Ubuntu 升级 OpenSSH 10.2p1 与 OpenSSL 3.5.4 避坑实践

xinetd 统一管理系统服务，配置必须声明协议行为来正确转发端口流量。

创建专用账号用于登录测试：

useradd -m -s /bin/bash opi
echo 'opi:!QAZ@WSX' | chpasswd

赋予 sudo 权限：

echo "opi ALL=(ALL:ALL) ALL" | sudo tee /etc/sudoers.d/opi-perms
sudo chmod 0440 /etc/sudoers.d/opi-perms

启动服务并开放防火墙：

/etc/init.d/openbsd-inetd restart
sudo ufw allow 23/tcp
sudo ufw reload
netstat -anpt | grep 23

离线安装方案

若内网环境无外网访问，需从 packages.ubuntu.com 或清华源下载以下 .deb 包（根据架构选择 amd64 或 arm64）：

• telnetd_0.17+2.5-5ubuntu1_all.deb
• inetutils-telnetd_1.9.4-11ubuntu0.2_amd64.deb
• xinetd_2.3.15.3-1_amd64.deb

上传后按顺序安装：

sudo dpkg -i telnetd_*.deb
sudo dpkg -i inetutils-telnetd_*.deb
sudo dpkg -i xinetd_*.deb

若提示依赖缺失，执行 sudo apt --fix-broken install 修复。

连接测试

本地测试：telnet localhost 23 远程测试：telnet <服务器 IP> 23

3. 编译环境准备

# 卸载原 openssh
sudo apt-get remove openssh-server openssh-client openssl -y

# 更新系统
sudo apt update && sudo apt upgrade -y

# 安装编译依赖
sudo apt install -y build-essential libedit-dev zlib1g-dev libssl-dev \
libpam0g-dev libselinux1-dev libcap-dev wget tar gcc make autoconf automake \
libtool pkg-config checkinstall

二、编译安装 OpenSSL

注意：Ubuntu 20.04 默认依赖 OpenSSL 1.1.1，升级到 3.x 后需确保兼容性。大多数软件支持 OpenSSL 3，但部分旧版应用可能受影响。

下载源码

cd /usr/local/src
wget https://github.com/openssl/openssl/releases/download/openssl-3.5.4/openssl-3.5.4.tar.gz
# 内网环境请替换为内部源地址
# sudo wget http://10.1.0.67/softs/openssl-3.5.4.tar.gz
tar -xzf openssl-3.5.4.tar.gz
cd openssl-3.5.4

备份原有库

在操作前务必备份系统原有的 OpenSSL 文件，以便回滚：

sudo mv /usr/bin/openssl /usr/bin/openssl-$(date +%Y-%m-%d-%H).bak
sudo mv /usr/lib/x86_64-linux-gnu/libssl.so.1.1 /usr/lib/x86_64-linux-gnu/libssl.so.1.1-$(date +%Y-%m-%d-%H).bak
sudo mv /usr/lib/x86_64-linux-gnu/libcrypto.so.1.1 /usr/lib/x86_64-linux-gnu/libcrypto.so.1.1-$(date +%Y-%m-%d-%H).bak

编译安装

定义 OpenSSL 安装到 /usr/local/ssl 以避免覆盖系统路径：

sudo ./config --prefix=/usr/local/ssl --openssldir=/usr/local/ssl shared zlib
sudo make -j$(nproc)
sudo make test
sudo make install

配置动态链接

为了让系统优先使用新版且不覆盖原本的文件，我们需要建立符号链接并更新缓存：

# 创建符号链接
sudo ln -s /usr/local/ssl/bin/openssl /usr/bin/openssl

# 可选：链接 lib64 下的库文件
# sudo ln -sf /usr/local/ssl/lib64/libssl.so.3 /usr/lib64/libssl.so.3
# sudo ln -sf /usr/local/ssl/lib64/libcrypto.so.3 /usr/lib64/libcrypto.so.3

# 更新 ld.so 缓存
echo "/usr/local/ssl/lib64" | sudo tee /etc/ld.so.conf.d/openssl-3.5.4.conf
sudo ldconfig

验证 OpenSSL 版本

openssl version
# 输出：OpenSSL 3.5.4 xx xxx xxxx 则证明安装成功

三、编译安装 OpenSSH

下载源码

cd /usr/local/src
wget https://cdn.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-10.2p1.tar.gz
# 内网环境请替换为内部源地址
# sudo wget http://10.1.0.67/softs/openssh-10.2p1.tar.gz
tar -xzf openssh-10.2p1.tar.gz
cd openssh-10.2p1

停止 OpenSSH 服务

注意：以下操作建议使用 Telnet 进行，否则会中断与服务器的连接。

systemctl stop sshd
pkill -9 sshd

备份原配置

mkdir -p /root/ssh_backup_$(date +%Y%m%d)
rsync -av /etc/ssh /etc/pam.d /usr/sbin/sshd /usr/bin/ssh /root/ssh_backup_$(date +%Y%m%d)/

配置编译

指定 OpenSSL 路径，确保使用我们刚编译的 OpenSSL 3.5.4：

sudo ./configure \
--prefix=/usr/local/openssh \
--sysconfdir=/etc/ssh \
--with-ssl-dir=/usr/local/ssl \
--with-pam \
--with-zlib \
--with-libedit \
--without-hardening \
--with-privsep-path=/var/lib/sshd

清理旧版本目录（谨慎操作）：

rm -rf /etc/ssh/
rm -rf /usr/bin/sshd
rm -rf /usr/sbin/sshd

编译并安装

sudo make -j$(nproc)
sudo make install

注意：make install 会覆盖 /usr/sbin/sshd、/usr/bin/ssh 等文件，并将配置文件备份为 sshd_config.install。

将新编译的二进制文件复制到系统路径（或者使用软链接）：

cp /usr/local/openssh/sbin/sshd /usr/sbin/sshd
cp /usr/local/openssh/bin/ssh /usr/bin/ssh
cp /usr/local/openssh/bin/ssh-keygen /usr/bin/ssh-keygen

还原关键文件

我们已经将 OpenSSH 10.2p1 采用'隔离安装'方式编译到了 /usr/local/openssh/，但为了能让 systemctl restart sshd 正常工作，需要将关键文件还原到默认路径。

# 1. 备份系统原有文件（非常重要！）
mkdir -p /root/ssh_backup_$(date +%Y%m%d)
rsync -av /etc/ssh /etc/pam.d /usr/sbin/sshd /usr/bin/ssh /root/ssh_backup_$(date +%Y%m%d)/

sudo mv /usr/bin/ssh /usr/bin/ssh.$(date +%Y%m%d)
sudo mv /usr/bin/scp /usr/bin/scp.$(date +%Y%m%d)
sudo mv /usr/bin/ssh-keygen /usr/bin/ssh-keygen.$(date +%Y%m%d)
sudo mv /usr/bin/sftp /usr/bin/sftp.$(date +%Y%m%d)
sudo mv /usr/sbin/sshd /usr/sbin/sshd.$(date +%Y%m%d)

# 2. 创建符号链接（推荐，节省空间，便于切换）
sudo ln -sf /usr/local/openssh/bin/ssh /usr/bin/ssh
sudo ln -sf /usr/local/openssh/bin/scp /usr/bin/scp
sudo ln -sf /usr/local/openssh/bin/ssh-keygen /usr/bin/ssh-keygen
sudo ln -sf /usr/local/openssh/bin/sftp /usr/bin/sftp
sudo ln -sf /usr/local/openssh/sbin/sshd /usr/sbin/sshd

# 3. 处理 libexec 目录
sudo mkdir -p /usr/libexec/openssh
sudo ln -sf /usr/local/openssh/libexec/* /usr/libexec/openssh/ 2>/dev/null || true
sudo mkdir -p /usr/lib/openssh
sudo ln -sf /usr/local/openssh/libexec/* /usr/lib/openssh/ 2>/dev/null || true

恢复或编辑配置

sudo cp /root/ssh_backup_20251030/ssh/sshd_config /etc/ssh/sshd_config

# 测试配置文件语法（用新版 sshd）
sudo /usr/local/openssh/sbin/sshd -t -f /etc/ssh/sshd_config

确保权限正确

sudo chown root:root /etc/ssh/sshd_config
sudo chmod 600 /etc/ssh/sshd_config

重启 SSH 服务

sudo systemctl restart ssh
sudo systemctl status ssh

验证升级结果

# 1. 查看 SSH 版本
ssh -V
# 输出：OpenSSH_10.2p1, OpenSSL 3.5.4 ...

# 2. 查看动态链接库
ldd /usr/sbin/sshd | grep -E "ssl|crypto"
# 应指向 /usr/local/ssl/lib/libcrypto.so.3

回滚方法

如果服务启动时出现问题，通过以下方法进行回滚恢复原版：

# 恢复系统原版
sudo rm /usr/bin/ssh /usr/bin/scp /usr/bin/ssh-keygen /usr/bin/sftp /usr/sbin/sshd
sudo mv /usr/bin/ssh.$(date +%Y%m%d) /usr/bin/ssh
sudo mv /usr/bin/scp.$(date +%Y%m%d) /usr/bin/scp
sudo mv /usr/bin/ssh-keygen.$(date +%Y%m%d) /usr/bin/ssh-keygen
sudo mv /usr/bin/sftp.$(date +%Y%m%d) /usr/bin/sftp
sudo mv /usr/sbin/sshd.$(date +%Y%m%d) /usr/sbin/sshd
sudo systemctl restart sshd

常见问题与解决

问题 1：libssl.so.3: cannot open shared object file

openssl version
# 报错：error while loading shared libraries: libssl.so.3: No such file or directory

确认库文件是否存在

find /usr/local/ssl/ -name "libssl.so.3*"
# 若有输出路径（如 /usr/local/ssl/lib64/libssl.so.3），继续下一步。

检查动态库路径配置

# 确认配置文件内容
cat /etc/ld.so.conf.d/openssl-3.5.4.conf
# 输出应为：/usr/local/ssl/lib 或 /usr/local/ssl/lib64

# 更新链接库缓存
sudo ldconfig -v | grep ssl

验证修复结果

ldd /usr/bin/openssl | grep libssl
openssl version
# 正常应输出：OpenSSL 3.5.4

问题 2：ldconfig.real: 无法对 /lib/libpng.so 进行 stat 操作

问题原因

某个软件包曾创建软链接 /lib/libpng.so 指向真实文件，但真实文件被删除或升级后，软链接变成'死链'。

解决方法

# 1. 找出所有指向不存在文件的 libpng.so 软链接
sudo find /lib /usr/lib -type l -name "libpng.so*" ! -exec test -e {} \; -ls

# 2. 删除它们
sudo find /lib /usr/lib -type l -name "libpng.so*" ! -exec test -e {} \; -delete

# 3. 如果确实需要 libpng，重新安装系统包
sudo apt install --reinstall libpng16-16 -y

问题 3：无法对 /usr/local/lib/x86_64-linux-gnu 进行 stat 操作

排查所有 ld.so 配置文件

ls /etc/ld.so.conf.d/

查看哪些 .conf 文件包含 /usr/lib/x86_64-linux-gnu 路径。

解决方法

Ubuntu 20.04 默认没有 /usr/local/lib/x86_64-linux-gnu 目录，该路径被写进系统配置文件 ldconfig 导致每次扫描都报错。

注释或删除不存在的路径：

vim /etc/ld.so.conf.d/x86_64-linux-gnu.conf
# Multiarch support
# /usr/local/lib/x86_64-linux-gnu ← 注释掉这行
/lib/x86_64-linux-gnu
/usr/lib/x86_64-linux-gnu

保存退出。

问题 4：清理旧 OpenSSL 路径导致 ldconfig 扫描到 .bak 软链接

查找所有指向 .bak 的软链接

sudo find /usr/lib /lib /usr/local -name "libssl.so.1.1*" -type l

删除软连接

sudo rm -f /usr/lib/x86_64-linux-gnu/libssl.so.1.1

清理缓存

sudo rm -rf /var/cache/ldconfig/*
sudo ldconfig

验证

sudo ldconfig -v 2>/dev/null | grep libssl