Centos 7.x下ssh的升级"/>
Centos 7.x下ssh的升级
一 前言
有云主机的朋友,应该都有被挖矿木马骚扰的经历, 不堪其扰,虽然也封了IP,限制了端口,但是仍然免不了中招,一朋友说需要升级下openssh,虽然也知道,但是总觉得麻烦,最后还是发狠来升级一把,下面记录下升级过程和一些注意事项。
本文是在CentOS Linux release 7.7.1908 (Core)和CentOS Linux release 7.5.1804 (Core) 均验证过。
二 升级准备
2.1 简单升级ssh
升级前,可以先通过yum做个简单的升级:
yum update openssh -y
2.2 安装telnet
防止有问题的时候,无法登录到主机上去的问题,多一个保证。
yum install xinetd telnet-server -y
vi /etc/xinetd.d/telnet
# 黏贴到下一段内容:
service telnet
{disable = yesflags = REUSEsocket_type = stream wait = nouser = rootserver = /usr/sbin/in.telnetdlog_on_failure += USERID
}# 文件允许你规定“root”用户可以从哪个tty设备登录、
# 它的格式:列出来的tty设备都是允许登录的,注释掉或是在这个文件中不存在的都是不允许root登录的
vim /etc/securetty
#尾部添加:
xvc0
pts/0
pts/1
pts/2
pts/3# 设置开机启动
systemctl enable xinetd
systemctl enable telnet.socket#启动
systemctl start telnet.socket
systemctl start xinetd
这时候可以通过netstat -antp|grep 23 查看端口是否监听,一般都是正常监听的,如果远程无法登录,可以查看防火墙是否禁止了,如果是云主机,需要在云主机的控制台上查看,是否开启了23端口的访问。
# 查看防火墙状态
systemctl status firewalld
# 查看是否开启端口
firewall-cmd --query-port=23/tcp
#添加23端口
firewall-cmd --zone=public --add-port=23/tcp --permanent
#再次查询
firewall-cmd --query-port=23/tcp
# 重新加载规则
firewall-cmd --reload
2.3 安装编译工具
# 编译工具安装
yum install -y gcc gcc-c++ glibc make autoconf openssl openssl-devel pcre-devel pam-devel
# 安装pam和zlib
yum install -y pam* zlib*
三 升级openssl和openssh
3.1 编译安装openssl和openssh
openssh依赖openssl的库,另外要注意版本匹配问题,如果版本不匹配,会安装失败,请严格按照我下载版本来,目前测试是ok的:
# 2021年12月19日最新版本
wget --no-check-certificate .8p1.tar.gz
#配套的openssl,这个版本是适配的,再高的不确定。
wget --no-check-certificate .1.1/openssl-1.1.1l.tar.gz# 安装openssl---------------------------------------
tar xfz openssl-1.1.1l.tar.gz
cd ./openssl-1.1.1l/
./config shared --prefix=/usr/local/ssl && make && make install#备份老的openssl
mv /usr/bin/openssl /usr/bin/openssl_bak
mv /usr/include/openssl /usr/include/openssl_bak
# 删除
rm /usr/bin/openssl
rm /usr/include/openssl# 建立我们编译好的软连接
ln -s /usr/local/ssl/bin/openssl /usr/bin/opensslln -s /usr/local/ssl/include/openssl /usr/include/openssl#确认 版本是否是对的
[root@iZbp10p2g1civrw4ggigvfZ openssl-1.1.1l]# /usr/bin/openssl version
OpenSSL 1.1.1l 24 Aug 2021# 添加动态链接库,并生效
echo "/usr/local/ssl/lib" >> /etc/ld.so.conf
ldconfig# 安装openssh-------------------------------------
tar xfz openssh-8.8p1.tar.gz
cd openssh-8.8p1
# 删除老的配置rm -rf /etc/ssh/*
./configure --prefix=/usr/ --sysconfdir=/etc/ssh --with-openssl-includes=/usr/local/ssl/include \--with-ssl-dir=/usr/local/ssl --without-openssl-header-check --with-zlib --with-md5-passwords --with-pam && make && make install#更改配置/etc/ssh/sshd_config 设置准许远程root登录,要保证
[root@linux-node3 ~]# grep "^PermitRootLogin" /etc/ssh/sshd_config
PermitRootLogin yes
[root@linux-node3 ~]# grep "UseDNS" /etc/ssh/sshd_config
UseDNS no
# 拷贝
[root@linux-node3 /data/tools/openssh-8.0p1]# cp -a contrib/redhat/sshd.init /etc/init.d/sshd
[root@linux-node3 /data/tools/openssh-8.0p1]# cp -a contrib/redhat/sshd.pam /etc/pam.d/sshd.pam
[root@linux-node3 /data/tools/openssh-8.0p1]# chmod +x /etc/init.d/sshd# 移动走或删除,然后重新生成 不然不能通过systemctl启动[root@localhost openssh-8.6p1]# mv /usr/lib/systemd/system/sshd.service ./
# 添加开机启动
[root@linux-node3 /data/tools/openssh-8.0p1]# chkconfig --add sshd
[root@linux-node3 /data/tools/openssh-8.0p1]# systemctl enable sshd
# 开启[root@linux-node3 /data/tools/openssh-8.0p1]# systemctl start sshd
四 可能遇到的坑
openssh升级后,私钥会变化的,需要重新做互信关系。
4.1 systemctl 无法启动升级后的sshd
检查如下:
通过
systemctl status sshd
查看失败原因:
sshd : Unregistered Authentication Agent for unix-process
问题原因:
1. /usr/lib/systemd/system/sshd.service 没有删除
2. 删除后通过systemctl enable sshd重新生成
其他错误原因检查手段:
/usr/sbin/sshd -T 命令查看配置是否有问题/usr/sbin/sshd -ddd 调试模式下运行
4.2 无法远程登录
检查防火墙,本机的和云主机控制台的。本机防火墙,如上telnet开放端口的方法。
验证selinux 是否关闭
getenforce
如果未关闭,关闭之
setenforce 0
上面只是临时关闭了,重启后不生效。下面改配置文件,使永久生效。
vi /etc/selinux/config
修改:
SELINUX=disabled
保存退出。
升级最新的xshell等最新终端工具,不然连不上 或者改下老的算法支持
在鉴权日志中发现报错:
pam_succeed_if(sshd:auth): requirement "uid >= 1000" not met by user "root".
检查以下配置,注释掉:
/etc/pam.d/login 控制台(管理终端)对应配置文件
/etc/pam.d/sshd 登录对应配置文件
/etc/pam.d/system-auth 系统全局配置文件
/etc/pam.d/password-auth
取消相关配置:
auth required pam_succeed_if.so uid = 1000 #取消相关配置
更多推荐
Centos 7.x下ssh的升级
发布评论