openssh | 【DNS服务器IP地址-域名注册查询-CDN加速技术】

OpenSSH是一款开源的安全远程控制工具，也是Linux系统中最常用的服务之一，近年来频繁爆出高危漏洞，深受各大企业关注。掌握升级OpenSSH或许是每位运维人员必经的成长阶段，今天给大家分享一下从系统默认OpenSSH
5.3p1升级至最新版本OpenSSH 7.6p1的方法，希望能帮助刚入门的Linux运维朋友们。https://matt.ucc.asn.au/dropbear/dropbear.html

实验环境

实验平台：VMware虚拟机

操作系统：CentOS 6.5

旧版OpenSSH：5.3p1

旧版OpenSSL：1.0.1e

新版OpenSSH：7.6p1

新版OpenSSL：1.0.2n

Dropbear：2017.75

服务端篇

第一步准备工作

禁用SElinux

[root@Wanghualang ~]# setenforce 0
[root@Wanghualang ~]# sed -ri ‘s#^(SELINUX=).*#\1disabled#g’ /etc/selinux/config

禁用防火墙

[root@Wanghualang ~]# service iptables stop
[root@Wanghualang ~]# service ip6tables stop
[root@Wanghualang ~]# chkconfig iptables off
[root@Wanghualang ~]# chkconfig ip6tables off

安装常用软件

[root@Wanghualang ~]# yum -y install wget vim

第二步安装远程工具

建议先临时使用其他远程工具，以防升级Openssh失败导致无法远程服务器。一般情况下，可以临时启动Telnet，若企业严禁使用Telnet，则可以Dropbear替代，两种远程工具二选一即可。

安装Telnet

[root@Wanghualang ~]# yum -y install telnet-server

设置允许root用户登录

[root@Wanghualang ~]# mv /etc/securetty /etc/securetty.bak

修改配置文件，把默认的disable=yes，修改为disable=no

[root@Wanghualang ~]# vim /etc/xinetd.d/telnet

启动Telnet

[root@Wanghualang ~]# service xinetd start

安装Dropbear

[root@Wanghualang ~]# yum -y install gcc zlib-devel
[root@Wanghualang ~]# cd /usr/local/src/
[root@Wanghualang src]# wget –no-check-certificate https://dropbear.nl/mirror/dropbear-2017.75.tar.bz2
[root@Wanghualang src]# tar xjf dropbear-2017.75.tar.bz2
[root@Wanghualang src]# cd dropbear-2017.75
[root@Wanghualang dropbear-2017.75]# ./configure
[root@Wanghualang dropbear-2017.75]# make
[root@Wanghualang dropbear-2017.75]# make install

生成证书

[root@Wanghualang ~]# mkdir /etc/dropbear
[root@Wanghualang ~]# /usr/local/bin/dropbearkey -t dss -f /etc/dropbear/dropbear_dss_host_key
[root@Wanghualang ~]# /usr/local/bin/dropbearkey -t rsa -s 4096 -f /etc/dropbear/dropbear_rsa_host_key

启动Dropbear，监听16888端口，使用Telnet或者Dropbear远程登录到服务器后，接下来正式开始升级Openssh。

[root@Wanghualang ~]# /usr/local/sbin/dropbear -p 16888

第三步备份旧程序

备份Openssh、库文件

[root@Wanghualang ~]# service sshd stop
[root@Wanghualang ~]# rpm -ql `rpm -qa |egrep openss[hl]` > Wanghualang.txt
[root@Wanghualang ~]# tar czf OpensshBak.tar.gz -T Wanghualang.txt
[root@Wanghualang ~]# tar czf LibBak.tar.gz /lib /lib64

第四步卸载旧程序

在卸载OpenSSL后，Yum、Wget等等命令将无法正常使用，所以卸载之前，建议把相关开发包、源码包提前准备好。

[root@Wanghualang ~]# yum -y install gcc zlib-devel pam-devel
[root@Wanghualang ~]# cd /usr/local/src/
[root@Wanghualang src]# wget –no-check-certificate https://openbsd.hk/pub/OpenBSD/OpenSSH/portable/openssh-7.6p1.tar.gz
[root@Wanghualang src]# wget –no-check-certificate https://www.openssl.org/source/openssl-1.0.2n.tar.gz

卸载OpenSSL、Openssh

[root@Wanghualang ~]# rpm -e `rpm -qa | grep openssl` –nodeps –allmatches
[root@Wanghualang ~]# rpm -e `rpm -qa | grep openssh` –nodeps –allmatches

第五步安装新程序

安装OpenSSL

[root@Wanghualang ~]# cd /usr/local/src/
[root@Wanghualang src]# tar xzf openssl-1.0.2n.tar.gz
[root@Wanghualang src]# cd openssl-1.0.2n
[root@Wanghualang openssl-1.0.2n]# ./config -fPIC –prefix=/usr enable-shared
[root@Wanghualang openssl-1.0.2n]# make
[root@Wanghualang openssl-1.0.2n]# make install

查看OpenSSL版本

[root@Wanghualang ~]# openssl version -a

建立软链接，Yum、Wget等命令便可正常使用。

[root@Wanghualang ~]# ln -s /usr/lib64/libssl.so.1.0.0 /usr/lib64/libssl.so.10
[root@Wanghualang ~]# ln -s /usr/lib64/libcrypto.so.1.0.0 /usr/lib64/libcrypto.so.10

安装OpenSSH

[root@Wanghualang ~]# cd /usr/local/src/
[root@Wanghualang src]# tar xzf openssh-7.6p1.tar.gz
[root@Wanghualang src]# cd openssh-7.6p1
[root@Wanghualang openssh-7.6p1]# ./configure –prefix=/usr –sysconfdir=/etc/ssh –with-pam –with-zlib –with-md5-passwords
[root@Wanghualang openssh-7.6p1]# make
[root@Wanghualang openssh-7.6p1]# make install

查看OpenSSH版本

[root@Wanghualang ~]# ssh -V
OpenSSH_7.6p1, OpenSSL 1.0.2n 7 Dec 2017

设置开机启动

[root@Wanghualang ~]# cp -rf /usr/local/src/openssh-7.6p1/contrib/redhat/sshd.init /etc/init.d/sshd
[root@Wanghualang ~]# chmod +x /etc/init.d/sshd
[root@Wanghualang ~]# chkconfig –add sshd

启动OpenSSH

默认情况下，新版的OpenSSH禁止使用root用户登录，为方便测试，现解除这个限制。

[root@Wanghualang ~]# sed -i ‘s/#PermitRootLogin prohibit-password/PermitRootLogin yes/’ /etc/ssh/sshd_config
[root@Wanghualang ~]# service sshd start

第六步卸载其他远程工具

确认新版OpenSSH正常使用后，可以考虑卸载Telnet、Dropbear。

卸载Telnet

[root@Wanghualang ~]# yum -y remove telnet-server

卸载Dropbear

查询进程号

[root@Wanghualang ~]# ps aux | grep dropbear

结束进程

[root@Wanghualang ~]# kill -9 进程号

删除程序

[root@Wanghualang ~]# find / -name dropbear* | xargs rm -rf

由于采用明文传输用户名和密码，FTP协议是不安全的。在同一机房中只要有一台服务器被攻击者控制，它就可能获取到其它服务器上的FTP密码，从而控制其它的服务器。

当然，很多优秀的FTP服务器都已经支持加密。但如果服务器上已经开了SSH服务，我们完全可以使用SFTP来传输数据，何必要多开一个进程和端口呢？

下面，我就从账户设置、SSH设置、权限设置这三个方面来讲讲如何使用SFTP完全替代FTP。本教程基于CentOS5.4。

范例

本文要实现以下功能：

SFTP要管理3个目录：

homepage
blog
pay

权限配置如下：

web服务器需求：

账户blog管理的目录是一个博客网站，使用apache服务器。apache服务器的启动账户是apache账户，组为apache组。
账户blog属于apache组，它上传的文件能够被apache服务器删除。同样的，它也能删除在博客中上传的文件（就是属于apache账户的文件）。

账户设置

SFTP的账户直接使用Linux操作系统账户，我们可以用useradd命令来创建账户。

首先建立3个要管理的目录：

				
				
					mkdir /home/sftp/homepage
				

				
					mkdir /home/sftp/blog
				

				
					mkdir /home/sftp/pay

创建sftp组和www、blog、pay账号，这3个账号都属于sftp组：

				
				
					groupadd sftp
				

				
					useradd -M -d /home/sftp -G sftp www
				

				
					useradd -M -d /home/sftp/blog -G sftp blog
				

				
					useradd -M -d /home/sftp/pay -G sftp pay
				

				
					# 将blog账户也加到apache组 
				

				
					useradd -M -d /home/sftp/blog -G apache blog
				

				
					#设置3个账户的密码密码 
				

				
					passwd www
				

				
					passwd blog
				

				
					passwd pay

至此账户设置完毕。

SSH设置

首先要升级OpenSSH的版本。只有4.8p1及以上版本才支持Chroot。

CentOS 5.4的源中的最新版本是4.3，因此需要升级OpenSSH。

指定新的源：

				
				
					vim /etc/yum.repos.d/test.repo
				

				
					#输入如下内容 
				

				
					[centalt]
				

				
					name=CentALT Packages for Enterprise Linux 5 - $basearch
				

				
					baseurl=http://centos.alt.ru/repository/centos/5/$basearch/
				

				
					enabled=0
				

				
					gpgcheck=0
				

				
					# wq保存

执行升级：

				
				
					yum --enablerepo=centalt update -y openssh* openssl*
				

				
					# 重启服务 
				

				
					service sshd restart
				

				
					# 重看版本 
				

				
					ssh -V
				

				
					# OpenSSH_5.8p1, OpenSSL 0.9.8e-fips-rhel5 01 Jul 2008

升级成功后，设置sshd_config。通过Chroot限制用户的根目录。

				
				
					vim /etc/ssh/sshd_config
				

				
					#注释原来的Subsystem设置 
				

				
					Subsystem	sftp	/usr/libexec/openssh/sftp-server
				

				
					#启用internal-sftp 
				

				
					Subsystem       sftp    internal-sftp
				

				
					#限制www用户的根目录 
				

				
					Match User www
				

				
					ChrootDirectory /home/sftp
				

				
					ForceCommand	internal-sftp
				

				
					#限制blog和pay用户的根目录 
				

				
					Match Group sftp
				

				
					ChrootDirectory %h
				

				
					ForceCommand	internal-sftp

完成这一步之后，尝试登录SFTP：

				
				
					sftp www@abc.com
				

				
					#或者 
				

				
					ssh www@abc.com
				

				
					#如果出现下面的错误信息，则可能是目录权限设置错误，继续看下一步 
				

				
					#Connection to abc.com closed by remote host. 
				

				
					#Connection closed

权限设置

要实现Chroot功能，目录权限的设置非常重要。否则无法登录，给出的错误提示也让人摸不着头脑，无从查起。我在这上面浪费了很多时间。

目录权限设置上要遵循2点：

ChrootDirectory设置的目录权限及其所有的上级文件夹权限，属主和属组必须是root；
ChrootDirectory设置的目录权限及其所有的上级文件夹权限，只有属主能拥有写权限，也就是说权限最大设置只能是755。

如果不能遵循以上2点，即使是该目录仅属于某个用户，也可能会影响到所有的SFTP用户。

1 2	chown root.root /home/sftp /home/sftp/homepage /home/sftp/blog /home/sftp/pay chmod 755 /home/sftp /home/sftp/homepage /home/sftp/blog /home/sftp/pay

由于上面设置了目录的权限是755，因此所有非root用户都无法在目录中写入文件。我们需要在ChrootDirectory指定的目录下建立子目录，重新设置属主和权限。以homepage目录为例：

				
				
					mkdir /home/sftp/homepage/web
				

				
					chown www.sftp /home/sftp/homepage/web
				

				
					chmod 775 /home/sftp/homepage/web

要实现web服务器与blog账户互删文件的权限需求，需要设置umask，让默认创建的文件和目录权限为775即可。将下面的内容写入.bashrc中：

1	umask 0002

至此，我们已经实现了所有需要的功能

【DNS服务器IP地址-域名注册查询-CDN加速技术】

DNS服务器IP地址,域名注册,CDN加速技术,linux,web服务器,SRE,微服务,DevOps,运维

标签归档：openssh

Linux升级最新OpenSSH,Dropbear临时替换SSH

完全使用 SFTP 替代 FTP ：SFTP+OpenSSH+ChrootDirectory 设置详解

范例

账户设置

SSH设置

权限设置