本文由Codex生成

下载脚本，解压密码：dabai

适用环境：

• 系统：UnionTech OS Server 20 / uel20 / aarch64
• 原版本：OpenSSH_8.2p1, OpenSSL 1.1.1f
• 目标版本：OpenSSH_10.3p1, OpenSSL 3.5.6, zlib 1.3.2
• 离线包目录：/data/downloads
• 新版本安装目录：
  • zlib：/usr/local/zlib-1.3.2
  • OpenSSL：/usr/local/openssl-3.5.6
  • OpenSSH：/usr/local/openssh-10.3p1

一、重要原则

升级 SSH 时不要关闭当前 SSH 会话。

正确操作顺序：

1. 先编译安装新版 OpenSSH。
2. 先启动 2222 测试端口。
3. 用新终端测试 ssh -p 2222 root@服务器IP。
4. 测试通过后再切换生产 22 端口。
5. 切换生产后，再用新终端测试 ssh root@服务器IP。
6. 新终端确认可以登录后，当前旧终端才可以关闭。

二、离线包准备

将以下文件放到 /data/downloads：

/data/downloads/zlib-1.3.2.tar
/data/downloads/openssl-3.5.6.tar
/data/downloads/openssh-10.3p1.tar

如果是 .tar.gz 也可以，脚本会自动识别：

zlib-1.3.2.tar.gz
openssl-3.5.6.tar.gz
openssh-10.3p1.tar.gz

三、一键脚本运行方式

脚本路径示例：

/root/upgrade_openssh_10.3p1.sh

先做语法检查：

bash -n /root/upgrade_openssh_10.3p1.sh

没有输出表示语法检查通过。

默认运行，只编译并启动 2222 测试端口，不替换生产 SSH：

bash /root/upgrade_openssh_10.3p1.sh

测试端口登录：

ssh -p 2222 root@服务器IP

测试通过后，切换生产 22 端口：

bash /root/upgrade_openssh_10.3p1.sh --switch

四、当前遇到的问题和处理方式

1. 找不到 pam-devel

现象：

rpm -qa | grep pam

只有：

pam-1.4.0-8.up5.uel20.aarch64

没有：

pam-devel

处理方式：

• 本次 OpenSSH 按无 PAM 方式编译。
• 不使用 --with-pam。
• 配置文件里不能写 UsePAM yes 或 UsePAM no，需要注释掉 UsePAM 整行。

原因：

无 PAM 编译时，新版 sshd 不认识 UsePAM 这个配置项。如果配置里存在该项，会出现：

Unsupported option UsePAM

2. OpenSSL libssl.so.3 找不到

现象：

/usr/local/openssl-3.5.6/bin/openssl: error while loading shared libraries: libssl.so.3: cannot open shared object file: No such file or directory

原因：

OpenSSL 已安装，但系统动态链接器没有加载 /usr/local/openssl-3.5.6/lib。

处理方式：

cat > /etc/ld.so.conf.d/openssl-3.5.6-openssh-upgrade.conf <<'EOF'
/usr/local/openssl-3.5.6/lib64
/usr/local/openssl-3.5.6/lib
/usr/local/zlib-1.3.2/lib
EOF

ldconfig

验证：

/usr/local/openssl-3.5.6/bin/openssl version -a

3. RSAAuthentication 旧参数告警

现象：

Deprecated option RSAAuthentication
Deprecated option RhostsRSAAuthentication

处理方式：

注释旧参数：

sed -i \
  -e 's/^[[:space:]]*RSAAuthentication[[:space:]].*/#&/' \
  -e 's/^[[:space:]]*RhostsRSAAuthentication[[:space:]].*/#&/' \
  /etc/ssh/sshd_config

4. GSSAPI 参数兼容问题

部分新版 OpenSSH 可能不支持旧配置里的 GSSAPI 参数。

处理方式：

sed -i \
  -e 's/^[[:space:]]*GSSAPIAuthentication[[:space:]].*/#&/' \
  -e 's/^[[:space:]]*GSSAPICleanupCredentials[[:space:]].*/#&/' \
  /etc/ssh/sshd_config

5. 主机密钥权限问题

新版 sshd 对主机密钥权限要求较严格。

处理方式：

chown root:root /etc/ssh/ssh_host_*
chmod 600 /etc/ssh/ssh_host_*_key
chmod 644 /etc/ssh/ssh_host_*_key.pub
chmod 755 /etc/ssh
chmod 644 /etc/ssh/sshd_config

五、验证服务端版本

注意：

在服务器上执行：

ssh -V

看到的是本机 SSH 客户端版本，不是服务端 sshd 版本。

服务端是否已切换，看下面命令。

查看 systemd 状态：

systemctl status sshd --no-pager

应看到类似：

sshd: /usr/local/openssh-10.3p1/sbin/sshd -D [listener]

查看进程：

ps -ef | grep '[s]shd'

验证新版服务端二进制：

/usr/local/openssh-10.3p1/sbin/sshd -V

客户端远程确认服务端 banner：

ssh -vvv root@服务器IP

输出中应有类似：

remote software version OpenSSH_10.3

六、停止 2222 测试端口

生产 22 端口切换并验证成功后，可以停止测试端口：

kill $(cat /tmp/sshd-10.3p1-test.pid)
rm -f /tmp/sshd-10.3p1-test.pid

确认 2222 不再监听：

ss -lnt | grep ':2222' || echo "2222 test sshd stopped"

七、替换 ssh -V 客户端显示

生产 sshd 切换后，服务器上执行 ssh -V 仍可能显示旧版本：

OpenSSH_8.2p1, OpenSSL 1.1.1f

这是因为 /usr/bin/ssh 还是系统旧客户端。

如果需要让 ssh -V 显示新版，可以用软链接替换客户端命令。

1. 备份旧客户端

TS=(date +%F-%H%M%S)

cp -a /usr/bin/ssh /usr/bin/ssh.old-8.2p1-TS
cp -a /usr/bin/scp /usr/bin/scp.old-8.2p1-TS 2>/dev/null || true
cp -a /usr/bin/sftp /usr/bin/sftp.old-8.2p1-TS 2>/dev/null || true
cp -a /usr/bin/ssh-keygen /usr/bin/ssh-keygen.old-8.2p1-TS 2>/dev/null || true
cp -a /usr/bin/ssh-agent /usr/bin/ssh-agent.old-8.2p1-TS 2>/dev/null || true
cp -a /usr/bin/ssh-add /usr/bin/ssh-add.old-8.2p1-$TS 2>/dev/null || true

2. 创建新版软链接

ln -sf /usr/local/openssh-10.3p1/bin/ssh /usr/bin/ssh
ln -sf /usr/local/openssh-10.3p1/bin/scp /usr/bin/scp
ln -sf /usr/local/openssh-10.3p1/bin/sftp /usr/bin/sftp
ln -sf /usr/local/openssh-10.3p1/bin/ssh-keygen /usr/bin/ssh-keygen
ln -sf /usr/local/openssh-10.3p1/bin/ssh-agent /usr/bin/ssh-agent
ln -sf /usr/local/openssh-10.3p1/bin/ssh-add /usr/bin/ssh-add

3. 验证客户端版本

which ssh
ls -l /usr/bin/ssh
ssh -V
scp -V 2>&1 | head -1
sftp -V 2>&1 | head -1

预期：

OpenSSH_10.3p1, OpenSSL 3.5.6

4. 更保守的方式：只改 PATH

如果不想改 /usr/bin，可以只改 PATH：

echo 'export PATH=/usr/local/openssh-10.3p1/bin:$PATH' > /etc/profile.d/openssh-10.3p1.sh
source /etc/profile.d/openssh-10.3p1.sh
ssh -V

这种方式不会覆盖系统命令，但只对加载该 profile 的 shell 生效。

八、服务端回滚

如果执行 --switch 后，新终端无法登录 22 端口，但当前旧终端还在，立即执行：

systemctl revert sshd
systemctl daemon-reload
systemctl restart sshd
systemctl status sshd --no-pager

恢复 sshd 配置文件。

查看脚本自动备份：

ls -lh /etc/ssh/sshd_config.before-10.3p1-*

选择最近的备份恢复：

cp -a /etc/ssh/sshd_config.before-10.3p1-具体时间 /etc/ssh/sshd_config
systemctl restart sshd

也可以使用脚本开头生成的完整备份目录：

ls -ld /root/ssh-bak-*

恢复示例：

cp -a /root/ssh-bak-具体时间/ssh/sshd_config /etc/ssh/sshd_config
systemctl restart sshd

回滚后重新开一个终端测试：

ssh root@服务器IP

九、客户端软链接回滚

如果已经替换了 /usr/bin/ssh 等客户端命令，需要回滚：

先找到备份：

ls -lh /usr/bin/ssh.old-8.2p1-*
ls -lh /usr/bin/scp.old-8.2p1-* 2>/dev/null
ls -lh /usr/bin/sftp.old-8.2p1-* 2>/dev/null

删除软链接并恢复旧文件：

rm -f /usr/bin/ssh /usr/bin/scp /usr/bin/sftp

cp -a /usr/bin/ssh.old-8.2p1-具体时间 /usr/bin/ssh
cp -a /usr/bin/scp.old-8.2p1-具体时间 /usr/bin/scp 2>/dev/null || true
cp -a /usr/bin/sftp.old-8.2p1-具体时间 /usr/bin/sftp 2>/dev/null || true

如果也替换了管理工具：

rm -f /usr/bin/ssh-keygen /usr/bin/ssh-agent /usr/bin/ssh-add

cp -a /usr/bin/ssh-keygen.old-8.2p1-具体时间 /usr/bin/ssh-keygen 2>/dev/null || true
cp -a /usr/bin/ssh-agent.old-8.2p1-具体时间 /usr/bin/ssh-agent 2>/dev/null || true
cp -a /usr/bin/ssh-add.old-8.2p1-具体时间 /usr/bin/ssh-add 2>/dev/null || true

验证：

ssh -V

应恢复为：

OpenSSH_8.2p1, OpenSSL 1.1.1f

十、最终验收命令

服务端验收：

systemctl status sshd --no-pager
ps -ef | grep '[s]shd'
/usr/local/openssh-10.3p1/sbin/sshd -V

客户端验收：

ssh -V
which ssh
ls -l /usr/bin/ssh

远程连接验收：

ssh root@服务器IP
ssh -vvv root@服务器IP

如果 ssh -vvv 中显示：

remote software version OpenSSH_10.3

说明远端服务端已经是新版。

十一、注意事项

• 本次因为缺少 pam-devel，OpenSSH 是无 PAM 编译。
• 无 PAM 版本不要在 sshd_config 中保留 UsePAM。
• 生产切换前必须确认 2222 测试端口可以登录。
• 生产切换后必须新开终端确认 22 端口可以登录。
• 不要在未验证新连接前关闭当前 SSH 会话。
• /usr/bin/ssh 是客户端命令，/usr/local/openssh-10.3p1/sbin/sshd 是服务端守护进程，不要混淆。

UOS离线升级OpenSSH 10.3p1最先出现在Liao's blog。

相关环境

• 系统：CentOS Linux release 7.9.2009 (Core)
• OpenSSH版本 : 7.4p1 —> 9.8p1
• OpenSSL版本 ：1.0.2k —> 1.1.1w
• zlib版本(需要外网下载，根据需要更换版本)：1.3.1

Openssh离线安装升级

• 蓝奏云下载 (离线安装包也已经整理好相关脚本依赖，防止CSDN白嫖党，解压密码：laobai)

文中常用命令：

#查看Linux信息
[root@asdasd ~] uname -a
Linux ZKHY 3.10.0-1160.62.1.el7.x86_64 1 SMP Tue Apr 5 16:57:59 UTC 2022 x86_64 x86_64 x86_64 GNU/Linux
#查看centos版本
[root@asdasd ~] cat /etc/centos-release
CentOS Linux release 7.9.2009 (Core)
#查看ssh版本
[root@adasd ~] ssh -V
OpenSSH_7.4p1, OpenSSL 1.0.2k-fips  26 Jan 2017
#创建脚本安装目录
[root@asdasd ~]mkdir -p /root/OpenSSH

1. 将脚本解压放到/root/OpenSSH下。

2. 授权脚本运行升级Openssh及Openssl,静待升级即可。

#进入安装目录
[root@asdasd ~]# cd /root/OpenSSH/
[root@asdasd OpenSSH]# ll
total 13024
-rw-r--r-- 1 root root 1910393 Jul  9 14:38 openssh-9.8p1.tar.gz
-rw-r--r-- 1 root root 9893384 Jul  9 14:38 openssl-1.1.1w.tar.gz
drwxr-xr-x 3 root root    4096 Jul  9 14:38 packages
-rw-r--r-- 1 root root    5590 Jul  9 14:38 UpdateOpenSSH.sh
-rw-r--r-- 1 root root 1512791 Jul  9 14:38 zlib-1.3.1.tar.gz
#授权脚本执行权限
[root@asdasd OpenSSH]# chmod a+x UpdateOpenSSH.sh
#运行升级脚本
[root@asdasd OpenSSH]# ./UpdateOpenSSH.sh

升级效果

#输入命令查看升级效果
ssh -V
OpenSSH_9.8p1, OpenSSL 1.1.1w  11 Sep 2023

CentOS7 Openssh离线升级至9.8p1，OpenSSL升级至1.1.1w最先出现在Liao's blog。

已更新最新OpenSSH9.8p1

相关环境

• 系统：CentOS Linux release 7.9.2009 (Core)
• OpenSSH版本: 9.5p1
• OpenSSL版本：1.1.1w
• zlib版本(需要外网下载，根据需要更换版本)：1.2.12

联网升级安装

脚本蓝奏云下载（离线安装包也已经整理好相关脚本依赖，防止CSDN白嫖党，解压密码：laobai）

#创建安装目录
mkdir -p /root/OpenSSH/zlib/

将zlib-1.2.12.tar.gz依赖包上传至/root/OpenSSH/zlib/目录下运行压缩包中的脚本即可

#将脚本放入/root/OpenSSH目录下
cd /root/OpenSSH

#将下段代码复制粘贴后授权运行即可
chmod a+x UpdateOpenSSH.sh
./UpdateOpenSSH.sh

脚本下载（网页可能会有符号替换，不建议复制）

#!/bin/bash

clear
echo ------------------------------------------
echo        CentOS7 openssh升级到9.5p1
echo              (date +%F-%T)
echo         注意环境，使用前请做好测试！！！
echo ------------------------------------------
sleep 3s
clear
echo 安装进程开始  3
sleep 1s
clear
echo 安装进程开始  3  2
sleep 1s
clear
echo 安装进程开始  3  2  1
sleep 1s
clear
echo 刷新yum元数据缓存
sleep 2s

yum makecache
sleep 3s
clear
echo 检测安装telnet服务
sleep 1s
echo 尝试启动telnet服务
sleep 1s
cp /etc/securetty /etc/securetty.bak
grep  "pts/0"  /etc/securetty ||  echo 'pts/0' >> /etc/securetty
grep  "pts/1"  /etc/securetty ||  echo 'pts/1' >> /etc/securetty
systemctl restart telnet.socket &&  systemctl restart xinetd
ps -ef |grep xinetd | egrep -v grep > /dev/null
if [? -eq 0 ]
then
    echo 检测到telnet服务已启动……
    systemctl enable telnet.socket
    systemctl enable xinetd
        sleep 2s
else
    echo 未检测到telnet服务，开始安装服务……
    sleep 2s
    yum -y install xinetd telnet-server
    sleep 2s
    clear
    echo 安装telnet服务结束，启动服务……
    systemctl restart telnet.socket &&  systemctl restart xinetd
    systemctl enable telnet.socket
    systemctl enable xinetd
    sleep 1s
fi
clear
echo 关闭SElinux及防火墙并禁用……
sleep 2s
setenforce 0
sed -i "s/SELINUX=enforcing/SELINUX=disabled/g" /etc/selinux/config
cat /etc/selinux/config
systemctl stop firewalld.service
systemctl disable firewalld.service
sleep 2s
clear
echo 安装程序依赖包……
sleep 2s
#yum -y localinstall ls packages/*.rpm
yum -y install gcc gcc-c++ make pam pam-devel openssl-devel pcre-devel perl zlib-devel
sleep 1s
clear
echo 停止并卸载原有ssh
sleep 3s
systemctl stop sshd
cp -r /etc/ssh /etc/ssh.old
cp -r /etc/init.d/ssh /etc/init.d/ssh.old
rpm -qa | grep openssh
sleep 1s
rpm -e `rpm -qa | grep openssh` --nodeps
rpm -qa | grep openssh
sleep 1s
clear

echo 判断是否需要安装wget
WGET=`rpm -qa | grep wget`
if [WGET -z ];then
    yum install -y wget
fi
echo 准备文件和参数
echo ################################################################
echo 服务器无法联网下载的可以将所需要的升级包放到/root/OpenSSH目录下
echo ################################################################
file=/root/OpenSSH
#zlib=http://www.zlib.net/zlib-1.2.12.tar.gz
openssl=https://www.openssl.org/source/openssl-1.1.1w.tar.gz
openssh=https://ftp.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-9.5p1.tar.gz 
echo 创建目录
mkdir -pfile/zlib
mkdir -p file/openssl
mkdir -pfile/openssh
echo 联网通过wget下载安装包
cd file
#echo 开始下载zlib
#wgetzlib
echo 开始下载openssl
wget --no-check-certificate openssl
echo 开始下载openssh
wget --no-check-certificateopenssh
###安装相关依赖包###
yum install -y gcc make perl zlib zlib-devel pam pam-devel

echo 安装zlib
sleep 2s
tar -xzf zlib*.tar.gz -C file/zlib 
sleep 2s
cdfile/zlib/zlib*
./configure --prefix=/usr/local/zlib && make && make install
ls -l /usr/local/zlib
cd ..
sleep 1s
clear
echo 配置zlib
grep  "/usr/local/zlib/lib"  /etc/ld.so.conf.d/zlib.conf ||  echo '/usr/local/zlib/lib' >> /etc/ld.so.conf.d/zlib.conf
ldconfig -v
sleep 1s
clear
echo 安装openssl
sleep 5s
mv -f /usr/bin/openssl /usr/bin/openssl.old
mv -f /usr/include/openssl /usr/include/openssl.old
mv -f /usr/lib64/openssl /usr/lib64/openssl.old
rm -rf /usr/local/ssl
cd file
tar -xzf openssl*.tar.gz -Cfile/openssl
cd file/openssl/openssl*
./config --prefix=/usr/local/ssl --openssldir=/usr/local/ssl shared zlib && make && make install
cd ..
sleep 5s
clear
echo 配置openssl
sleep 5s
ln -s /usr/local/ssl/bin/openssl /usr/bin/openssl
ln -s /usr/local/ssl/include/openssl /usr/include/openssl
ln -s /usr/local/lib64/libssl.so.1.1 /usr/lib64/libssl.so.1.1
ln -s /usr/local/lib64/libcrypto.so.1.1 /usr/lib64/libcrypto.so.1.1
grep  "/usr/local/ssl/lib"  /etc/ld.so.conf.d/ssl.conf ||  echo '/usr/local/ssl/lib' >> /etc/ld.so.conf.d/ssl.conf
grep  "/usr/local/lib"  /etc/ld.so.conf.d/ssl.conf ||  echo '/usr/local/lib' >> /etc/ld.so.conf.d/ssl.conf
ldconfig -v
openssl version -a
sleep 5s
clear
echo 安装openssh
sleep 5s
rm -rf /etc/ssh
cdfile
tar -xzf openssh*.tar.gz -C file/openssh
cdfile/openssh/openssh*
./configure --prefix=/usr --sysconfdir=/etc/ssh --with-openssl-includes=/usr/local/ssl/include --with-ssl-dir=/usr/local/ssl   --with-zlib --with-md5-passwords
make
sleep 5s
sudo chmod 600 /etc/ssh/ssh_host_rsa_key
sudo chmod 600 /etc/ssh/ssh_host_ecdsa_key
sudo chmod 600 /etc/ssh/ssh_host_ed25519_key
make install
cd ..
pwd
sleep 5s
clear
echo 配置openssh
sleep 10s
echo "PasswordAuthentication yes"   >> /etc/ssh/sshd_config
echo "PermitRootLogin yes" >> /etc/ssh/sshd_config
echo 'Banner /etc/issue' >> /etc/ssh/sshd_config
cp -p openssh-9.5p1/contrib/redhat/sshd.init /etc/init.d/sshd
chmod +x /etc/init.d/sshd
sudo chmod 600 /etc/ssh/ssh_host_rsa_key
sudo chmod 600 /etc/ssh/ssh_host_ecdsa_key
sudo chmod 600 /etc/ssh/ssh_host_ed25519_key
chkconfig --add sshd
chkconfig sshd on
systemctl restart sshd
sleep 10s
clear
systemctl status sshd
if [ $? -eq 0 ]
then
    clear
    echo SSH安装并运行成功，开始关闭并禁用telnet
    sleep 1s
    systemctl stop telnet.socket &&  systemctl stop xinetd
    systemctl disable telnet.socket &&  systemctl disable xinetd
    sleep 1s
    echo 升级完成,安装ssh2扩展支持
    sleep 5s
    yum install libssh2 -y
    clear
    echo 安装进程结束
    sleep 5s
else
    echo SSH未成功安装或配置，安装进程即将退出，请检查日志……
    sleep 5s
fi

升级成功

#输入命令查看升级效果
ssh -V
OpenSSH_9.5p1, OpenSSL 1.1.1w  11 Sep 2023

• 这是我之前的博文：CentOS 7 离线更新升级 openSSH 8.8p1
• 另附手动升级博文：湖南馒头:CentOS7 OpenSSL升级1.1.1w；OpenSSH 升级 9.5p1 保姆级教程

CentOS7 Openssh升级至9.5p1，OpenSSL升级至1.1.1w最先出现在Liao's blog。