在离线 OpenEuler-22.03 服务器上升级 OpenSSH 的完整指南

当然可以!以下是一篇结构清晰、语言通俗易懂的技术博客草稿,供你参考和使用:


在离线 OpenEuler-22.03 服务器上升级 OpenSSH 的完整指南

背景介绍

最近在对一台内网的 OpenEuler-22.03 服务器进行安全扫描时,发现其 SSH 版本存在多个高危漏洞,其中甚至包含一个 2024 年披露的 CVE 漏洞。这引起了我们的高度重视。

通过命令查看当前 SSH 版本:

bash 复制代码
rpm -q openssh

输出结果为:

复制代码
openssh-8.8p1-32.oe2203sp3.x86_64

而此时 OpenSSH 官方版本已经更新到了 v10,显然我们需要尽快将系统上的 OpenSSH 升级到最新修复版本。

然而,由于该服务器处于内网隔离环境(无网络连接) ,直接通过 yumdnf 更新是不可能的。而且官方提供的 RPM 包中,只有源码包 .src.rpm 可用,x86 架构的二进制包全部 404。

于是我们决定采取"在线编译生成 RPM 包 → 离线安装"的方式完成升级。本文详细记录了整个操作流程与注意事项。


解决思路

由于目标服务器是离线环境,不能直接联网下载依赖或更新包,因此我们采用如下方案:

  1. 在一台具有网络连接 的同架构(x86_64)、同系统的机器上,构建 OpenSSH 的 .src.rpm 源码包,生成可用的二进制 .rpm 包。
  2. 将这些 .rpm 包拷贝到目标离线服务器上,进行本地安装。
  3. 验证升级后的 SSH 版本与服务运行状态。

准备工作

下载所需文件

从 OpenEuler 官方镜像站下载最新的源码 RPM 包(确保版本号一致):

复制代码
openssh-8.8p1-34.oe2203sp3.src.rpm

步骤详解

第一步:安装必要的构建工具

在有网络的机器上,先安装构建 RPM 所需的基础开发工具:

bash 复制代码
sudo dnf install rpm-build make gcc libtool autoconf automake zlib-devel openssl-devel

如果你无法联网,请提前下载好相关 RPM 包并手动上传安装。


第二步:创建 rpmbuild 工作目录

执行以下命令,创建用于构建 RPM 的标准目录结构:

bash 复制代码
mkdir -p ~/rpmbuild/{SOURCES,SPECS,RPMS,SRPMS}

第三步:导入 .src.rpm 文件

将下载好的源码包放到 SOURCES 目录下,并安装它以提取 .spec 文件和源代码:

bash 复制代码
mv openssh-8.8p1-34.oe2203sp3.src.rpm ~/rpmbuild/SOURCES/
rpm -ivh ~/rpmbuild/SOURCES/openssh-8.8p1-34.oe2203sp3.src.rpm

这条命令会自动将 .spec 文件放入 ~/rpmbuild/SPECS/,并将源码解压到 ~/rpmbuild/SOURCES/


第四步:安装构建所需的依赖项

进入 SPECS 目录,尝试安装构建依赖:

bash 复制代码
cd ~/rpmbuild/SPECS
sudo dnf builddep openssh.spec

如果提示某些依赖找不到,可能需要手动下载对应的 RPM 包并上传安装。


第五步:开始构建二进制 RPM 包

使用 rpmbuild 命令开始构建:

bash 复制代码
rpmbuild -ba openssh.spec

成功后,你会在 ~/rpmbuild/RPMS/x86_64/ 目录下看到多个生成的 RPM 包,例如:

复制代码
openssh-8.8p1-34.oe2203sp3.x86_64.rpm
openssh-server-8.8p1-34.oe2203sp3.x86_64.rpm
openssh-clients-8.8p1-34.oe2203sp3.x86_64.rpm
...

第六步:将生成的 RPM 包传输至离线服务器

你可以使用 SCP、U盘、或者任何其他方式将这些 RPM 包传送到目标离线服务器上。

复制代码
---

### 第七步:在离线服务器上安装 RPM 包

登录离线服务器,解压并安装 RPM 包:

```bash
tar zxvf /root/offline_ssh_rpms.tar
cd /root
rpm -Uvh *.rpm

也可以使用 dnf 安装:

bash 复制代码
dnf install *.rpm

第八步:验证安装结果

重启 SSH 服务:

bash 复制代码
systemctl restart sshd

检查新版本:

bash 复制代码
rpm -q openssh

你应该看到类似如下输出:

复制代码
openssh-8.8p1-34.oe2203sp3.x86_64

同时可以使用以下命令确认 SSH 实际运行版本:

bash 复制代码
ssh -V

输出应为:

复制代码
OpenSSH_8.8p1, OpenSSL 1.xx.x ...

注意事项

  • 备份原配置文件 :升级前建议备份 /etc/ssh/ 下的所有配置文件,避免升级过程中被覆盖。
  • 不要中断 SSHD 服务:升级期间请勿关闭或中断 SSH 服务,否则可能导致无法远程登录。
  • 测试环境先行:建议先在测试环境中验证流程后再操作生产服务器。
  • 保留旧包:保留原始的 RPM 包,以便回滚使用。

总结

通过本文的方法,即使是在完全断网的环境下,我们也能够顺利地完成 OpenSSH 的版本升级,有效修复已知的安全漏洞。

整个过程的核心思想是:

"在联网机器上构建 RPM 包,再将构建结果拷贝到离线机器上进行安装"。

这种方法不仅适用于 OpenSSH,也适用于其他需要源码编译但又受限于网络的场景,具备良好的通用性和可扩展性。


相关推荐
z202305087 小时前
Linux之块设备的多队列的实现机制
linux·运维·服务器
计算机毕设定制辅导-无忧学长7 小时前
MQTT 与 Java 框架集成:Spring Boot 实战(一)
java·网络·spring boot
云飞云共享云桌面7 小时前
SolidWorks对电脑的硬件配置要求具体有哪些
java·服务器·前端·网络·数据库
塔子终结者7 小时前
网络安全A模块专项练习任务十解析
java·服务器·网络安全
码界奇点7 小时前
从零构建Linux Shell解释器深入理解Bash进程创建机制
linux·运维·解释器模式·bash·ux·源代码管理
等风来不如迎风去8 小时前
【bash】命令查看当前目录下文件个数
linux·运维·服务器
百思可瑞教育8 小时前
Spring Boot 参数校验全攻略:从基础到进阶
运维·服务器·spring boot·后端·百思可瑞教育·北京百思教育
xxy.c8 小时前
嵌入式解谜日志—多路I/O复用
linux·运维·c语言·开发语言·前端
2301_780789668 小时前
渗透测试与网络安全审计的关系
网络·数据库·安全·web安全·网络安全