Centos 7.9 升级 OpenSSH 到 openssh-9.4p1及openssl-1.1.1k

注：ssh升级到openssh-9.4p1需要openssl-1.1.1及以上！！！

openssh-9.4p1和openssl-1.1.1下载地址

一、升级openssl 到openssl-1.1.1k

1.基础环境

首先，安装基础依赖包

yum install -y gcc gcc-c++ glibc make autoconf openssl openssl-devel pcre-devel pam-devel wget vim unzip lrzsz

yum install -y pam* zlib*

.然后，关闭SELinux，随便创建一个放源文件的目录

sed -i 's/SELINUX=enforcing/SELINUX=disabled/g' /etc/selinux/config

sed -i 's/SELINUX=permissive/SELINUX=disabled/g' /etc/selinux/config

setenforce 0
#创建目录
mkdir -p /app/src

2.编译安装OpenSSL

cd /app/src
#上传openssl源码包
rz
tar xf openssl-1.1.1k.tar.gz
cd openssl-1.1.1k/

mkdir /usr/local/openssl
./config --prefix=/usr/local/openssl

make && make install
检查编译安装结果
ls /usr/local/openssl

配置OpenSSL
mv /usr/bin/openssl /usr/bin/openssl.bak
mv /usr/include/openssl /usr/include/openssl.bak
#默认是使用了软连接：/usr/lib64/libssl.so -> libssl.so.1.0.2k
#而真实文件路径则是：/usr/lib64/libssl.so.1.0.2k
unlink /usr/lib64/libssl.so

ln -s /usr/local/openssl/bin/openssl /usr/bin/openssl

ln -s /usr/local/openssl/include/openssl /usr/include/openssl

ln -s /usr/local/openssl/lib/libssl.so /usr/lib64/libssl.so

echo ‘/usr/local/openssl/lib’ >> /etc/ld.so.conf

ldconfig -v

ln -s /usr/local/openssl/lib/libssl.so.1.1 /usr/lib64/libssl.so.1.1

ln -s /usr/local/openssl/lib/libcrypto.so.1.1 /usr/lib64/libcrypto.so.1.1

检查OpenSSL升级是否成功
openssl version

#ping一下看看基础命令是否受影响
ping www.baidu.com

二、升级 OpenSSH 到 openssh-9.4p1

openssh-9.4p1下载地址
修复方案：需确认机器已安装的软件包中不存在低版本openssh组件，如可通过执行命令：rpm -qa | grep openssh查看组件版本。
准备工作
安装编译所需依赖软件包：
yum install -y wget gcc pam-devel libselinux-devel zlib-devel openssl-devel

yum -y install perl
下载 OpenSSH 安装包上传至服务器或 wget 直接下载

cd /app/src
wget -O openssh.tar.gz https://mirrors.aliyun.com/pub/OpenBSD/OpenSSH/portable/openssh-9.4p1.tar.gz

备份配置文件 一般卸载的时候都会把配置文件以sshd_config.rpmsave的方式另存一份，但是**/etc/pam.d/sshd**这个配置文件并没有另存，所以建议都备份一下。
cp /etc/ssh/sshd_config sshd_config.backup

cp /etc/pam.d/sshd sshd.backup
删除低版本OpenSSH的的rpm包

rpm -e --nodeps `rpm -qa | grep openssh`

安装openssh
解压:
tar -zxvf openssh.tar.gz
cd openssh-9.4p1
编译配置:
./configure --prefix=/usr --sysconfdir=/etc/ssh --with-md5-passwords --with-pam --with-zlib --with-tcp-wrappers --with-ssl-dir=/usr/local/openssl --without-hardening
（注意：dir=/usr/local/openss，在编译安装SSL的时候创建过一个文件夹路径lmkdir /usr/local/openssll，路径一定要正确！！！）

编译安装:
make && make install

配置：调整文件权限
chmod 600 /etc/ssh/ssh_host_rsa_key /etc/ssh/ssh_host_ecdsa_key /etc/ssh/ssh_host_ed25519_key

复制配置文件：
cp -a contrib/redhat/sshd.init /etc/init.d/sshd
chmod u+x /etc/init.d/sshd
还原配置文件：

mv ../sshd.backup /etc/pam.d/sshd
mv ../sshd_config.backup /etc/ssh/sshd_config

添加添加自启服务ssh到开机启动项：
chkconfig --add sshd
chkconfig sshd on
重启服务：
systemctl restart sshd
验证结果：
查看下安装结果：
ssh -V

运行结果：

到此，升级基本完成。安全起见不要关闭SSH窗口，新增一个SSH连接，看看能否正常登录。如果不能登录，可以根据 sshd 的日志进行配置调整。

备注：升级后不能立即断开连接否则无法重连（解决办法）：
vi /etc/ssh/sshd_config
PermitRootLogin yes #这个是允许root登陆

上面的配置文件/etc/ssh/sshd_config中UsePAM yes注释#UsePAM yes

重启服务重连
systemctl restart sshd