在CentOS系统上启用FIPS模式，本质上就是让操作系统的加密模块通过美国联邦信息处理标准（FIPS 140-2）认证，强制系统只使用经过验证的加密算法和库，禁用所有不合规的弱加密算法。具体操作流程是：先安装dracut-fips和fips-setup包，然后通过fips-mode-setup命令开启FIPS模式，重启后系统会自动切换到FIPS合规状态，所有非FIPS认证的加密算法将被禁用。这套操作在CentOS 7和CentOS 8/Stream上都能实现，但具体命令和包名略有差异。
很多企业在做等保测评、金融合规、政府项目部署时，都会被明确要求开启FIPS模式。这不是可选项，而是硬性指标。下面我从原理、操作、验证、常见坑四个维度把这件事讲透。
一、FIPS模式到底是什么，为什么必须开
FIPS全称Federal Information Processing Standards，由美国国家标准与技术研究院（NIST）发布。FIPS 140-2是其中专门针对密码模块的安全要求，规定了加密模块必须满足的物理安全、逻辑安全、密钥管理等一系列标准。开启FIPS模式后，CentOS系统内核会加载fips=1参数，OpenSSL等加密库会自动切换到FIPS认证的子集模式，只允许使用AES、3DES、SHA-1/SHA-256/SHA-512、RSA、DSA等经过认证的算法，MD5、RC4、DES等非合规算法会被直接屏蔽。
从实际安全角度看，FIPS模式的核心价值有三点：第一，强制淘汰已知存在漏洞的弱算法；第二，统一加密标准，避免不同模块使用不同强度的加密导致木桶效应；第三，满足审计和合规要求，很多行业监管明确规定必须使用FIPS认证的密码模块。对于金融、医疗、政务等敏感行业，这几乎是入场券。
二、CentOS 7上启用FIPS模式的完整步骤
CentOS 7是目前仍在大量使用的版本，操作相对成熟。第一步，安装必要的软件包：
yum install -y dracut-fips fips-setup
第二步，运行fips-mode-setup命令，这个命令会自动修改grub配置、重建initramfs、设置系统为FIPS模式：
fips-mode-setup --enable
执行后会提示你是否确认，输入yes即可。系统会自动完成以下操作：在/etc/default/grub中添加fips=1和boot=fips参数，重新生成initramfs镜像，设置/etc/sysconfig/init文件中的FIPS=yes。
第三步，重启系统：
reboot
重启后，可以通过以下命令验证FIPS是否生效：
cat /proc/sys/crypto/fips_enabled
返回值为1表示已启用，为0表示未启用。另外还可以用openssl命令查看：
openssl md5 /etc/passwd
如果FIPS已启用，这条命令会报错，因为MD5不是FIPS认证算法。如果能正常输出，说明FIPS没开成功。
三、CentOS 8/Stream上的操作差异
CentOS 8和CentOS Stream使用的是新的包管理体系，但FIPS的开启逻辑一致。首先安装包：
dnf install -y dracut-fips fips-setup
然后同样执行：
fips-mode-setup --enable
需要注意的是，CentOS 8上如果使用的是RHEL 8内核，fips-mode-setup可能会提示需要先设置crypto-policy为FIPS。可以先执行：
update-crypto-policies --set FIPS
然后再运行fips-mode-setup。重启后验证方式和CentOS 7一样，用cat /proc/sys/crypto/fips_enabled确认即可。CentOS 8还有一个额外的验证方式，通过crypto-policy命令：
update-crypto-policies --show
输出中如果显示FIPS，说明策略已切换。
四、加密库合规的深层问题
开启FIPS模式只是第一步，真正的合规挑战在于应用层。系统层面的OpenSSL切换到FIPS模式后，所有依赖OpenSSL的应用（如Nginx、Apache、SSH、Python的ssl模块等）都会自动受到约束。但这里有几个容易踩的坑：
第一，某些应用在编译时链接了非FIPS版本的OpenSSL，或者静态编译了自己的加密库，这种情况下系统FIPS模式对它无效。需要重新编译或更换为系统的FIPS兼容OpenSSL。
第二，Java应用需要单独配置。Oracle JDK和OpenJDK有自己的加密提供者体系，需要在java.security文件中将FIPS相关的Provider优先级调高，或者使用BouncyCastle的FIPS模块。具体操作是在$JAVA_HOME/conf/security/java.security中修改：
security.provider.1=sun.security.pkcs11.SunPKCS11 ${java.home}/conf/security/nss.fips.cfg第三，数据库如MySQL、PostgreSQL如果使用了自带的SSL功能，需要确认其链接的OpenSSL版本是否支持FIPS模式。MySQL 5.7+和MariaDB 10.x通常可以直接使用系统的FIPS OpenSSL，但需要在my.cnf中确认ssl相关配置没有指定非FIPS算法。
五、FIPS模式下的常见故障与解决
开启FIPS后最常见的问题是SSH连接失败。这是因为某些旧版本的SSH客户端或服务器尝试使用非FIPS算法进行密钥交换。解决方法是在/etc/ssh/sshd_config和/etc/ssh/ssh_config中明确指定FIPS兼容的算法：
KexAlgorithms diffie-hellman-group-exchange-sha256,ecdh-sha2-nistp256 HostKeyAlgorithms rsa-sha2-256,rsa-sha2-512,ecdsa-sha2-nistp256 Ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr MACs hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com
修改后重启sshd服务。另一个常见问题是某些监控Agent或第三方软件在FIPS模式下无法启动，因为它们内部使用了MD5或SHA1做完整性校验。这种情况要么升级软件版本到支持FIPS的版本，要么联系厂商获取FIPS兼容补丁。
还有一个容易忽略的点：如果系统之前已经生成过SSH密钥（使用了非FIPS算法），在FIPS模式下这些旧密钥可能无法使用。需要重新生成：
ssh-keygen -t rsa -b 4096 -m PEM
或者使用ECDSA：
ssh-keygen -t ecdsa -b 521
六、合规审计需要准备的证据链
如果是为了等保或行业审计开启FIPS，光开了还不够，需要留存完整的证据。建议做好以下几点：记录fips-mode-setup的执行日志（/var/log/fips-mode-setup.log），截图或导出/proc/sys/crypto/fips_enabled的值，保存openssl命令的测试结果（包括成功和失败的对比），整理crypto-policy的配置文件，以及应用层的兼容性测试报告。这些材料在审计时都是加分项，能证明你不只是开了开关，而是做了完整的合规验证。
另外提醒一点，FIPS模式开启后系统性能可能会有轻微下降，因为可用的算法集合变小了，部分优化路径不可用。但在实际测试中，AES-NI硬件加速依然有效，日常业务感知不明显。如果对性能极其敏感，可以评估是否真的需要全系统FIPS，还是只在特定服务上做应用层FIPS合规。
七、总结与建议
CentOS启用FIPS模式操作本身不复杂，核心就是装包、执行setup命令、重启、验证四步。真正的难点在于应用层的兼容性适配和长期维护。建议在生产环境部署前先在测试环境完整走一遍流程，把所有依赖服务的兼容性问题提前暴露。同时关注Red Hat官方的安全公告，因为FIPS相关的包更新和内核补丁会持续发布，保持系统更新是维持合规状态的基础。对于新部署的系统，直接从CentOS Stream 9开始规划FIPS合规会更省心，因为新版本对FIPS的支持更加原生和完善。
