北京天翼安全加固
OpenSSH升级方案
[亚信科技（中国）有限公司]
2014/8/20
文档信息 项目名称 北京天翼综合客户服务平台 项目编号 文档名称 存储位置 版本 作者/修日期 1
描述 综合客户服务平台OpenSSH升级方案
改者 V1.0 V1.1 赵序 刘长东 2014-08-18 2014-11-24 创建文档 补充文档
1
OpenSSH升级准备
1.1 升级思路
考虑到OpenSSH升级采用远程连接方式升级，为保证升级正常，将采telnet
连接来进行升级操作，依次进行OpenSSH原配置文件备份、旧版本OpenSSH删除、安装新版本OpenSSH。 1.2 升级所需要的安装包
不同的环境需要不同的安装包，此次安装需要安装包如下 telnet服务所需的安装包：
telnet-server-0.17-39.el5.x86_64.rpm OpenSSH 升级所需安装包： openssh-6.5p1.tar.gz zlib-1.2.8.tar.gz openssl-1.0.1h.tar.gz OpenSSH 还原所需安装包： openssh-4.3p2-72.el5.x86_64.rpm 1.3 升级流程
1、 上传安装包到服务器上
2、 安装telnet服务，并使其运行正常；
3、 使用telnet远程连接服务器，正常后端口SSH连接； 4、 备份OpenSSH配置文件 5、 卸载OpenSSH 4.3版本
6、 安装OpenSSH 6.5 版本，并测试正常
7、 卸载telnet服务，删除安装包及备份文件
2
级实施步骤
2.1 升级主要步骤和时间
升
序 号 周期 （分钟） 操作内容 实施 负责人 确认人（当场确认填写） 升级前60分钟，实施人员到位，开始升级前准备工作 1 2 3 4 5 6 7 8
15 10 15 10 20 10 10 5 上传安装包 安装配置telnet 备份OpenSSH的配置文件 删除OpenSSH 安装OpenSSH OpenSSH服务管理 OpenSSH版本验证 停止telnet服务 刘江明 刘江明 刘江明 刘江明 刘江明 刘江明 刘江明 刘江明 2.2 上传安装包
通过sftp上传安装包rpm openssh-6.5p1.tar.gz zlib-1.2.8.tar.gz openssl-1.0.1h.tar.gz
telnet-server-0.17-39.el5.x86_64.rpm openssh-4.3p2-72.el5.x86_64.rpm
2.3 安装配置telnet
2.3.1 安装telnet-server的RPM包
确认telnet是否安装，telnet rpm已经安装此步骤跳过 # rpm -ivh telnet-server-0.17-39.el5.i386.rpm # rpm -ql telnet-server
2.3.2 配置telnet
telnet的配置较较简单，直接修改其配置文件，让其启动即可，其配置文件位于/etc/xinetd.d/telnet，修改其内容如下：
# vim /etc/xinetd.d/telnet
disable = no
或采用命令修改方式，执行命令
#chkconfig telnet on
#chkconfig --list |grep telnet
2.3.3 启动telnet
telnet是一个属于xinetd的服务，重启xinetd服务即可完成对telnet的启动。
# service xinetd restart 并使用非root账户登录测试
2.4 备份OpenSSH的配置文件
备份OpenSSH相关文件：
# cp -r /etc/ssh/ /etc/ssh_bak
# cp /etc/init.d/sshd /etc/init.d/sshd_bak # cp /usr/sbin/sshd /usr/sbin/sshd_bak
2.5 删除OpenSSH
完成配置备份后，将原有的OpenSSH的rpm包删除，执行命令 1、 确认OpenSSH需删除的RPM包
# rpm -qa |grep ssh
2、 使用rpm的方式删除：
# rpm -e openssh openssh-clients openssh-server openssh-askpass --nodeps
2.6 安装OpenSSH
安装OpenSSH需先安装其所依赖的zlib和OpenSSL服务。 2.6.1 源码编译zlib
# tar -xvzf zlib-1.2.8.tar.gz # cd zlib-1.2.8
# ./configure --prefix=/usr/local/zlib # make
# make install
2.6.2 源码编译OpenSSL
# tar -xvzf openssl-1.0.1h.tar.gz # cd openssl-1.0.1h
# ./config --prefix=/usr/local/openssl