成功搭建起一个稳定、高效的私有仓库服务。

2. 环境准备与核心依赖解析

在开始安装Nexus之前，把地基打牢至关重要。这一步没做好，后面可能会遇到各种稀奇古怪的问题。

2.1 操作系统与资源规划

我使用的是CentOS 7.9 Minimal版本，系统干净，没有不必要的软件包干扰。对于Nexus 3，官方的硬件建议是至少2核CPU、4GB内存和至少10GB的存储空间。但根据我的经验，这只是“能跑起来”的最低配置。

内存与CPU：Nexus本身是Java应用，内存占用的大头是JVM堆。如果只是小团队（10人以内）使用，4GB内存勉强够用。但如果你计划托管Docker镜像或者团队规模较大，我强烈建议将内存提升到8GB或以上，并为JVM分配至少4GB的堆空间（通过后续的配置文件修改），这能显著提升仓库的响应速度和并发处理能力。

磁盘空间：这是最需要精心规划的部分。Nexus的仓库数据默认存储在$data-dir目录下，这个目录会随着缓存和发布的制品不断膨胀。你至少需要为它预留100GB以上的空间。更关键的是，务必确保这个数据目录所在的分区有充足的inode数量。因为Nexus会管理大量小文件（尤其是Maven仓库），inode耗尽会导致服务无法写入新文件，即使df显示磁盘空间还有剩余。这就是为什么有时候du -sh和df -h显示的使用量会有巨大差异——df看的是块使用情况，而du是统计文件总大小，当有大量文件被删除但进程仍占用时（比如Nexus的某个进程没完全退出），这些文件占用的空间就不会被df释放，但du不计入。解决这个问题，通常需要重启服务或服务器来释放被占用的句柄。

网络与防火墙：想好你打算让Nexus在哪个端口提供服务。默认是8081端口。确保服务器的防火墙（如firewalld）或安全组规则开放了这个端口。

2.2 Java环境部署：选对版本是关键

Nexus 3需要运行在Java 8或Java 11之上。Oracle JDK和OpenJDK都可以，但从稳定性和兼容性角度，我推荐使用OpenJDK 11。CentOS 7自带的yum源里可能只有较老的OpenJDK 8，我们需要添加AdoptOpenJDK（现为Eclipse Temurin）的源来安装较新的版本。

首先，安装必要的工具并添加仓库：

sudo yum install -y wget wget -O /etc/yum.repos.d/adoptium.repo https://packages.adoptium.net/installer/rpm/adoptium.repo

然后，安装OpenJDK 11 JRE（对于Nexus，JRE通常就足够了）：

sudo yum install -y temurin-11-jre

安装完成后，验证版本：

java -version

你应该能看到类似“openjdk version 11.0.xx”的输出。这里有个细节：确保你系统默认的java命令指向的是刚安装的JDK 11。可以用alternatives --config java来查看和切换。

注意：绝对不要使用太新的Java版本（如JDK 17+），Nexus 3的某些版本可能尚未兼容，会导致启动失败。JDK 11是目前最稳妥的选择。

2.3 创建专用系统用户

以root身份直接运行Nexus是极不安全的做法。我们应该创建一个专用的、权限受限的系统用户来运行它。

sudo useradd -r -M -d /opt/nexus -s /bin/false nexus

参数解释：

• -r：创建系统用户。
• -M：不创建用户的家目录（因为我们会指定到/opt/nexus）。
• -d /opt/nexus：指定用户的主目录。
• -s /bin/false：禁止该用户登录shell，进一步提升安全性。

这个nexus用户将仅用于运行Nexus服务进程，没有其他权限。

3. Nexus安装与基础配置实操

基础环境就绪后，我们就可以开始安装Nexus本体了。

3.1 下载与解压安装包

访问Sonatype的官方发布页面获取最新稳定版的下载链接。我们直接在服务器上使用wget下载。以Nexus 3.68.0版本为例：

cd /opt sudo wget https://download.sonatype.com/nexus/3/nexus-3.68.0-02-unix.tar.gz

下载完成后，解压文件：

sudo tar -zxvf nexus-3.68.0-02-unix.tar.gz

解压后会得到两个文件夹：nexus-3.68.0-02（包含运行程序）和sonatype-work（默认的数据目录）。为了便于管理，我们创建软链接并调整所有权：

sudo ln -s nexus-3.68.0-02 nexus sudo chown -R nexus:nexus /opt/nexus sudo chown -R nexus:nexus /opt/sonatype-work

将nexus目录和sonatype-work目录的所有权都赋予我们之前创建的nexus用户，这是保证服务能以该用户身份正常读写数据的关键。

3.2 核心配置文件详解与调优

Nexus的主要配置集中在/opt/nexus/bin目录下。

1. 调整JVM参数 (nexus.vmoptions)： 这个文件决定了Nexus运行时JVM的内存大小等关键参数。

sudo vi /opt/nexus/bin/nexus.vmoptions

找到以下行并进行修改（根据你的服务器内存调整，这里以8GB服务器为例）：

-Xms4g -Xmx4g -XX:MaxDirectMemorySize=2g

• -Xms和-Xmx：设置JVM堆内存的初始大小和最大值。设置为相同值可以避免运行时的堆内存调整，性能更稳定。对于4-8GB内存的机器，设置2g-4g是合理的。
• -XX:MaxDirectMemorySize：设置直接内存大小，处理大文件时可能需要。建议设置为堆内存的一半或1g以上。

2. 配置运行用户 (nexus.rc)： 这个文件很简单，就是指定用哪个用户来运行。

sudo vi /opt/nexus/bin/nexus.rc

取消注释并修改为：

run_as_user="nexus"

3. 修改服务监听端口 (nexus-default.properties)： 配置文件路径在/opt/nexus/etc下，但通常我们不需要直接修改它来改端口，因为可以通过上下文路径配置。不过，你可以在这里找到应用端口、上下文路径等基础设置。更常见的端口修改方式是在后面配置反向代理时进行。

3.3 配置系统服务（Systemd）

手动启动不适合生产环境。我们需要创建一个systemd服务单元文件，让CentOS可以像管理其他服务一样管理Nexus（开机自启、状态查看、日志管理）。

创建服务文件：

sudo vi /etc/systemd/system/nexus.service

将以下内容粘贴进去：

[Unit] Description=Nexus Repository Manager After=network.target [Service] Type=forking User=nexus Group=nexus ExecStart=/opt/nexus/bin/nexus start ExecStop=/opt/nexus/bin/nexus stop Restart=on-failure RestartSec=30 LimitNOFILE=65536 Environment="JAVA_HOME=/usr/lib/jvm/temurin-11-jre" # 根据你的实际JAVA路径修改 WorkingDirectory=/opt/nexus [Install] WantedBy=multi-user.target

关键点解析：

• User和Group：确保服务以nexus用户身份运行。
• LimitNOFILE：将进程可打开的文件描述符数量上限提高到65536。这对于需要处理大量并发连接和文件的仓库服务至关重要，可以避免“Too many open files”的错误。
• Environment="JAVA_HOME=...”：显式指定JAVA_HOME环境变量。这是很多教程忽略但极易导致启动失败的地方。即使系统java -version正确，systemd服务也可能找不到Java。你需要通过dirname $(readlink -f $(which java))命令找到Java安装的真实路径，并填写在这里。例如，可能是/usr/lib/jvm/temurin-11-jre。
• WorkingDirectory：设置工作目录。

保存后，重新加载systemd配置并启动服务：

sudo systemctl daemon-reload sudo systemctl start nexus sudo systemctl enable nexus # 设置开机自启

检查服务状态和日志，确认启动成功：

sudo systemctl status nexus sudo tail -f /opt/sonatype-work/nexus3/log/nexus.log

当你看到日志中出现“Started Sonatype Nexus OSS 3.68.0-02”字样时，说明服务已经成功启动。

4. 初始访问与基础仓库配置

服务跑起来后，我们通过浏览器进行初始设置。

4.1 首次登录与初始化

1. 打开浏览器，访问http://你的服务器IP:8081。
2. 页面加载可能需要一两分钟，请耐心等待。右上角会出现“Sign in”按钮。
3. 点击登录，默认的管理员用户名是admin。而初始密码在哪里呢？它存储在服务器的数据目录下的一个文件中：

   sudo cat /opt/sonatype-work/nexus3/admin.password

   复制这个复杂的密码，粘贴到登录框。
4. 登录后，系统会强制你修改密码、设置匿名访问权限等。请务必设置一个强密码并妥善保管。

4.2 理解仓库类型与创建代理仓库

登录后进入管理界面，理解Nexus的核心概念：仓库（Repository）。主要有三种类型：

• Proxy（代理仓库）：代理远程的公共仓库（如Maven Central, npm Registry, Docker Hub）。当用户请求一个构件时，Nexus会先去这里找，如果没有就去远程仓库拉取并缓存到本地。
• Hosted（宿主仓库）：存放你自己团队内部发布的私有构件。
• Group（仓库组）：将多个Proxy和Hosted仓库组合成一个统一的访问地址，方便用户配置。用户只需要配置这个Group地址，就可以从组内所有仓库拉取构件。

以配置Maven中央仓库代理为例：

1. 进入“Repository” -> “Repositories”页面。
2. 点击“Create repository”。
3. 选择“maven2 (proxy)”。
4. 填写基本信息：
   • Name:maven-central(可自定义)
   • Remote storage:https://repo1.maven.org/maven2/(这是Maven中央仓库地址)
5. 其他选项如“Blob store”（存储策略）可以先保持默认。保存即可。

现在，你就有了一个本地的Maven中央仓库镜像。你可以用同样的方法创建npm (https://registry.npmjs.org)、Docker (https://registry-1.docker.io) 等代理仓库。

4.3 配置客户端使用私有仓库

服务端好了，还得让开发工具知道它。这里以Maven为例。

修改你本地开发机上的Maven配置文件 (~/.m2/settings.xml)，在<mirrors>部分添加：

<mirror> <id>nexus</id> <name>Internal Nexus Repository</name> <url>http://你的服务器IP:8081/repository/maven-public/</url> <mirrorOf>*</mirrorOf> </mirror>

注意，这里的url指向的是一个仓库组（Group）。Nexus安装后默认会创建一个名为maven-public的组，它包含了maven-central代理仓库等。使用组地址，客户端就可以通过一个统一的地址访问所有配置好的Maven仓库。

配置完成后，在本地执行mvn clean install，你会发现依赖下载速度变快了，并且观察Nexus管理界面的“Browse”页面，可以看到构件正在被缓存进来。

5. 生产环境优化与深度配置

一个能用的Nexus和一个好用的Nexus之间，就差下面这些优化配置。

5.1 使用Nginx进行反向代理与HTTPS加密

直接暴露8081端口和使用HTTP协议是不安全的。我们应该用Nginx作为反向代理，并配置HTTPS。

首先安装Nginx和SSL证书（以Let‘s Encrypt免费证书为例，需要你先有域名并解析到服务器）：

sudo yum install -y nginx certbot python3-certbot-nginx

配置Nginx虚拟主机。创建一个新的配置文件，例如/etc/nginx/conf.d/nexus.conf：

upstream nexus { server 127.0.0.1:8081; # 指向Nexus实际运行的服务和端口 } server { listen 80; server_name nexus.yourdomain.com; # 替换为你的域名 # 将所有HTTP请求重定向到HTTPS return 301 https://$server_name$request_uri; } server { listen 443 ssl http2; server_name nexus.yourdomain.com; ssl_certificate /etc/letsencrypt/live/nexus.yourdomain.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/nexus.yourdomain.com/privkey.pem; # SSL优化配置（可根据需要调整） ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512; ssl_prefer_server_ciphers off; # 核心代理配置 location / { proxy_pass http://nexus; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; # 以下两行对于Nexus的Web界面和API正常工作非常重要 proxy_set_header X-Forwarded-Host $host; proxy_set_header X-Forwarded-Port $server_port; client_max_body_size 0; # 禁用上传文件大小限制，便于上传大构件 } # 增大超时时间，应对可能的长耗时操作（如上传大文件） proxy_read_timeout 300s; proxy_connect_timeout 75s; }

配置完成后，测试Nginx配置并重载：

sudo nginx -t sudo systemctl reload nginx

最后，别忘了在Nexus的配置中告知它正在被反向代理。在Nexus管理界面，进入“Administration” -> “System” -> “HTTP”，勾选“Force base URL”并填写你的HTTPS完整地址，例如https://nexus.yourdomain.com/。这能确保Nexus生成的链接都是正确的HTTPS地址。

5.2 数据目录迁移与存储优化

默认的sonatype-work目录可能在系统根分区，空间有限。我们需要将其迁移到大容量数据盘。

1. 停止Nexus服务：

   sudo systemctl stop nexus

2. 迁移数据目录：假设我们挂载了新数据盘到/data。

   sudo mv /opt/sonatype-work /data/

3. 创建软链接：

   sudo ln -s /data/sonatype-work /opt/sonatype-work

   确保软链接的所有者仍是nexus用户：

   sudo chown -h nexus:nexus /opt/sonatype-work

4. 修改Nexus属性文件（可选但推荐）：编辑/opt/nexus/bin/nexus.vmoptions，添加一行明确指定数据目录，避免混淆：

   -Dkaraf.data=/data/sonatype-work/nexus3

5. 启动服务并验证：

   sudo systemctl start nexus

   检查日志和新目录下是否有文件生成，确认迁移成功。

5.3 定期清理与备份策略

Nexus会缓存大量构件，需要定期清理过期快照（Snapshot）和释放存储空间。

1. 配置清理任务：

   • 进入Nexus管理界面，“Administration” -> “System” -> “Tasks”。
   • 点击“Create task”，选择“Admin - Cleanup repositories using their associated policies”。
   • 设置一个定期执行的计划（例如每周日凌晨2点），并选择需要清理的仓库。你可以为不同的仓库配置不同的“Cleanup Policy”（清理策略），例如保留最近3天的快照，或保留最新的10个版本等。

2. 备份策略： Nexus的备份主要包含两部分：配置文件和数据目录。

   • 配置文件：主要是/opt/nexus/etc目录下的内容，体积小，变化少，可以定期打包备份。
   • 数据目录：即sonatype-work目录，体积庞大。绝对不能在Nexus运行时直接复制或打包整个目录，这会导致数据不一致。正确做法是使用Nexus内置的备份功能（“Administration” -> “System” -> “Backup”）创建在线备份，或者编写脚本，在停止Nexus服务后再进行文件系统级的备份。
   • 数据库：Nexus 3默认使用内嵌的OrientDB，其数据文件就存放在数据目录的db子文件夹下。停止服务后备份整个数据目录即可涵盖数据库。

一个简单的备份脚本思路：

#!/bin/bash # 停止服务 systemctl stop nexus # 打包数据目录（使用当前日期） tar -czf /backup/nexus-data-$(date +%Y%m%d).tar.gz -C /data sonatype-work # 打包配置目录 tar -czf /backup/nexus-conf-$(date +%Y%m%d).tar.gz -C /opt nexus/etc # 启动服务 systemctl start nexus # 可选：删除7天前的备份 find /backup -name "nexus-*.tar.gz" -mtime +7 -delete

6. 高级运维与故障排查实录

即使安装顺利，在长期运维中也会遇到各种问题。这里记录几个我踩过的坑和解决方法。

6.1 服务启动失败常见原因排查

当你执行sudo systemctl start nexus后，systemctl status nexus显示失败（状态为failed或inactive），可以按以下顺序排查：

1. 检查JAVA_HOME：这是最常见的问题。首先查看服务日志：

   sudo journalctl -u nexus.service -n 50 --no-pager

   如果日志开头就报错“Cannot find Java”或类似信息，99%是/etc/systemd/system/nexus.service文件中的JAVA_HOME环境变量没设对。用dirname $(readlink -f $(which java))找到准确路径修正它，然后sudo systemctl daemon-reload再重启服务。

2. 检查用户权限：确保/opt/nexus和/opt/sonatype-work（或你迁移后的目录）的所有者和所属组都是nexus。

   sudo ls -la /opt/nexus sudo ls -la /opt/sonatype-work

   如果不是，用chown -R nexus:nexus命令修正。

3. 检查端口占用：8081端口可能被其他程序占用。

   sudo netstat -tlnp | grep :8081

   如果被占用，可以杀掉占用进程，或者修改Nexus的监听端口（修改/opt/nexus/etc/nexus-default.properties中的application-port，并重启服务）。

4. 检查磁盘空间和inode：使用df -h和df -i命令，确保Nexus数据目录所在分区有足够的空间和inode。

6.2 客户端连接与拉取失败问题

客户端（如Maven、Docker）无法从Nexus拉取构件。

1. 网络连通性：首先在服务器上curl http://localhost:8081，确认服务本身是否正常。如果不通，查Nexus服务状态和日志。

2. 防火墙/安全组：确保客户端能访问服务器的8081端口（或Nginx配置的80/443端口）。在客户端机器上用telnet 服务器IP 端口测试。

3. 客户端配置错误：仔细检查客户端的配置。例如Maven的settings.xml中<mirrorOf>配置是否正确，<url>是否拼写错误（多了或少了下划线、斜杠）。一个快速验证方法是：直接在浏览器中访问你配置的仓库组URL，例如http://服务器IP:8081/repository/maven-public/，看是否能列出目录。

4. Nexus仓库权限：检查你是否禁用了匿名访问，但客户端又没有配置有效的认证信息。在Nexus的“Security” -> “Realms”中确保使用的认证方式（如npm Bearer Token Realm,Docker Bearer Token Realm）已激活。在“Security” -> “Users”中检查用户状态和角色。

6.3 性能优化与监控

随着使用量增加，你可能需要关注性能。

1. JVM内存调整：如果经常在Nexus日志中看到OutOfMemoryError或GC频繁，需要调整nexus.vmoptions中的-Xms和-Xmx值，适当增加堆内存。

2. Blob存储策略：对于大型仓库（尤其是Docker），可以考虑使用文件系统存储而非默认的数据库存储。Nexus支持创建基于文件的Blob Store，并将其分配给特定仓库，这有时能提升大文件IO性能。

3. 定期重启：虽然Nexus很稳定，但长期运行后，Java应用难免会有内存碎片或轻微的内存泄漏。建议在低峰期（如每周）安排一次服务重启。通过systemd服务管理，这非常简单：sudo systemctl restart nexus。

4. 监控日志：定期查看/opt/sonatype-work/nexus3/log/nexus.log和request.log，关注WARN和ERROR级别的信息，它们能提前暴露潜在问题，如认证失败、存储空间警告等。

6.4 关于“磁盘空间差太多”的专项排查

这个问题在热词里被频繁搜索，我专门说一下。当你发现df -h显示磁盘快满了，但du -sh /data（假设数据目录在/data）统计出的实际文件大小却小很多时，通常是因为有文件被删除，但持有这些文件句柄的进程（比如Nexus的Java进程）还没有退出，导致内核认为这些磁盘空间仍被占用。

排查与解决步骤：

1. 找出被删除但仍被占用的文件：

   sudo lsof +L1 | grep '/data' | grep deleted

   这条命令会列出所有在/data路径下已被标记删除（deleted）但句柄未释放的文件，以及是哪个进程占用的。

2. 分析结果：如果占用进程是Nexus的Java进程（java），这通常是正常现象，Nexus在运行中会打开很多临时文件并很快删除。但如果这些文件累积得非常大，或者进程是其他未知进程，就需要关注。

3. 解决方案：

   • 最直接有效的方法：重启持有这些句柄的进程。对于Nexus，就是sudo systemctl restart nexus。重启后，这些被删除文件占用的空间会被彻底释放。
   • 预防：确保Nexus的数据目录在一个独立、容量充足的分区上。定期执行前面提到的清理任务，控制仓库总体大小。监控磁盘空间和inode使用率，设置告警。

搭建和维护Nexus是一个持续的过程，初期把架构规划好、权限设清楚、备份做扎实，后期运维会轻松很多。这个私有仓库一旦稳定运行，会成为团队研发效率提升的坚实后盾，那种构建速度从几分钟降到几秒钟的体验，绝对值得你花时间把它配置好。如果在配置过程中遇到其他具体问题，多查查官方文档和社区，大部分坑都已经有人踩过了。