记录openssl和openssh升级中遇到的问题以及解决方法

本文档讲述的升级操作是基于操作系统centos6.5,使用的openssl版本是openssl-1.0.2l.tar.gz,openssh版本是openssh-7.6p1.tar.gz。

1. 依赖检查

检查以下软件是否安装

#rpm -qa | grep gcc(检查gcc是否安装)
#yum install gcc(如果没有gcc,安装gcc,如果有,此步骤跳过)

#rpm -qa|grep pam(检查pam是否安装)
#yum install pam (如果没有pam,安装pam,如果有,此步骤跳过)

#rpm -qa|grep pam-devel(检查pam-devel是否安装)
#yum install pam-devel (如果没有pam-devel,安装pam-devel,如果有,此步骤跳过)
注意:pam-devel包必须与系统的pam包版本一致

#rpm -qa|grep zlib(检查zlib是否安装)
#yum install zlib(如果没有zlib,安装zlib,如果有,此步骤跳过)

#rpm -qa|grep zlib-devel(检查zlib-devel是否安装)
#yum install zlib-devel(如果没有zlib-devel,安装zlib-devel,如果有,此步骤跳过)

2. 开启telnet服务和FTP服务

开启telnet服务和ftp服务,防止升级ssh出现问题时,可以通过telnet登陆,以及通过ftp上传文件。

2.1 检查xinetd、telnet-server、vsftpd是否安装

# rpm -qa | grep xinetd(检查xinetd是否安装)
# yum install xinetd(如果没有,则安装xinetd,否则跳过此步骤)

# rpm -qa | grep telnet-server(检查telnet-server是否安装)
# yum install telnet-server(如果没有,则安装telnet-server,否则跳过此步骤)

# rpm -qa | grep vsftpd(检查vsftpd是否安装)
# yum install vsftpd(如果没有,则安装vsftpd,否则跳过此步骤)

2.2 配置telnet

修改配置文件vim /etc/xinetd.d/telnet

service telnet
{
    flags           = REUSE
    socket_type     = stream        
    wait            = no
    user            = root
    server          = /usr/sbin/in.telnetd
    log_on_failure  += USERID
    #disable         = yes
    disable         = no
}

注意:将disable = yes 改为disable = no

2.3 启动服务

chkconfig xinetd on (使telnet服务开机启动,避免升级过程中服务器意外重启后无法远程登录系统)
mv /etc/securetty /etc/securetty.old    #允许root用户通过telnet登录 
service xinetd start(启动telnet服务)
service vsftpd start(启动ftp服务)

telnet服务开启后,测试下是否能通过telnet成功登陆

3. OpenSSL升级

下载地址:http://www.openssl.org/source
根据ssl安装目录不同,这里介绍两种升级方式。

3.1 备份当前ssl

mv /usr/bin/openssl /usr/bin/openssl.old
mv /usr/include/openssl /usr/include/openssl.old
mv /usr/lib64/libssl.so.1.0.1e /usr/lib64/libssl.so.1.0.1e.old

3.2 方法一(安装在/usr/local/openssl下)

(1) 卸载旧版本

rpm -qa | grep openssl (查看当前安装的版本)
# 使用rpm命令卸载旧版本
rpm -e --nodeps openssl-1.0.0-27.el6.x86_64
rpm -e --nodeps openssl-devel-1.0.0-27.el6.x86_64

(2)安装openssl

tar -zxvf openssl-1.0.2l.tar.gz (解压文件)
cd openssl-1.0.2l
./config --prefix=/usr/local/openssl shared
make
make test(进行 SSL 加密协议的完整测试,如果出现错误就要一定先找出哪里的原因,否则一味继续可能导致最终 SSH 不能使用)
make install

#设置软链接
ln -s /usr/local/openssl/bin/openssl /usr/bin/openssl
ln -s /usr/local/openssl/include/openssl /usr/include/openssl
ln -s /usr/local/openssl/lib/libssl.so.1.0.0 /usr/lib64/libssl.so
ln -s /usr/local/openssl/lib/libssl.so.1.0.0 /usr/lib64/libssl.so.10
ln -s /usr/local/openssl/lib/libcrypto.so.1.0.0 /usr/lib64/libcrypto.so.10

#将 OpenSSL 的动态链接库地址写入动态链接装入器(dynamic loader)
echo "/usr/local/openssl/lib" >> /etc/ld.so.conf
#重新加载动态链接库
ldconfig -v

#查看当前系统的openssl版本
openssl version -a

3.3 方法二(安装在/usr目录下)

安装在/usr目录下,会覆盖旧版本数据
(1) 卸载旧版本

rpm -qa | grep openssl (查看当前安装的版本)
#使用rpm命令卸载旧版本
rpm -e --nodeps openssl-1.0.0-27.el6.x86_64
rpm -e --nodeps openssl-devel-1.0.0-27.el6.x86_64

(2) 安装openssl

tar -zxvf openssl-1.0.2l.tar.gz (解压文件)
cd openssl-1.0.2l
./config --prefix=/usr --shared
make
make test(进行 SSL 加密协议的完整测试,如果出现错误就要一定先找出哪里的原因,否则一味继续可能导致最终 SSH 不能使用)
make install

#设置软链接
ln -s /usr/lib64/libssl.so.1.0.0 /usr/lib64/libssl.so.10
ln -s /usr/lib64/libcrypto.so.1.0.0 /usr/lib64/libcrypto.so.10

#查看当前系统的openssl版本
openssl version -a

4. OpenSSH升级

下载地址:http://mirror.internode.on.net/pub/OpenBSD/OpenSSH/portable
(1) 备份当前ssh

mv /etc/ssh /etc/ssh.old 
mv /etc/init.d/sshd /etc/init.d/sshd.old

(2) 卸载旧版本

rpm -e --nodeps `rpm -qa | grep openssh`

(3) 安装ssh

tar -zxvf openssh-7.6p1.tar.gz (解压)
cd openssh-7.6p1
./configure --prefix=/usr --with-zlib --sysconfdir=/etc/ssh --with-ssl-dir=/usr --with-md5-passwords --with-pam(注意:如果使用方法一安装openssl,要将--with-ssl-dir=/usr改为--with-ssl-dir=/usr/local/openssl)
make
make install

#验证openssh版本
ssh -V

(4) 启动ssh服务

cp contrib/redhat/sshd.init /etc/init.d/sshd
chkconfig --add sshd
chkconfig sshd on
chkconfig --list sshd
service sshd restart

注意:如果升级操作一直是在ssh远程会话中进行的,上述sshd服务重启命令可能导致会话断开并无法使用ssh再行登入(即ssh未能成功重启),此时需要通过telnet登入再执行sshd服务重启命令

5. 系统功能验证后关闭telnet服务

验证系统是否正常,没有问题再关闭telnet服务

mv /etc/securetty.old /etc/securetty 
chkconfig xinetd off 
service xinetd stop 

如需还原之前的ssh配置信息,可直接删除升级后的配置信息,恢复备份。

rm -rf /etc/ssh 
mv /etc/ssh.old /etc/ssh

6. FAQ

卸载openssl后,升级安装后,执行某些命令时,可能会遇到一些错误

6.1 libcrypto.so.10错误

错误提示:error while loading shared libraries: libcrypto.so.10: cannot open shared object file: No such file or directory
原因:软链接/usr/lib64/libcrypto.so.10不存在
解决方法:ln -s /usr/lib64/libcrypto.so.1.0.0 /usr/lib64/libcrypto.so.10,或者是 ln -s /usr/local/openssl/lib/libcrypto.so.1.0.0 /usr/lib64/libcrypto.so.10(根据openssl的实际安装路径来决定)

6.2 libssl.so.10错误

错误提示:libssl.so.10: cannot open shared object file: No such file or directory
原因:软链接/usr/lib64/libssl.so.10不存在
解决方法:ln -s /usr/lib64/libssl.so.1.0.0 /usr/lib64/libssl.so.10,或者是ln -s /usr/local/openssl/lib/libssl.so.1.0.0 /usr/lib64/libssl.so.10(根据openssl的实际安装路径来决定)

6.3 OpenSSL version mismatch错误

错误提示:sshd:OpenSSL version mismatch. Built against 10000003, you have 100020cf(注意:由于安装的ssl版本不同,错误提示可能不同,表现在10000003、100020cf上)
原因:ssh和ssl版本不匹配
解决方法:卸载系统自带的openssh,安装和现有openssl版本匹配的openssh

posted @ 2018-08-29 21:56  leekeggs  阅读(10489)  评论(0编辑  收藏