银河麒麟 V10 x86_64源码离线升级openssl，openssh

最近服务器扫除漏洞，openssl和openssh的版本过低导致，该篇文章记录升级过程和升级过程中安装包的下载地址；

注意：因为我的服务器有系统盘备份，升级崩了可以恢复，在升级之前请看文章第七点，

一定看 一定看 一定看 一定看 一定看 一定看 一定看 一定看 一定看 一定看 一定看 一定看

1、OpenSSL 3.0.19

官网主页：https://www.openssl.org/source/ 直接下载链接：

https://www.openssl.org/source/openssl-3.0.19.tar.gz

2、OpenSSH 10.3p1（Portable Linux 适配版，带 p 后缀）

官方便携版主页：https://www.openssh.com/portable.html 直接下载链接：

https://cdn.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-10.3p1.tar.gz

3、依赖安装包

为了不到处下载依赖，我将依赖打包到一个文件夹中，上传后解压

依赖包等我升级完其他服务器再回来补

然后再依赖包目录下执行：

rpm -Uvh *.rpm --nodeps

4、升级openssl

tar -zxvf openssl-3.0.19.tar.gz
cd openssl-3.0.19

# 配置编译：安装路径+动态库支持
./config --prefix=/usr/local/openssl3 shared zlib

# 编译
make
make install

# 配置系统动态库
echo "/usr/local/openssl3/lib64" >> /etc/ld.so.conf
ldconfig

# 替换系统openssl软链接
mv /usr/bin/openssl /usr/bin/openssl.old
ln -s /usr/local/openssl3/bin/openssl /usr/bin/openssl
ln -s /usr/local/openssl3/lib64/libssl.so.3 /usr/lib64/libssl.so.3
ln -s /usr/local/openssl3/lib64/libcrypto.so.3 /usr/lib64/libcrypto.so.3

# 验证新版本
openssl version
# 输出应显示：OpenSSL 3.0.19 31 Jan 2026 (Library: OpenSSL 3.0.19 31 Jan 2026)

5、升级openssh

tar -zxvf openssh-10.3p1.tar.gz
cd openssh-10.3p1

# 编译配置（关键参数：绑定新OpenSSL、启用PAM、系统路径适配麒麟）
./configure \
--prefix=/usr \
--sysconfdir=/etc/ssh \
--with-pam \
--with-zlib \
--with-ssl-dir=/usr/local/openssl3 \
--with-privsep-path=/var/lib/sshd

make -j$(nproc)
make install

# 修复SSH主机密钥权限
chmod 600 /etc/ssh/ssh_host_*_key

# 清理旧版废弃GSSAPI配置（新版不兼容，会启动失败）
sed -i '/^GSSAPIAuthentication/d' /etc/ssh/sshd_config
sed -i '/^GSSAPICleanupCredentials/d' /etc/ssh/sshd_config

# 兼容老旧客户端（避免rsa算法拒绝连接）
echo "PubkeyAcceptedKeyTypes +ssh-rsa" >> /etc/ssh/sshd_config
echo "HostKeyAlgorithms +ssh-rsa" >> /etc/ssh/sshd_config
echo "KexAlgorithms +diffie-hellman-group1-sha1" >> /etc/ssh/sshd_config

6、重启 sshd、校验升级结果

# 检查sshd配置语法（报错不要重启）
sshd -t

# 重载systemd，重启服务
systemctl daemon-reload
systemctl restart sshd
systemctl enable sshd

# 查看新版本
ssh -V
# 正常输出示例：OpenSSH_10.3p1, OpenSSL 3.0.19 31 Jan 2026

# 查看服务状态
systemctl status sshd

7、关键注意点（升级前必做）

此处 是关键 是关键 是关键 是关键 是关键 是关键 是关键 是关键

1 、备份原有 SSH 全部文件（回滚救命）

# 二进制程序备份
cp /usr/bin/ssh /usr/bin/ssh.bak
cp /usr/sbin/sshd /usr/sbin/sshd.bak
# 配置目录整体备份
cp -r /etc/ssh /etc/ssh.bak.$(date +%Y%m%d)
# PAM、systemd文件备份
cp /etc/pam.d/sshd /etc/pam.d/sshd.bak
cp /usr/lib/systemd/system/sshd.service /usr/lib/systemd/system/sshd.service.bak

2、打开两个终端窗口，并且升级过程不要关闭（必须做必须做）

3、开启 Telnet 兜底通道（升级失败应急登录）

yum install telnet-server telnet xinetd -y
systemctl enable --now telnet.socket
# 防火墙放行23端口
firewall-cmd --add-port=23/tcp --permanent
firewall-cmd --reload
# 允许root telnet登录
echo "pts/0" >> /etc/securetty

4、异常回滚方案（升级失败无法 SSH 时，Telnet 登录执行）

# 恢复ssh二进制
mv /usr/bin/ssh.bak /usr/bin/ssh
mv /usr/sbin/sshd.bak /usr/sbin/sshd
# 恢复配置目录
rm -rf /etc/ssh && mv /etc/ssh.bak.* /etc/ssh
# 恢复PAM配置
mv /etc/pam.d/sshd.bak /etc/pam.d/sshd
# 恢复系统openssl
mv /usr/bin/openssl.old /usr/bin/openssl
ldconfig
# 重启服务
systemctl restart sshd

最后，希望大家升级顺顺利利