Ubuntu20.04与22.04 OpenSSL与OpenSSH编译安装
OpenSSL与OpenSSH需要常常修复漏洞，编译安装步调供参考,适用ubuntu版本，其他版本雷同，若升级主机较多，建议先在测试情况验证，如OpenSSL大版本升级且OpenSSH有新稳固版本，建议升级OpenSSL同时也升级OpenSSH安装编译依靠包
apt update
apt install gcc makezlib1g-devlibpam0g-dev libkrb5-dev libedit-dev -y
利用体系openssl版本检察：
ubuntu20.04 openssl版本：OpenSSL 1.1.1f
ubuntu22.04 openssl版本：OpenSSL 3.0.2
https://img-blog.csdnimg.cn/cd8a2819485a4ff1a9e1856de3ff9925.pnghttps://img-blog.csdnimg.cn/c81177ec90d247daaa73da5981d32116.png
安装 OpenSSL
起首，使用 wget 下令下载 OpenSSL 的源代码压缩包。从 OpenSSL 官方网站上找到最新版本的源代码。
注意：由于OpenSSL 1.1.x版本已停止维护，ubuntu20.04.x体系建议都使用现在长期支持版
https://img-blog.csdnimg.cn/direct/51d43c45082c4f31a33088f7563093c6.png
下载 OpenSSL包
wget https://www.openssl.org/source/openssl-3.0.13.tar.gz
如下以ubuntu20.04示例：
解压源代码
使用 tar 下令解压源代码压缩包。
tar -zxf openssl-3.0.13.tar.gz
切换到解压后的源代码目次。
cd openssl-3.0.13/
设置编译选项：
运行以下下令设置编译选项。(是否加shared 、zlib参数都可以举行后面的openssh安装)
将 OpenSSL 安装到 /usr/local/openssl 目次下，并设置 openssldir 为同样的路径。
./config shared --prefix=/usr/local/openssl --openssldir=/usr/local/openssl
https://img-blog.csdnimg.cn/direct/c770cc249bd2474eafee4aa4e65173f0.png
编译和安装：
运行 make 下令举行编译，然后使用 make install 下令举行安装。请确保您具有足够的权限来执行此利用, make 可更换为 make -j4 并行处理（此中的数字 4 表示允许并行运行的任务数）
make && make install
https://img-blog.csdnimg.cn/direct/addc294b4511457ab75a69933caf14a9.png
备份原来的openssl
mv /usr/bin/openssl /usr/bin/openssl.bak
创建软链接到体系位置
ln -s /usr/local/openssl/bin/openssl/usr/bin/openssl
将openssl 的lib 库添加到体系(‘/usr/local/openssl/lib64’ 单引号)
#openssl 1.x.x版本是: /usr/local/openssl/lib/ 路径
#echo '/usr/local/openssl/lib' > /etc/ld.so.conf.d/openssl.conf
echo '/usr/local/openssl/lib64' > /etc/ld.so.conf.d/openssl.conf
加载lib库 (可加 -v 参数检察详细显示)
ldconfig
看看openssl版本
opensslversion
https://img-blog.csdnimg.cn/direct/48edcdb7c4ac4f708b8a9e4b19c3f4f5.png
如今，您已经成功在 Ubuntu 20.04 上编译安装了 OpenSSL。 如果您在安装其他软件时需要使用 OpenSSL，请确保相应的软件能够找到新安装的 OpenSSL 路径。
openssh安装
注意： 利用前需备份好已安全加固的设置文件 （新情况可忽略）
若网络不稳固举行升级，建议临时安装telnetd服务，制止终端中断无法远程利用,由于telnet服务存在不安全因素，升级验证完后举行卸载 （apt install telnetd -y）
备份文件，防止现有设置丢失
cp -a /etc/pam.d/sshd/mnt/sshd-bak-`date +%F`
cp -a /etc/ssh/sshd_config/mnt/sshd_config-bak-`date +%F`
下载openssh
采用国内阿里云镜像站下载，也可从openssh官网下载
https://img-blog.csdnimg.cn/direct/d0a06faa8b9e447e8d8b572a72f5337e.png
按支持的协议选择性下载
https://img-blog.csdnimg.cn/direct/76e8e81d0d9d4ac8b5b4958c069b6696.png
#清华大学镜像站（备用）
#wget https://mirrors.tuna.tsinghua.edu.cn/OpenBSD/OpenSSH/portable/openssh-9.7p1.tar.gz
wget https://mirrors.aliyun.com/pub/OpenBSD/OpenSSH/portable/openssh-9.7p1.tar.gz
若下载认证提示未通过可添加--no-check-certificate 参数跳过认证
wget https://mirrors.aliyun.com/pub/OpenBSD/OpenSSH/portable/openssh-9.7p1.tar.gz --no-check-certificate
解压openssh
tar -zxf openssh-9.7p1.tar.gz
进入解压目次
cd openssh-9.7p1/
设置参数
./configure --prefix=/usr --sysconfdir=/etc/ssh --with-kerberos5 --with-libedit --with-pam --with-gssapi --with-zlib --with-ssl-dir=/usr/local/openssl --with-privsep-path=/var/lib/sshd
编译与安装
make && make install
编辑设置文件
注释Type=notify参数或者修改为Type=simple
vim /lib/systemd/system/ssh.service
https://img-blog.csdnimg.cn/direct/1b7fe3e4b2ff42938f9f4cee55f92647.png
注释Type=参数快捷方式
sed -i '/^Type=/s/^/#/' /lib/systemd/system/ssh.service
重新加载设置并重启sshd生效
systemctl daemon-reload
systemctl restart sshd
检察openssh 版本
ssh -V
https://img-blog.csdnimg.cn/direct/9e745141a85d4bfab276e0d2034f0f58.png
如今，您已经成功在 Ubuntu 20.04 上编译安装了 OpenSSH。
openssh升级后root用户无法远程登录 （可选利用，根据实际情况要求选择是否开启）
编辑sshd_config设置文件PermitRootLogin参数为yes，生存并重启sshd
PermitRootLogin yes
隐藏版本号:
当地执行’ssh -V
"任可见，根据实际版本号举行更换，x.x 可为任意字母或数字
根据ssh-V 和 strings /usr/sbin/sshd|grep ‘OpenSSH_’ 确定要修改的版本(ssh远程时版本号后一样寻常不带字母)
https://img-blog.csdnimg.cn/direct/9c795593464b4a5d85bc03e26563aedd.png
备份文件
cp -a /usr/sbin/sshd /usr/sbin/sshd-bak-`date +%F`
修改版本号
sed -i 's/OpenSSH_9.7/OpenSSH_x.x/g'/usr/sbin/sshd
重启sshd服务
systemctl restart sshd
验证隐藏版本号
使用nmap工具举行验证或新建连接方式检察，版本号变为OpenSSH x.x （nmap安装：apt install nmap）
nmap -p 22 -sV -v -n主机ip
PORT STATE SERVICE VERSION
22/tcp openssh OpenSSH x.x (protocol 2.0)
安全加固
修复diffie-hellman 漏洞,去掉diffie-hellman开头的参数
sshd -T|grep -w kexalgorithms
https://img-blog.csdnimg.cn/direct/b5b7cac0cedc403aa2d6f4c41b8a23d4.png
sntrup761x25519-sha512@openssh.com 参数在openssh 8.5版本引入，9.0版本中默认添加
openssh升级后rke 启动集群报ssh认证错误:（非安全加固，统一添加sshd设置）
PubkeyAcceptedKeyTypes=+ssh-rsa
https://img-blog.csdnimg.cn/1061abe2c9634f3fad58da6ca3d6695b.png
sshd_config 设置末了添加
vim /etc/ssh/sshd_config
Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-gcm@openssh.com,aes256-gcm@openssh.com
kexalgorithms sntrup761x25519-sha512@openssh.com,ecdh-sha2-nistp384,ecdh-sha2-nistp521
MACs hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com
PubkeyAcceptedKeyTypes=+ssh-rsa
重启sshd
systemctlrestart sshd
FAQ：
openssl与openssh编译后是否可删除原体系默认安装的opensl与openssh
答：建议都生存
针对openssl
若狠心删除，openssl软链接的是原体系的openssl执行文件，删除原体系默认安装的opensl后会将openssl执行文件一并删除，重新创建一次软连接即可
apt remove openssl
ln -s /usr/local/openssl/bin/openssl/usr/bin/openssl
针对openssh
openssh编译时已指定/etc/ssh路径，删除不仅把原体系安装的openssh卸载，编译安装的也会卸载，建议生存，若已删除，请重新按openssh编译安装步调执行
openssl有新版本怎么升级
答：下载新版本，解压并进入目次，再次运行编译与安装、加载lib库、检察版本号是否更新即可，无需其他利用
./config shared --prefix=/usr/local/openssl --openssldir=/usr/local/openssl
make && make install
ldconfig
-v 若普通用户执行openssl version还是之前安装的版本，但是root用户显示却是已升级的版本
openssl安装目次权限添加普通用户可读设置（正常编译安装应该不存在需要再次设置权限标题）
find /usr/local/openssl/ -type d |xargs chmodo+r
远程登录ssh连接慢，需要期待好一会儿才气连接成功
编辑设置文件：/etc/ssh/sshd_config，取消 #UseDNS no前注释，生存后重启sshd服务
https://img-blog.csdnimg.cn/direct/f72f8f0124e34bab8a6b2f05b25eac0f.png
ssh.service设置文件注释Type=notify参数量的
答：编译安装完后，执行sshd重启systemctl restart sshd
下令会不绝期待末了超时，临时注释Type=notify参数后不关照systemd管理，如有高人知晓还请不吝赐教，接待评论和联系
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
页:
[1]