一键升级最新OpenSSH

2019-12-19 本文已影响0人 whisshe

CentOS7 升级OpenSSH 7.8

安装包及一键升级脚本

openssh稳定版下载

openssl-fips-2.0.16 下载地址

openssl下载

一键脚本地址

安装telnet

为了防止ssh升级失败无法登录到主机，先安装一个telnet

运行telnet

yum install -y telnet-server xinetd

运行telnet服务

systemctl enable xinetd.service
systemctl enable telnet.socket
systemctl start telnet.socket
systemctl start xinetd

默认情况下，系统是不允许root用户telnet远程登录的。如果要使用root用户直接登录，需设置如下内容:

echo -e 'pts/0\npts/1\npts/2\npts/3'  >>/etc/securetty
service  xinetd  restart ####重启telnet服务

安装依赖包

yum install zlib-devel -y pam-devel tcp_wrappers-devel gcc

安装编译所需openssl

根据openssh 7.8中的INSTALL文件中的说明，依赖于OpenSSL >= 1.0.1 < 1.1.0。在openssl官网选择了符合条件的最新版本1.0.2p。

编译安装FIPS模块

首先，从openssl官网下载源码包openssl-fips-2.0.16.tar.gz，将其安装到/opt/fips-2.0.16目录下。

说明： 在编译前先设定环境变量FIPSDIR，这是用于指定FIPS模块的安装目录，这是fips软件特有的安装特性。软件编译时会检测该环境变量是否存在。若不指定，默认会安装在/usr/local/ssl/fips2.0目录。

export FIPSDIR=/opt/fips-2.0.16
tar -zxvf openssl-fips-2.0.16.tar.gz
cd openssl-fips-2.0.16
./config
make && make install

编译安装OpenSSL 1.0.2p

从openssl官网下载源码包openssl-1.0.2p，将其安装到/opt/openssl1.0.2p目录下。将openssl安装到专门的目录，这是为了避免对操作系统自带的openssl造成影响。
编译使用参数说明：

--prefix：指定openssl的安装目录。按本例中的安装方式，安装完成后该目录下会包含bin(含二进制程序)、lib(含动态库文件)、include/openssl(含报头文件)及openssl(--openssldir选项指定的)这些子目录。

--openssldir：指定openssl文件的安装目录。按本例中的安装方式，安装完成后该目录下会包括certs(存放证书文件)、man(存放man文件)、misc(存放各种脚本)、private(存放私钥文件)这些子目录及openssl.cnf配置文件。

fips：集成FIPS模块。

--with-fipsdir：指向FIPS模块的安装目录位置。

zlib-dynamic：编译支持zlib压缩/解压缩，让openssl加载zlib动态库。该选项只在支持加载动态库的操作系统上才支持。这是默认选项。

shared：除了静态库以外，让openssl(在支持的平台上)也编译生成openssl动态库。

-fPIC：将openssl动态库编译成位置无关(position-independent)的代码。

tar zxvf openssl-1.0.2p.tar.gz
cd openssl-1.0.2p
./config --prefix=/opt/openssl1.0.2p --openssldir=/opt/openssl1.0.2p/openssl fips --with-fipsdir=/opt/fips-2.0.16 zlib-dynamic shared -fPIC
make depend
make
make test
make install

安装完成后，将OpenSSL的库文件目录添加到/etc/ld.so.conf文件中，并加载到系统内存缓存中

echo '/opt/openssl1.0.2p/lib' >> /etc/ld.so.conf
ldconfig

安装OpenSSH 7.8p

从openssl官网下载源码包openssh-7.8p1.tar.gz，将其安装到/opt/openssh7.8p1目录下。将openssh安装到专门的目录，这是为了避免与操作系统自带的openssh造成不必要的冲突，增加复杂度。

tar zxvf openssh-7.8p1.tar.gz
cd openssh-7.8p1
 ./configure --prefix=/opt/openssh7.8p1 --with-ssl-dir=/opt/openssl1.0.2p --with-pam --with-tcp-wrappers
 make && make install

编译使用参数说明：

--prefix：指定安装目录

--with-ssl-dir=DIR：指向LibreSSL/OpenSSL库的安装目录的所在路径。

--with-pam：启用PAM支持。根据OpenSSH的安装说明，如果在编译时启用了PAM，那么在安装完成后，也必须在sshd服务的配置文件sshd_config中启用它(使用UsePAM指令)。

mv /etc/init.d/sshd /etc/init.d/sshd.date +%Y%m%d

echo 'export PATH=/opt/openssh7.8p1/bin:/opt/openssh7.8p1/sbin:$PATH' >> /etc/profile.d/path.sh
source /etc/profile.d/path.sh

配置OpenSSH

前面已经安装好了openssh，但是我们还需要配置它，以保证sshd服务可以启动。

CentOS6备份原sshd服务

service sshd stop
mv /etc/init.d/sshd /etc/init.d/sshd.`date +%Y%m%d`

CentOS7备份原sshd服务

mv /usr/lib/systemd/system/sshd.service /data/ssh_bak/`date +%Y%m%d`

将源码目录下的启动脚本复制过来，并赋予执行权限

cp contrib/redhat/sshd.init /etc/init.d/sshd
chmod +x /etc/init.d/sshd

修改其中的配置，确保将默认的目录修改为openssh的安装目录下，并关闭selinux

            sed -i "s#SSHD=/usr/sbin/sshd#SSHD=/opt/openssh${expectSSHVersion}/sbin/sshd#g" /etc/init.d/sshd
            sed -i "s#/usr/bin/ssh-keygen#/opt/openssh${expectSSHVersion}/bin/ssh-keygen#g" /etc/init.d/sshd
            sed -i "s#/etc/ssh/ssh_host_rsa_key.pub#/opt/openssh${expectSSHVersion}/etc/ssh_host_rsa_key.pub#g" /etc/init.d/sshd
            sed -i "s#/etc/ssh/ssh_host_dsa_key.pub#/opt/openssh${expectSSHVersion}/etc/ssh_host_dsa_key.pub#g" /etc/init.d/sshd
            sed -i "s#/etc/ssh/ssh_host_ecdsa_key.pub#/opt/openssh${expectSSHVersion}/etc/ssh_host_ecdsa_key.pub#g" /etc/init.d/sshd
            sed -i "s#SELINUX=enforcing#SELINUX=disabled#g" /etc/selinux/config

CentOS6添加开机自启，并启动新的sshd服务

            chkconfig sshd on
            /etc/init.d/sshd start

CentOS7添加开机自启，启动新的sshd服务

            chkconfig sshd on
            systemctl daemon-reload
            systemctl start sshd

我们可以先看一下原有的sshd服务(属于openssh-server软件包)都有哪些配置文件：

rpm -ql openssh-server | grep -i --color etc
/etc/pam.d/sshd
/etc/ssh/sshd_config
/etc/sysconfig/sshd

新增或者修改配置文件sshd_config中的参数

Protocol 2
SyslogFacility AUTHPRIV
PermitRootLogin yes
AuthorizedKeysFile      .ssh/authorized_keys
PasswordAuthentication yes
ChallengeResponseAuthentication no
AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL LANGUAGE
AcceptEnv XMODIFIERS
X11Forwarding yes

拷贝系统原有的配置文件/etc/sysconfig/sshd到我们软件下面，这个配置文件用于设置启动sshd服务所需的环境变量，在sshd服务的启动脚本里有调用到该配置文件：

cp /etc/sysconfig/sshd  /opt/openssh7.8p1/etc/

参考文档

https://blog.csdn.net/huhuhuemail/article/details/79309178
http://blog.51cto.com/techsnail/2138927