Kylin Server 系统离线升级 openssh

Kylin Server 系统离线升级 openssh

一、准备工作

1. 获取离线安装包

在可联网的机器上下载以下文件并传输至离线环境（如U盘或内部服务器）：

• OpenSSH源码包：
  openssh-9.8p1.tar.gz
• 依赖库源码包（若需要更新）：
  • OpenSSL: openssl-3.4.0.tar.gz
  • zlib: zlib-1.3.1.tar.gz
• 编译工具链（根据系统类型选择）：
  • CentOS/RHEL: Development Tools 组的RPM包（含gcc、make等）。
  • Ubuntu/Debian: build-essential 的DEB包。

2. 上传文件至离线服务器

将下载的源码包和依赖工具通过物理介质或内部网络传输到目标服务器，存放至目录（如 /opt/offline_pkgs）。

二、安装编译环境

1. 安装编译工具链

• 安装Telnet作为备用连接
  为避免升级过程中因SSH中断导致无法远程连接，需先安装并配置Telnet服务：

  yum install telnet-server telnet -y
  systemctl enable telnet.socket
  systemctl start telnet.socket
  firewall-cmd --permanent --add-port=23/tcp  # 开放防火墙端口，如已关闭防火墙请忽略此步骤。
  firewall-cmd --reload           # 如已关闭防火墙请忽略此步骤。
  echo 'pts/0' >> /etc/securetty  # 允许root通过Telnet登录
  
  useradd yunxin  # 创建普通用户来telnet 登录再 su - root
  passwd yunxin   # 修改 agan 密码
  Changing password for user agan.
  New password:      # 设置密码
  BAD PASSWORD: The password is shorter than 8 characters
  Retype new password:     # 再次确认密码
  passwd: all authentication tokens updated successfully.  # 看到 successfully 表示设置密码成功
  

• CentOS/RHEL（使用本地YUM仓库或RPM包）：

  rpm -ivh /opt/offline_pkgs/*.rpm   # 手动安装所有工具链RPM包
  

• Ubuntu/Debian（使用本地APT仓库或DEB包）：

  dpkg -i /opt/offline_pkgs/*.deb    # 手动安装所有工具链DEB包
  

2. 安装基础依赖库

解压并编译依赖库（如OpenSSL、zlib）：

# 安装OpenSSL 3.4.0
tar -zxvf /opt/offline_pkgs/openssl-3.4.0.tar.gz -C /usr/local/src/
cd /usr/local/src/openssl-3.4.0
./config --prefix=/usr/local/openssl shared zlib
make && make install

# 更新系统库链接
echo "/usr/local/openssl/lib64" >> /etc/ld.so.conf.d/openssl.conf
ldconfig -v

# 安装zlib
tar -zxvf /opt/offline_pkgs/zlib-1.3.1.tar.gz -C /usr/local/src/
cd /usr/local/src/zlib-1.3.1
./configure --prefix=/usr/local/zlib
make && make install

---

三、升级OpenSSH

1. 备份原有配置

cp -r /etc/ssh /root/ssh_backup    # 备份配置目录
cp /etc/pam.d/sshd /root/sshd_pam.backup  # 备份PAM配置

2. 编译安装OpenSSH 9.8p1

tar -zxvf /opt/offline_pkgs/openssh-9.8p1.tar.gz -C /usr/local/src/
cd /usr/local/src/openssh-9.8p1
./configure \
  --prefix=/usr \
  --sysconfdir=/etc/ssh \
  --with-ssl-dir=/usr/local/openssl \
  --with-zlib=/usr/local/zlib \
  --with-pam
make && make install

3. 处理安装冲突

• 覆盖旧版本文件：

  cp -f /usr/local/src/openssh-9.8p1/sshd /usr/sbin/sshd
  cp -f /usr/local/src/openssh-9.8p1/ssh /usr/bin/ssh
  

4. 修复权限和SELinux策略

chmod 600 /etc/ssh/sshd_config
chown root:root /etc/ssh/sshd_config
restorecon -Rv /etc/ssh /usr/sbin/sshd  # SELinux环境下修复标签，SELinux 关闭可忽略此步骤。

---

四、启动服务与验证

1. 重启SSH服务

systemctl daemon-reload
systemctl restart sshd
systemctl status sshd  # 确认服务状态为active

2. 验证版本与漏洞修复

ssh -V  # 应输出：OpenSSH_9.8p1

3. 测试远程连接

从另一台机器测试SSH连接：

ssh -p 22 user@目标服务器IP

---

五、故障处理（若启动失败）

1. 查看日志定位问题

journalctl -u sshd | tail -n 50   # 检查错误日志
sshd -t                          # 验证配置文件语法

2. 常见问题修复

• 依赖库缺失：
  检查 ldd /usr/sbin/sshd，确保所有库路径正确。

• 目录权限问题：

  chmod 711 /var/empty/sshd
  chown root:root /var/empty/sshd
  

• SELinux拦截：
  临时测试：setenforce 0，若有效则生成策略：

  audit2allow -a -M sshd_fix
  semodule -i sshd_fix.pp
  

• make 编译时报错

# 编译报错信息
/etc/ssh/sshd_config line 79: Unsupported option GSSAPIAuthentication
/etc/ssh/sshd_config line 80: Unsupported option GSSAPICleanupCredentials
/etc/ssh/sshd_config line 96: Unsupported option UsePAM
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@         WARNING: UNPROTECTED PRIVATE KEY FILE!          @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
Permissions 0640 for '/etc/ssh/ssh_host_rsa_key' are too open.
It is required that your private key files are NOT accessible by others.
This private key will be ignored.
Unable to load host key "/etc/ssh/ssh_host_rsa_key": bad permissions
Unable to load host key: /etc/ssh/ssh_host_rsa_key
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@         WARNING: UNPROTECTED PRIVATE KEY FILE!          @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
Permissions 0640 for '/etc/ssh/ssh_host_ecdsa_key' are too open.
It is required that your private key files are NOT accessible by others.
This private key will be ignored.
Unable to load host key "/etc/ssh/ssh_host_ecdsa_key": bad permissions
Unable to load host key: /etc/ssh/ssh_host_ecdsa_key
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@         WARNING: UNPROTECTED PRIVATE KEY FILE!          @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
Permissions 0640 for '/etc/ssh/ssh_host_ed25519_key' are too open.
It is required that your private key files are NOT accessible by others.
This private key will be ignored.
Unable to load host key "/etc/ssh/ssh_host_ed25519_key": bad permissions
Unable to load host key: /etc/ssh/ssh_host_ed25519_key
sshd: no hostkeys available -- exiting.
make: [check-config] Error 1 (ignored)

# 解决方案
vi  /etc/ssh/sshd_config # line 79: Unsupported option GSSAPIAuthentication  # 注释掉 79行
vi  /etc/ssh/sshd_config # line 80: Unsupported option GSSAPICleanupCredentials    # 注释掉 80行
vi  /etc/ssh/sshd_config # line 96: Unsupported option UsePAM   # 注释掉 96行
# 添加权限
chmod 600 /etc/ssh/ssh_host_rsa_key
chmod 600 /etc/ssh/ssh_host_ecdsa_key
chmod 600 /etc/ssh/ssh_host_ed25519_key

---

六、回滚方案（可选）

若升级失败，还原备份并重装旧版本：

cp -r /root/ssh_backup/* /etc/ssh/
yum reinstall openssh-server  # CentOS/RHEL
apt-get install --reinstall openssh-server  # Ubuntu/Debian

---

注意事项

1. 防火墙规则：确保SSH端口（默认22）在防火墙中开放。
2. 兼容性测试：升级后验证与现有自动化工具（如Ansible）的兼容性。
3. 离线包管理：建议提前构建内部YUM/APT仓库以简化依赖安装。

---

rpm离线包下载到本地方法

一：yumdownloader

如果只想通过 yum 下载软件的软件包，但是不需要进行安装的话，可以使用 yumdownloader 命令； yumdownloader 命令在软件包 yum-utils 里面。

yum install yum-utils -y

常用参数说明：

• --destdir 指定下载的软件包存放路径
• --resolve 解决依赖关系并下载所需的包

示例：

yumdownloader --destdir=/opt --resolve tomcat

二：yum --downloadonly

yum命令的参数有很多，其中就有只是下载而不需要安装的命令，并且也会自动解决依赖；通常和 --downloaddir 参数一起使用。

示例：

yum install --downloadonly --downloaddir=/opt  tomcat

yum reinstall --downloadonly --downloaddir=/opt  tomcat

说明：如果该服务器已经安装了需要下载的软件包，那么使用 install下载就不行，可以使用reinstall下载。

如果提示没有–downloadonly选项则需要安装yum-plugin-downloadonly软件包。

yum install yum-plugin-downloadonly

三：reposync

该命令更加强大，可以将远端yum仓库里面的包全部下载到本地。 该命令也是来自与 yum-utils 里面。

yum install yum-utils -y

常用参数说明：

• -r 指定已经本地已经配置的 yum 仓库的 repo源的名称
• -p 指定下载的路径

示例：

reposync -r epel -p /opt/local_epel
gin-downloadonly

三：reposync

该命令更加强大，可以将远端yum仓库里面的包全部下载到本地。 该命令也是来自与 yum-utils 里面。

yum install yum-utils -y

常用参数说明：

• -r 指定已经本地已经配置的 yum 仓库的 repo源的名称
• -p 指定下载的路径

示例：

reposync -r epel -p /opt/local_epel