做Linux运维这些年，总有人问我：Linux还需要装杀毒软件吗？我的回答永远是反问题式的一句：你先问问自己是干嘛用的。纯内网跑个静态页面，那确实不装也活得挺好；但只要你手里管着邮件服务器、文件共享、Web上传目录，或者是给客户做等保测评，那ClamAV基本是绕不开的一个名字。ClamAV的全称是Clam AntiVirus，是目前Linux生态里最主流、也最老牌的开源杀毒引擎，免费、轻量、社区活跃，对市面常见的Windows恶意文件、宏病毒、钓鱼附件、压缩包内的暗链都有不错的检出能力。这篇文章就专门讲透一件事——ClamAV的下载与安装。在线安装怎么装、离线安装怎么装、装完之后病毒库怎么配、碰到问题怎么排查，我把实际操作中踩过的坑一并写出来，希望对正在搭文件服务或邮件网关的你有点帮助。

1. 内容整体设计与思路拆解

1.1 ClamAV是什么，Linux为什么也需要杀毒

很多刚入行的同事对“Linux杀毒”这件事有误解，觉得Linux上没有病毒，系统本身也足够安全，没必要再装一层防护。这个说法对了一半，Linux服务器的确比Windows更难被病毒直接感染，但问题的关键在于：你的服务器不会只给自己跑程序，它可能在替别人“转发”和“存放”恶意文件。

举个例子。你的企业邮箱服务器是一台Linux机器，使用Postfix或Sendmail对外收发邮件，邮件里携带的附件如果带毒，中毒最惨的不是这台Linux服务器，而是收到邮件的Windows用户。你要做的不是指望所有人的Windows都有防护，而是在邮件网关这一层直接把带毒附件拦截掉。ClamAV最早就是为此而生的，它原生支持邮件Milter协议，可以挂在邮件传输链路里做实时过滤。除了邮件网关，下面这几个常见场景也基本离不开它：

• 文件共享服务器：SMB、NFS、企业网盘上存的共享文件，某台Windows终端上传了带毒文件，其他同事下载就会中招，必须在存储节点上做扫描。
• Web应用上传目录：头像、附件、图片上传等接口很容易被恶意文件打穿，上传后扫码是最基本的安全底线。
• FTP、SFTP服务：开放给外部客户传输文件的FTP目录，如果不做扫描，就是天然的病毒中转站。
• 合规审计：国内很多等保测评、行业合规检查里，对服务器安全防护是有明确要求的，一份ClamAV扫描报告能让你少解释很多话。

ClamAV的核心能力包括：支持多线程全盘/目录扫描，内置了多套病毒特征库（main、daily、bytecode），可以通过本地Socket协议与clamd守护进程通信，被Java、Python、PHP、Go这些语言调用起来也特别自然。它的检测能力对已知勒索软件、宏病毒和常见木马是足够可靠的，而且开源免费这一点，对企业实在友好。

1.2 在线安装与离线安装，怎么选才不折腾

ClamAV的安装方式，大体可以分为“在线”和“离线”两条线路，选错会让你多折腾不少时间。

在线安装就是服务器能直接访问外网，用系统自带的包管理器安装，比如Debian/Ubuntu的apt，CentOS/Rocky/AlmaLinux的yum/dnf。这是最推荐的方式，理由也很简单：包管理器会自动帮你解决依赖，装完之后服务配置、systemd启动脚本、病毒库目录都是现成的，你只需要管扫描策略就行。在线安装唯一的缺点是包管理器源里的ClamAV版本通常会慢官方一点，比如官方已经出了1.4.x，发行版源里可能还是1.0.x。对于绝大多数场景，这个版本差完全够用，但如果你的业务方对一个具体版本有硬性要求（比如某个java依赖库要求ClamAV >= 1.0.5），那就要考虑第三种方式。

离线安装的适用场景通常有三种：内网生产环境、等保要求不能直接连接公网的服务器，或者云平台安全组不开放对外访问。离线安装又分为两条技术路线，一条是“包装包”，提前在有网的机器上把所有RPM/DEB包及依赖下好，拷贝到内网机器上装；另一条是“源码编译”，拿到源码包到目标机器上编译安装。两条路线的复杂度取决于目标机器和下载机器的系统版本是否一致，只要有一个依赖包的版本对不上，就能让你体验一把“装装不上、卸卸不掉”的酸爽。

我的建议很简单：能联网就绝不离线；必须离线就优先打包安装；只有系统太特殊、实在找不到对应安装包时，才走源码编译这条路。

2. 核心细节解析与实操要点

2.1 动手前的环境自查

不管你选哪种方式，安装前花两分钟确认一下系统环境，能省去后面排查依赖的一堆麻烦。

首先确认发行版和系统架构。我习惯一次性跑这三条命令：

cat /etc/os-release uname -m getconf LONG_BIT

第一条命令输出系统发行版名称和版本号，第二条输出CPU架构（x86_64还是aarch64），第三条确认系统位数。赃Architecture不一致，后面下载的deb/rpm包根本无法安装，报错信息还特别隐晦。比如在x86机器上硬塞aarch64的包，dpkg会直接提示“Wrong architecture 'arm64'”。

其次确认一个冷知识：ClamAV扫描器本身分两层。clamscan是一个命令行扫描工具，执行一次扫一次，适合手动排障和定时脚本；clamd是一个常驻守护进程，运行后监听本地Socket，扫描请求通过Socket传给守护进程，效率高得多，适合被业务代码调用。很多人只装了clamav这一个包，发现没有clamd进程也没有开机自启服务，就是因为少装了配套包。Debian系下要装clamav clamav-daemon clamav-freshclam，RHEL系下要装clamav clamav-update clamav-daemon，这三个包对应扫描工具、守护进程、病毒库更新工具。

最后，给内网机器装的时候，建议提前确认一下目标机器是否有外网流量出得去。有一种很常见的排查场景是“用代理可以、直连不行”，这种情况先别急着改ClamAV配置，把代理环境变量配好、或者确认DNS能解析就行。DNS解析是很多ClamAV更新失败问题的根因，后面第4节会专门说。

2.2 装完ClamAV后必须知道的目录和文件

装完ClamAV，你先别急着扫描，先把这个软件在地盘上铺了哪些文件搞清楚。遇到问题的时候，你基本只需要看这几个路径：

• /etc/clamav/：配置文件目录，里面主要是clamd.conf和freshclam.conf两个文件。
• /var/lib/clamav/：病毒库目录，存放main.cvd、daily.cvd、bytecode.cvd（或者新版格式cld），这个目录的属主和权限如果不对，病毒库更新和扫描都会报错。
• /var/log/clamav/：日志目录，有clamav.log（扫描日志）和freshclam.log（病毒库更新日志），排查问题时这两份日志是最直接的证据。
• /usr/bin/clamscan：扫描主程序。
• /usr/bin/freshclam：病毒库更新工具。
• /usr/bin/clamdscan：走daemon模式的扫描脚本，把扫描任务通过Socket提交给clamd处理。

病毒库这块要特别展开一下。ClamAV的病毒库由三部分组成，理解它们对后续维护很重要：

• main.cvd/cld：主库，体积最大，约200MB左右，更新频率低，覆盖的是历史病毒特征。
• daily.cvd/cld：日常增量库，每天更新数次，覆盖新出现的威胁，体积比main小一个数量级。
• bytecode.cvd/cld：字节码规则库，内容是一些运行时检测脚本，用来识别用特征码难以描述的复杂恶意行为。

cvd是旧格式，cld是新格式。当病毒库更新到一定规模后，ClamAV会自动把cvd转成cld，这是正常现象，不用紧张。另外，病毒库文件是二进制文件，不能直接打开看；想看当前病毒库版本就用clamscan --version命令。

3. 实操过程与核心环节实现

3.1 Debian/Ubuntu在线安装（apt）

Demanding不了多少，在线安装就是三条命令的事。以Ubuntu 22.04/24.04为例：

sudo apt update sudo apt install clamav clamav-daemon clamav-freshclam -y

这里有个很关键的点：新版Ubuntu的ClamAV包安装完以后，并不是马上就能用的，freshclam服务可能处于未启动状态，而且第一次病毒库更新需要的时间不短（取决于网速，main库接近200MB）。我的习惯是装完先手动跑一次：

sudo freshclam

如果看到类似Database updated successfully.的输出，说明病毒库没问题。接着启动守护进程和更新服务：

sudo systemctl enable --now clamav-daemon sudo systemctl enable --now clamav-freshclam

注意，在Ubuntu上，clamav-freshclam默认通过clamav-freshclam.service和clamav-freshclam.timer两个systemd单元来管理，timer会定期触发更新。如果你希望调整更新频率，要么改timer配置，要么改/etc/clamav/freshclam.conf里的Checks参数（表示每天检查更新次数）。两者的作用域不同，改配置前先分清楚。

装完验证一下版本：

clamscan --version

输出类似ClamAV 1.0.5/27257/...，前面是引擎版本号，中间是病毒库版本，最后一个数字是库发布日期。看到这个输出，在线安装就算正式完成了。

3.2 RHEL/CentOS/Rocky在线安装（yum/dnf）

Red Hat系的在线安装比Debian系稍微绕一点，原因是ClamAV不在默认的BaseOS或AppStream源里，需要先从EPEL（Extra Packages for Enterprise Linux）扩展源里获取。这也是热词里为什么总有人搜“clamav epel依赖版本”的原因——源的配置和包版本强相关。

RHEL 8/9、Rocky Linux、AlmaLinux用dnf，步骤如下：

sudo dnf install -y epel-release sudo dnf install -y clamav clamav-update clamav-daemon

CentOS 7还用yum，写法一样，只是把dnf换成yum。

这里有个坑：EPEL里的clamav版本取决于EPEL仓库的更新速度，有时候会落后官方一两个小版本。如果你有生产环境强依赖版本的需求，比如Java里面集成了ClamAV客户端，对clamd Socket协议有版本要求，就必须确认好EPEL提供的版本和业务方要求是否匹配。确认方法很简单：

dnf info clamav

查看输出里的Version字段即可。

RHEL系装完ClamAV之后，还有一步Debian系不太一样的地方：clamav-freshclam和clamav-daemon这两个服务默认不会自动启动，需要手动设置并启动：

sudo systemctl enable --now clamav-daemon sudo systemctl enable --now clamav-freshclam

另外，RHEL系系统如果开启了SELinux（默认开启），clamd在访问病毒库目录或者创建Socket时有可能被SELinux策略拦下来。遇到启动失败，先不要急着关闭SELinux，用ausearch -m avc -ts recent查一下审计日志，然后针对性调整布尔值。这一步能帮你省下很多与安全团队“斗智斗勇”的时间。

3.3 离线安装：RPM/DEB包装包方式（实操）

离线安装的包装包方式，本质上是在一台与目标机器系统版本、架构完全一致的联网机器上，把所有依赖包都下载好，再拷贝到内网机器上安装。这就像办一场宴会之前先去超市把所有食材一次性买齐，关键是不能漏。

我以RHEL系为例，写一遍标准流程。

第一步，在联网机器上安装yum-utils，这是提供yumdownloader工具的工具包：

sudo dnf install -y yum-utils

第二步，下载ClamAV本体加所有依赖包到指定目录：

mkdir -p /root/clamav-rpms cd /root/clamav-rpms yumdownloader --resolve --destdir=/root/clamav-rpms clamav clamav-update clamav-daemon

--resolve参数是关键，它会自动把依赖关系也解析出来一并下载。下载完后可以看到一堆rpm包，数量通常在20个到30个之间，包括json-c、openssl、zlib、bzip2-libs、libxml2、pcre2这些基础库。

第三步，把这些rpm包打包拷贝到内网机器：

tar czf clamav-rpms.tar.gz /root/clamav-rpms

拷贝过去后解压，然后在内网机器上执行安装。装的时候建议用rpm命令批量安装，让依赖检查帮你兜底：

cd /root/clamav-rpms sudo rpm -ivh *.rpm

如果出现依赖缺失的报错，大部分情况是下载依赖的机器和目标机器系统版本不一致导致缺了某个库。解决办法是回到联网机器上，用rpm -qpR逐个检查缺失依赖，补下后再拷贝过去。这个过程有点繁琐，但很可靠。

Debian/Ubuntu系同理，联网机器上用apt download逐个下载，或者用apt-get download下的同时用apt-cache depends查看依赖关系，把deb包拷到内网后用dpkg -i *.deb安装。因为apt download不支持自动解析依赖，我一般会提前用apt-get install --print-uris把完整依赖列表打印出来，然后再循环下载，这样更稳妥。

包装包方式有一个天然优势：卸载的时候特别干净，一条rpm -e clamav就能全部移除，不会像源码编译那样留下一堆需要人工清理的文件。

3.4 离线安装：源码编译方式（实操）

源码编译是离线安装的“兜底方案”，适用于目标系统发行版太特殊、找不到匹配安装包的场景。比如某些国产化Linux发行版，虽然底层兼容Debian或CentOS，但软件源里ClamAV缺失或版本过旧，这时候源码编译反而是最可控的路线。

先说明编译依赖。Debian系需要：

sudo apt install build-essential libssl-dev libjson-c-dev libxml2-dev libcurl4-openssl-dev libpcre2-dev zlib1g-dev bzip2

RHEL系需要：

sudo dnf groupinstall "Development Tools" sudo dnf install openssl-devel json-c-devel libxml2-devel libcurl-devel pcre2-devel zlib-devel bzip2-devel

这些依赖库里，json-c和openssl是最常用的两个，缺哪一个都会在编译期或运行期报错。我的习惯是先装完整套，编译一次通过。

下载源码包的时候注意：ClamAV官方发布包是.tar.gz格式，可以从官网或者Github Releases页面获取，拷贝到内网后按下面步骤操作：

tar -xzf clamav-1.x.x.tar.gz cd clamav-1.x.x ./configure --prefix=/usr/local/clamav --with-openssl --enable-milter make -j$(nproc) sudo make install

--prefix参数指定安装目录，我这里放到/usr/local/clamav，方便之后卸载和权限管理。--enable-milter是邮件网关场景需要的，如果不需要邮件过滤，可以去掉这个参数，减少编译依赖。

编译安装完成后，有两件事必须做，否则运行不起来。

第一件，创建clamav系统用户。源码安装默认不会像rpm包那样自动生成clamav用户：

sudo useradd -s /sbin/nologin clamav

第二件，创建病毒库目录并赋权：

sudo mkdir -p /usr/local/clamav/var/run sudo mkdir -p /usr/local/clamav/var/lib/clamav sudo chown -R clamav:clamav /usr/local/clamav

然后需要把源码包里的两个配置文件复制到配置目录，并去掉默认的示例行：

cd clamav-x.x.x sudo mkdir -p /etc/clamav sudo cp etc/clamd.conf.sample /etc/clamav/clamd.conf sudo cp etc/freshclam.conf.sample /etc/clamav/freshclam.conf sudo sed -i '/^Example$/d' /etc/clamav/clamd.conf sudo sed -i '/^Example$/d' /etc/clamav/freshclam.conf

注意，ClamAV的配置样例文件第一行默认是Example，这一行必须删除或注释，否则程序会拒绝加载配置。这是源码环境下特别容易踩的坑。

源码编译安装最大的“坑”是后续升级维护费劲。每次官方出新版本，都要重新下载、重新编译、重新安装，不像apt/dnf那样一条命令解决。如果目标机器后续会越来越多，我还是优先建议做内网YUM/APT源，把ClamAV及其依赖都扔到内网源里，客户端统一从内网源安装升级。这个方案才是一劳永逸的离线管理方案，后面有时间我再单独写一篇。

3.5 病毒库更新配置，装完不更新等于白装

ClamAV如果没有最新病毒库，就像一个只带着去年教材去参加今年高考的学生，难以应对新出现的威胁，所以更新病毒库是安装后最不能省的一步。

freshclam是ClamAV的病毒库更新程序，安装完成后，它的默认配置文件/etc/clamav/freshclam.conf里的内容大部分是注释，只有一行Example顶在文件头，程序遇到这行会拒绝启动。所以第一步永远是去掉这行：

sudo sed -i '/^Example$/d' /etc/clamav/freshclam.conf

然后根据自己的需求调整几个关键参数：

DatabaseMirror db.local.clamav.net DatabaseMirror database.clamav.net DatabaseDirectory /var/lib/clamav LogFile /var/log/clamav/freshclam.log LogTime yes Checks 4 NotifyClamd /etc/clamav/clamd.conf

逐行解释一下：

• DatabaseMirror：指定病毒库镜像源，默认是db.local.clamav.net，一般保持默认就行。如果内网无法访问公网DNS，需要在内网架一个镜像源，把这里的地址改成内网镜像。
• DatabaseDirectory：病毒库存放目录，RHEL系默认在/var/lib/clamav，源码编译安装要改成自己定义的路径，例如/usr/local/clamav/var/lib/clamav。
• Checks：每天检查更新的次数，我一般设4次，相当于每6小时检查一次，兼顾及时性和带宽成本。
• NotifyClamd：更新完病毒库后通知clamd重新加载，如果你启用了clamd守护进程，这行建议保留。

手动跑一次更新验证是否能通：

sudo freshclam

看到Database updated successfully.就是正常。如果长期卡在某个下载阶段或者报Can't connect to database.clamav.net，常见的根因有三个：DNS解析不了、防火墙拦截了80端口、镜像源访问超时。先跑ping database.clamav.net和curl -I https://database.clamav.net，哪一步不通先解决哪一步。

4. 常见问题与排查技巧实录

4.1 高频问题速查表

整理了一份我在实战中反复遇到的高频问题清单，按“先看、再查、后解决”的顺序排列，适合收藏备查。

4.2 实战中的避坑心得

最后说几个只能在实战中慢慢悟出来的点。

第一个是关于内存限制。clamd守护进程默认的线程数和队列数很高，如果服务器内存不大，扫描高峰期很容易把内存吃满。我一般会在clamd.conf里设置这几个参数，防止“杀毒软件把业务杀没了”的惨剧发生：

MaxThreads 12 MaxQueue 100 MaxRecursion 12 MaxFileSize 100M MaxScanSize 200M

MaxFileSize和MaxScanSize控制单文件和总扫描数据量上限，对Web目录这种场景特别有意义——防止用户上传一个超大的压缩包，把扫描进程拖死。这些都是ClamAV默认配置里注释掉的参数，建议根据自己的机器配置逐个打开。

第二个是On-Access实时扫描要慎用。ClamAV支持基于内核fanotify的实时扫描，但实时扫描对文件IO的影响非常明显。我建议只在必要的最小目录集上开启，比如只给Nginx的上传目录开，全盘实时扫描慎开。另外，实时扫描和备份任务容易互踩，跑备份的时候把实时扫描策略临时停掉，是很多老运维的做法。

第三个是Java集成ClamAV的通信方式。热词里有人搜“java集成clamav”，说明确实有开发同学在折腾这个。我要提醒的是，最稳的通信方式是走clamd的本地Socket，而不是调用命令行clamscan。具体来说，Java里用clamav-client库，把clamd的Socket配置好，然后发送INSTREAM指令做流式扫描；或者直接调clamdscan命令。与命令行方式相比，Socket方式省去了每次扫描都启动进程的开销，QPS高得多，生产环境必须用这种方式。Python和PHP同理，优先走clamd的协议，别动不动就exec('clamscan ...')。

第四个是配合其他工具使用。ClamAV查杀已知威胁能力在线，但对未知的Rootkit和0day检出有限。在实际工作中，我会把ClamAV和chkrootkit或rkhunter这类Rootkit检测工具配合使用，再叠加一个lynis做安全审计。这套组合在合规验收时特别好用，一份扫描报告加一份审计报告，基本能应付大多数检查要求。

养成的习惯是装完ClamAV后给freshclam配好定时任务：每天凌晨3点自动更新病毒库，每周日凌晨4点做一次全盘扫描，扫描日志单独放一个目录，轮转策略保留90天。这样半年看一次日志，基本不会出乱子。如果你公司有文件服务或者邮件服务，还是建议尽早把ClamAV部署上去。这东西装好花不了半小时，但等到业务因为恶意文件出了问题再回来搭救火队，时间成本完全不在一个量级。