近期公司维护的一个项目中有部分内网中的服务器需要升级openssh(openssl)服务的软件，虽然openssh服务在一般生产环境中运用的功能不是很复杂，但是为了保证平滑升级还是有一些需要特别注意和谨慎操作的细节，下面就详细的分析一下吧。

查看当前的ssh服务版本

   
   
   
   
    
    
    
    
    
  1. # ssh –V  
    2. 
    
    
    
    
  2. OpenSSH_4.3p2, OpenSSL 0.9.8e-fips-rhel5 01 Jul 2008 
    3.

检测之前安装的包（openssl和openssh同时更新）

   
   
   
   
    
    
    
    
    
  1. # rpm -qa | grep openssl   
    2. 
    
    
    
    
  2. openssl-0.9.8e-12.el5_4.6  
    3. 
    
    
    
    
  3.  
    4. 
    
    
    
    
  4. # rpm -qa | grep openssh  
    5. 
    
    
    
    
  5. openssh-4.3p2-41.el5  
    6. 
    
    
    
    
  6. openssh-server-4.3p2-41.el5  
    7. 
    
    
    
    
  7. openssh-clients-4.3p2-41.el5  
    8. 
    
    
    
    
  8. openssh-askpass-4.3p2-41.el5  
    9.

卸载openssh和openssl的rpm安装包

   
   
   
   
    
    
    
    
    
  1. #rpm -e `rpm -qa | grep openssh`  
    2. 
    
    
    
    
  2. #rpm -e `rpm -qa | grep openssl` --nodeps 
    3.

此时会把所有关于ssh服务的配置文件自动删除，但会自动生成配置文件备份/etc/ssh/ssd_config.rpmsave

源码安装openssh、openssl，为了避免zlib库文件版本过低，同时编译安装zlib库

   
   
   
   
    
    
    
    
    
  1. # tar xzvf zlib-1.2.6.tar.gz  
    2. 
    
    
    
    
  2. # cd zlib-1.2.6  
    3. 
    
    
    
    
  3. # ./configure  --prefix=/usr/local/zlib  
    4. 
    
    
    
    
  4. #make  &&  make install  
    5. 
    
    
    
    
  5.  
    6. 
    
    
    
    
  6. # tar xzvf openssl-1.0.1.tar.gz  
    7. 
    
    
    
    
  7. # cd openssl-1.0.1  
    8. 
    
    
    
    
  8. #./config  --prefix=/usr/local/openssl   
    9. 
    
    
    
    
  9. # make &&  make install  
    10. 
    
    
    
    
  10.  
    11. 
    
    
    
    
  11. #tar xzvf openssh-5.9p1.tar.gz  
    12. 
    
    
    
    
  12. #cd  openssh-5.9p1  
    13. 
    
    
    
    
  13. #./configure --prefix=/usr/local/openssh --sysconfdir=/etc/ssh --with-pam --with-ssl-dir=/usr/local/openssl --with-md5-passwords --mandir=/usr/share/man --with-zlib=/usr/local/zlib  
    14. 
    
    
    
    
  14. # make && make install 
    15.

出现：configure: error: PAM headers not found 错误，需要安装pam-devel的rpm包

   
   
   
   
    
    
    
    
    
  1. # yum install  –y  pam-devel  
    2. 
    
    
    
    
  2. 修改相关配置文件  
    3. 
    
    
    
    
  3. # cp -p contrib/redhat/sshd.init /etc/init.d/sshd  
    4. 
    
    
    
    
  4. # chmod u+x /etc/init.d/sshd  
    5. 
    
    
    
    
  5. # chkconfig --add sshd  
    6. 
    
    
    
    
  6. #cp /usr/src/openssh5.9p1/sshd_config  /etc/ssh/sshd_config  
    7. 
    
    
    
    
  7. # cp /usr/local/openssh/sbin/sshd  /usr/sbin/sshd  
    8. 
    
    
    
    
  8. # service sshd start       -----------断开连接!!!  
    9. 
    
    
    
    
  9. Starting sshd:                          [  OK  ]  
    10. 
    
    
    
    
  10.  
    11.

再次查看sshd服务的版本

   
   
   
   
    
    
    
    
    
  1. #ssh -V  
    2. 
    
    
    
    
  2. OpenSSH_5.9p1, OpenSSL 1.0.1 14 Mar 2012 
    3.

至此升级成功！

由于原服务是用rpm包安装的，现需要通过指定版本的源码包升级，虽然先卸载ssh的rpm包后，进程依旧驻留在内存中，保持连接不断开，但万一在升级过程中由于网络、电源等原因意外中断，则无法再通过ssh服务远程登录服务器，同时为了防止在安装软件后的某些错误配置造成原连接断开后无法启动ssh服务而不能远程登录服务器，所以建议在一般生产环境中需要远程升级openssh服务时，先开始telnet服务。

   
   
   
   
    
    
    
    
    
  1. #yum install -y telnet  
    2. 
    
    
    
    
  2. #vim /etc/xinetd.d/telnet  
    3. 
    
    
    
    
  3.    
    4. 
    
    
    
    
  4. # default: on  
    5. 
    
    
    
    
  5. # description: The telnet server serves telnet sessions; it uses \  
    6. 
    
    
    
    
  6. #       unencrypted username/password pairs for authentication.  
    7. 
    
    
    
    
  7. service telnet  
    8. 
    
    
    
    
  8. {  
    9. 
    
    
    
    
  9.         flags           = REUSE 
    10. 
    
    
    
    
  10.         socket_type     = stream 
    11. 
    
    
    
    
  11.         wait            = no 
    12. 
    
    
    
    
  12.         user            = root 
    13. 
    
    
    
    
  13.         server          = /usr/sbin/in.telnetd  
    14. 
    
    
    
    
  14.         log_on_failure  += USERID  
    15. 
    
    
    
    
  15.         disable         = no               //默认为yes，修改disable = no 
    16. 
    
    
    
    
  16.   
    17. 
    
    
    
    
  17. # service xinetd restart  
    18. 
    
    
    
    
  18. Stopping xinetd:                                            [  OK  ]  
    19. 
    
    
    
    
  19. Starting xinetd:                                            [  OK  ] 
    20.

查看telnet端口验证服务是否开启

   
   
   
   
    
    
    
    
    
  1. #netstat -tnlp | grep :23   
    2. 
    
    
    
    
  2. tcp       0      0 0.0.0.0:23       0.0.0.0:*       LISTEN    32450/xinetd  
    3.

注意：为了安全，telnet是不能以root直接登陆的，建议使用普通用户登录后再用su切换到root用户。

如果必须要使用root登录，则可以按照以下步骤操作

   
   
   
   
    
    
    
    
    
  1. vim /etc/securetty 
    2. 
    
    
    
    
  2. ##########增加如下内容##########  
    3. 
    
    
    
    
  3. console  
    4. 
    
    
    
    
  4. pts/1  
    5. 
    
    
    
    
  5. pts/2  
    6. 
    
    
    
    
  6. pts/3  
    7. 
    
    
    
    
  7. pts/4  
    8. 
    
    
    
    
  8. pts/5  
    9. 
    
    
    
    
  9. pts/6  
    10. 
    
    
    
    
  10. pts/7  
    11. 
    
    
    
    
  11. pts/8  
    12. 
    
    
    
    
  12. pts/9  
    13. 
    
    
    
    
  13. pts/10  
    14. 
    
    
    
    
  14. pts/11  
    15. 
    
    
    
    
  15. tty1  
    16. 
    
    
    
    
  16. tty2  
    17. 
    
    
    
    
  17. tty3  
    18. 
    
    
    
    
  18. tty4  
    19. 
    
    
    
    
  19. tty5  
    20. 
    
    
    
    
  20. tty6  
    21. 
    
    
    
    
  21. tty7  
    22. 
    
    
    
    
  22. tty8  
    23. 
    
    
    
    
  23. tty9  
    24. 
    
    
    
    
  24. tty10  
    25. 
    
    
    
    
  25. tty11  
    26. 
    
    
    
    
  26. #service xinetd restart  
    27. 
    
    
    
    
  27. Stopping xinetd:                                           [  OK  ]  
    28. 
    
    
    
    
  28. Starting xinetd:                                           [  OK  ]  
    29.

注意： 因为telnet属于明文传输且开放了23端口，所以在ssh服务升级成功后，为了保证系统安全性，务必关闭telnet服务！