前言
升级 SSH 服务修复安全漏洞。
简介
在使用Centos 7过程中,等保要求:需要升级 SSH 服务到8.3修复安全漏洞,如图所示:
升级ssh服务,有两种方法:
1.下载对象系统的rpm包使用rpm命令升级
示例:
rpm -Uvh *rpm
2.下载源码的ssh包,进行升级,为了防止重启ssh后无法远程连接到服务器,需要先安装telnet备用连接方式,防止升级完ssh无法远程连接到服务器。
这里使用的是第二种方法。
配置备用连接方式Telnet
说明:若不需要备用连接方式可以跳过这一步,直接下一步。
1.安装Telnet(Telnet依赖于xinetd服务)
[root@mail-63 ~]# yum install xinetd telnet-server -y
注:检查配置文件,如果存在/etc/xinetd.d/telnet 文件则需要修改配置使 root 用户可以通过 telnet 登
陆,如果不存在该文件则无需配置。我这里没有这个文件,所以跳过。
2.配置Telnet登陆的终端类型,在配置文件末端添加以下终端。
[root@mail-63 ~]# vim /etc/securetty
pts/0
pts/1
pts/2
pts/3
3.启动telnet,并连接测试
[root@mail-63 ~]# systemctl start xinetd.service && systemctl start telnet.socket
源码编译安装sshd(8.3)
1.下载openssh
wget https://cdn.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-8.3p1.tar.gz
2.安装依赖关系
yum -y install gcc gcc-c++ zlib zlib-devel openssl openssl-devel pam-devel libselinux-devel
3.备份现有的ssh
[root@mail-63 ~]# mkdir /opt/sshbak
[root@mail-63 ~]# mv /etc/ssh/* /opt/sshbak/
4.清理现有的开机启动项
[root@mail-63 ~]# mv /usr/lib/systemd/system/sshd.service /opt/sshbak/
5.源码安装编译openssh
[root@mail-63 ~]#tar -xf openssh-8.3p1.tar.gz -C /usr/local/src/
[root@mail-63 ~]#cd /usr/local/src/openssh-8.3p1
[root@mail-63 openssh-8.3p1]#./configure --with-md5-passwords --with-pam --with-selinux --with-privsep-path=/usr/local/sshd/ --sysconfdir=/etc/ssh && make && make install
注:
–prefix 安装目录
–sysconfdir 配置文件目录
–with-privsep-path 支持特权分离
–with-md5-passwords 支持读取经过MD5加密的口令
6.检查是否编译安装成功。
使用echo $?检查。
7.启用pam配置文件,该文件在 contrib 目录下。
[root@mail-63 openssh-8.3p1]# cp -a contrib/redhat/sshd.pam /etc/pam.d/sshd.pam
8.拷贝ssh启动脚本
[root@mail-63 openssh-8.3p1]# cp -a contrib/redhat/sshd.init /etc/init.d/sshd
9.更改ssh配置文件
[root@mail-63 openssh-8.3p1]# vim /etc/ssh/sshd_config
改:
32 #PermitRootLogin prohibit-password
为:
32 PermitRootLogin yes #容许root远程登录
改:(去掉注释即可)
37 #PubkeyAuthentication yes #容许秘钥认证
为:
37 PubkeyAuthentication yes
改:(去掉注释即可,此处是优化项如果使用 DNS 解析速度会很慢)
98 #UseDNS no
为:
98 UseDNS no
10.配置ssh开机自启动
[root@mail-63 openssh-8.3p1]# chkconfig --add sshd
[root@mail-63 openssh-8.3p1]# chkconfig sshd on
Note: Forwarding request to ‘systemctl enable sshd.socket’.
Created symlink from /etc/systemd/system/sockets.target.wants/sshd.socket to /usr/lib/systemd/system/sshd.socket.
11.测试
[root@mail-63 openssh-8.3p1]# /etc/init.d/sshd restart
Restarting sshd (via systemctl): [ OK ]
[root@mail-63 openssh-8.3p1]# ssh -V
OpenSSH_8.3p1, OpenSSL 1.0.2k-fips 26 Jan 2017
12.关闭备用的telnet(若没有开启可忽略)
[root@mail-63 openssh-8.3p1]# systemctl stop xinetd.service && systemctl stop telnet.socket
总结
- 若是设备离得远,一定要设置telnet备用连接方式
- 一定开清理原有的ssh和启动项
- 要复制pam配置文件和ssh新的启动脚本
- 最好最方便的是使用rpm包升级,一键到位。