升级OpenSSL并同时升级OpenSSH

openssl升级

到OpenSSL官网https://www.openssl.org/source/下载响应的源码包, 本文以openssl-1.1.1v为例

# 下载
wget https://www.openssl.org/source/openssl-1.1.1v.tar.gz
# 编译
tar -xzvf openssl-1.1.1v.tar.gz
cd openssl-1.1.1v
./config --prefix=/usr/local/openssl
make && make install
# 备份原ssl并替换
mv /usr/bin/openssl /usr/bin/openssl.bak
mv /usr/include/openssl /usr/include/openssl.bak
 
ln -s /usr/local/openssl/bin/openssl   /usr/bin/openssl
ln -s /usr/local/openssl/include/openssl   /usr/include/openssl
# 备份原ssl依赖库并替换
mv /usr/lib64/libssl.so.1.1 /usr/lib64/libssl.so.1.1.bak
mv /usr/lib64/libcrypto.so.1.1 /usr/lib64/libcrypto.so.1.1.bak
​
ln -s /usr/local/openssl/lib/libssl.so.1.1 /usr/lib64/libssl.so.1.1
ln -s /usr/local/openssl/lib/libcrypto.so.1.1 /usr/lib64/libcrypto.so.1.1
​
echo "/usr/local/openssl/lib" >> /etc/ld.so.conf
ldconfig
​
# 查看版本
openssl version

openssh升级

#备份原有pam.d下的sshd文件
cp /etc/pam.d/sshd /etc/pam.d/sshd-bak
ls /etc/pam.d/sshd*
cp -r /etc/ssh/ /etc/ssh-bak/
ls /etc/ssh-bak/
​
# 安装telnet并启动telnet(可选)
#(略)确保ssh万一启动失败的话可以用telnet连接上去修复(如果你有其他方式连接主机或者确保一定能成功, 可以跳过这个步骤)
​
# 下载openssh包进行升级(官网:https://www.openssh.com/portable.html)
# (本文以openssh-9.4p1为例)
wget -O openssh-9.4p1.tar.gz https://mirrors.aliyun.com/pub/OpenBSD/OpenSSH/portable/openssh-9.4p1.tar.gz?spm=a2c6h.25603864.0.0.686840aduCEmZg
​
# 卸载旧版本(可选)(如有需要自行打开下列注释)
# rpm -e --nodeps `rpm -qa | grep openssh`
​
# 解压
tar -xzvf openssh-9.4p1.tar.gz
cd openssh-9.4p1
# 编译配置
./configure --prefix=/usr --sysconfdir=/etc/ssh  --with-pam  --with-ssl-dir=/usr/local/openssl --with-zlib=/usr/local/lib64 --with-md5-passwords 
# 调整文件权限
chmod 600 /etc/ssh/ssh_host_rsa_key /etc/ssh/ssh_host_ecdsa_key /etc/ssh/ssh_host_ed25519_key
# 编译并安装
make && make install
# 文件授权
chmod 600 /etc/ssh/ssh_host_rsa_key /etc/ssh/ssh_host_ecdsa_key /etc/ssh/ssh_host_ed25519_key
# 复制配置文件
cp -a contrib/redhat/sshd.init /etc/init.d/sshd
chmod u+x /etc/init.d/sshd
# 还原配置文件
cp /etc/pam.d/sshd-bak /etc/pam.d/sshd
cp /etc/ssh-bak/sshd_config /etc/ssh/sshd_config
​
# 调整配置
vim /etc/ssh/sshd_config
# 注释 这两行配置(过期不通用的配置)
#GSSAPIAuthentication yes
#GSSAPICleanupCredentials no
# 如需直接登录root按需检查这三项是否开启
PermitRootLogin yes
StrictModes yes
UsePAM yes

# 添加开机自启
chkconfig --add sshd
chkconfig sshd on
# 验证配置文件是否正确
sshd -t 
# 重新启动sshd
systemctl restart sshd
# 查看版本
ssh -V

openssh升级后，如果sftp无法连接

# 调整/etc/ssh/sshd_config配置
vim /etc/ssh/sshd_config
# 注释下面第一句 改成第二句
​# Subsystem      sftp    /usr/local/openssh/libexec/sftp-server改成下面这句
Subsystem      sftp    internal-sftp
# 重新启动sshd
systemctl restart sshd