如何编译打包OpenSSH 9.4并实现批量升级

1 介绍

openssh 9.4版本已于8月10号发布，安全团队又催着要赶紧升级环境里的ssh版本，本文主要介绍Centos5、Centos6、Centos7下openssh 9.4源码编译rpm包以及批量升级服务器openssh版本的方法。关注公众号后台回复ssh可获取本文相关源码文件。

https://www.openssh.com/releasenotes.html

2 将源码编译为rpm包

2.1 编译脚本介绍

由于openssh官方只提供源码包，网上下载的rpm包有可能遇到各种依赖问题，因此我们选择自己将源码编译为rpm包来升级环境的openssh。当然编译过程也尽量简单化，这里我们直接使用开源的脚本进行编译。

https://github.com/boypt/openssh-rpms

编译需要涉及到很多开发软件的下载安装，建议使用一台虚拟机来进行操作。先下载编译脚本，解压

[root@etcd-1 ~]# wget https://github.com/boypt/openssh-rpms/archive/refs/heads/main.zip
[root@etcd-1 ~]# unzip main.zip
[root@etcd-1 ~]# cd openssh-rpms-main/

简单看下代码结构

• compile.sh：编译脚本

• el5、el6、el7：对应CentOS5、6、7三个系统，编译相关的参数由SPECS目录下的openssh.spec控制。编译好的rpm包放在RPMS目录下。

• pullsrc.sh：openssh相关源码下载脚本

• version.env：定义了openssh及openssl源码的版本信息

2.2 修改代码

先修改一下pullsrc.sh脚本，给wget添加上"--no-check-certificate"参数，否则可能因为证书问题导致源码下载失败。

另外默认openssh源码中是没有ssh-copy-id相关参数的，如果直接编译安装，会发现安装后没有ssh-copy-id命令，因此如果需要用到该命令，需要修改编译参数控制文件openssh.spec。本次要升级的环境为CentOS7，因此我只修改el7目录下的SPECS/openssh.speec文件，在如下位置添加一行。

install -m755 contrib/ssh-copy-id $RPM_BUILD_ROOT/usr/bin/ssh-copy-id

继续修改el7目录下的SPECS/openssh.speec文件，在如下位置添加一行。

%attr(0755,root,root) %{_bindir}/ssh-copy-id

2.3 准备编译环境

[root@etcd-1 openssh-rpms-main]# yum groupinstall -y "Development Tools"
[root@etcd-1 openssh-rpms-main]# yum install -y imake rpm-build pam-devel krb5-devel zlib-devel libXt-devel libX11-devel gtk2-devel

2.4 拉取源码并编译打包

[root@etcd-1 openssh-rpms-main]# bash pullsrc.sh ##拉去源码包

执行完成后检查下download目录，相关的源码包是否已下载好，服务器没有网络，可以从下面的链接直接下载好传到download目录下。

https://www.openssl.org/source//openssl-1.1.1v.tar.gz

https://ftp.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-9.4p1.tar.gz

执行源码打包脚本

[root@etcd-1 openssh-rpms-main]# bash compile.sh

编译完成检查编译是否成功

检查rpm包是否都以打包好

3 批量升级服务器openssh版本至9.4

3.1 脚本介绍

脚本会用到ansible，因此执行脚本的服务器上需要安装ansible。获取到脚本后，先解压

[root@172-20-17-60 ~]# tar xvf ssh_9.4.tar.gz
[root@172-20-17-60 ~]# cd ssh_9.4

脚本主要文件如下

• hosts: ansible主机清单文件，填写待升级ssh版本的服务器ip及用户名密码

• rpms：存放待升级的openssh相关的rpm包。可以将前面编译好的openssh包放入该路径下

• ssh_update.sh：ssh升级脚本，将会推送到各个服务器

• ssh_update.yaml：升级时ansible使用的playbook

• update_ssh.sh：主脚本，通过该脚本来执行ansible的playbook

3.2 自定待升级服务器信息

node1为主机组，主机组下填写服务器ip，服务器用户名密码相同的，可以填在一起

• ansible_user：填写用户名

• ansible_ssh_pass：填写登录密码

如果用其它用户名或密码不同的服务器，可以填写到主机组node2下，并可新增其它主机组

3.3 执行脚本，开始升级openssh版本

[root@172-20-17-60 ssh_9.4]# bash update_ssh.sh

检查ssh版本是否已升级完成

服务上检查openssh是否成功升级到9.4版本

检查ssh是否能正常登录到服务器