|
CentOS7.1 升级OpenSSH 7.8
安装包及一键升级脚本
openssh 7.8下载地址
openssl-fips-2.0.16 下载地址
openssl 1.0.2p 下载地址
一键脚本地址
安装telnet
为了防止ssh升级失败无法登录到主机，先安装一个telnet
运行telnet
yum install -y telnet-server xinetd
运行telnet服务
systemctl enable xinetd.service
systemctl enable telnet.socket
systemctl start telnet.socket
systemctl start xinetd
默认情况下，系统是不允许root用户telnet远程登录的。如果要使用root用户直接登录，需设置如下内容:
echo -e 'pts/0\npts/1\npts/2\npts/3' >>/etc/securetty
service xinetd restart ####重启telnet服务
安装依赖包
yum install zlib-devel -y pam-devel tcp_wrappers-devel gcc
安装编译所需openssl
根据openssh 7.8中的INSTALL文件中的说明，依赖于OpenSSL >= 1.0.1 < 1.1.0。在openssl官网选择了符合条件的最新版本1.0.2p。
编译安装FIPS模块
首先，从openssl官网下载源码包openssl-fips-2.0.16.tar.gz，将其安装到/opt/fips-2.0.16目录下。
说明： 在编译前先设定环境变量FIPSDIR，这是用于指定FIPS模块的安装目录，这是fips软件特有的安装特性。软件编译时会检测该环境变量是否存在。若不指定，默认会安装在/usr/local/ssl/fips2.0目录。
export FIPSDIR=/opt/fips-2.0.16
tar -zxvf openssl-fips-2.0.16.tar.gz
cd openssl-fips-2.0.16
./config
make && make install
编译安装OpenSSL 1.0.2p
从openssl官网下载源码包openssl-1.0.2p，将其安装到/opt/openssl1.0.2p目录下。将openssl安装到专门的目录，这是为了避免对操作系统自带的openssl造成影响。
编译使用参数说明：
--prefix：指定openssl的安装目录。按本例中的安装方式，安装完成后该目录下会包含bin(含二进制程序)、lib(含动态库文件)、include/openssl(含报头文件)及openssl(--openssldir选项指定的)这些子目录。
--openssldir：指定openssl文件的安装目录。按本例中的安装方式，安装完成后该目录下会包括certs(存放证书文件)、man(存放man文件)、misc(存放各种脚本)、private(存放私钥文件)这些子目录及openssl.cnf配置文件。
fips：集成FIPS模块。
--with-fipsdir：指向FIPS模块的安装目录位置。
zlib-dynamic：编译支持zlib压缩/解压缩，让openssl加载zlib动态库。该选项只在支持加载动态库的操作系统上才支持。这是默认选项。
shared：除了静态库以外，让openssl(在支持的平台上)也编译生成openssl动态库。
-fPIC：将openssl动态库编译成位置无关(position-independent)的代码。
tar zxvf openssl-1.0.2p.tar.gz
cd openssl-1.0.2p
./config --prefix=/opt/openssl1.0.2p --openssldir=/opt/openssl1.0.2p/openssl fips --with-fipsdir=/opt/fips-2.0.16 zlib-dynamic shared -fPIC
make depend
make
make test
make install
安装完成后，将OpenSSL的库文件目录添加到/etc/ld.so.conf文件中，并加载到系统内存缓存中
echo '/opt/openssl1.0.2p/lib' >> /etc/ld.so.conf
ldconfig
安装OpenSSH 7.8p
从openssl官网下载源码包openssh-7.8p1.tar.gz，将其安装到/opt/openssh7.8p1目录下。将openssh安装到专门的目录，这是为了避免与操作系统自带的openssh造成不必要的冲突，增加复杂度。
tar zxvf openssh-7.8p1.tar.gz
cd openssh-7.8p1
./configure --prefix=/opt/openssh7.8p1 --with-ssl-dir=/opt/openssl1.0.2p --with-pam --with-tcp-wrappers
make && make install
编译使用参数说明：
--prefix：指定安装目录
--with-ssl-dir=DIR：指向LibreSSL/OpenSSL库的安装目录的所在路径。
--with-pam：启用PAM支持。根据OpenSSH的安装说明，如果在编译时启用了PAM，那么在安装完成后，也必须在sshd服务的配置文件sshd_config中启用它(使用UsePAM指令)。
echo 'export PATH=/opt/openssh7.8p1/bin:/opt/openssh7.8p1/sbin:$PATH' >> /etc/profile.d/path.sh
source /etc/profile.d/path.sh
配置OpenSSH
前面已经安装好了openssh，但是我们还需要配置它，以保证sshd服务可以启起来。
我们可以先看一下原有的sshd服务(属于openssh-server软件包)都有哪些配置文件：
rpm -ql openssh-server | grep -i --color etc
/etc/pam.d/sshd
/etc/ssh/sshd_config
/etc/sysconfig/sshd
新增或者修改配置文件sshd_config中的参数
Protocol 2
SyslogFacility AUTHPRIV
PermitRootLogin yes
AuthorizedKeysFile .ssh/authorized_keys
PasswordAuthentication yes
ChallengeResponseAuthentication no
# 编译的时候启用了PAM支持，就必须启用
UsePAM yes
AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL LANGUAGE
AcceptEnv XMODIFIERS
X11Forwarding yes
拷贝系统原有的配置文件/etc/sysconfig/sshd到我们软件下面，这个配置文件用于设置启动sshd服务所需的环境变量，在sshd服务的启动脚本里有调用到该配置文件：
cp /etc/sysconfig/sshd /opt/openssh7.8p1/etc/
停止旧版的sshd服务，再启动新的sshd服务
systemctl stop sshd
systemctl start sshd
参考文档
https://blog.csdn.net/huhuhuemail/article/details/79309178
http://blog.51cto.com/techsnail/2138927
|