简介：本资源是一套专为Rocky Linux 9.5系统设计的OpenSSH服务升级与安全加固脚本包，面向Linux系统管理员、安全运维工程师及红蓝对抗中需快速加固SSH服务的技术人员。针对默认系统中OpenSSH版本偏低、加密套件过时等风险，提供从OpenSSL 3.5.0与OpenSSH 10.0p1双组件协同升级到服务重启验证的一站式加固方案，覆盖依赖兼容性处理（如initscripts、chkconfig）与systemd兼容性适配。压缩包共6个文件，含5个定制化RPM安装包（openssh-server/clients、openssl基础依赖等）及1个可执行shell脚本upgrade_ssl_ssh.sh，总大小10.96MB，结构精简、部署路径明确。目前已有210人学习下载，用户可直接复用该脚本完成生产环境SSH服务的安全基线提升，避免手动编译风险，同时获得完整依赖闭环与服务状态自检逻辑，显著降低加固操作门槛与误配置概率。

1. Rocky Linux 9.5 上 OpenSSH 升级到 10.0p1 + OpenSSL 3.5.0：一次必须亲手操刀的加固落地

你有没有遇到过这样的情况：安全扫描报告里反复标红「OpenSSH 版本过旧，存在 CVE-2023-48795（Terrapin）和 CVE-2023-51385（CWE-20）风险」，而系统自带的openssh-server-8.7p1又死活升不上去？在 Rocky Linux 9.5 这类 RHEL 系衍生发行版上，直接dnf update openssh永远卡在 8.7p1 —— 因为官方仓库压根没打包 10.0p1，更别提配套的 OpenSSL 3.5.0。这不是配置问题，是生态断层。这套rockylinux9.5-ssh10.0p1-ssl3.5.0-rpm-x86-64升级加固脚本就是专治这个「版本卡死」的硬核方案：它不依赖 EPEL 或第三方源，不改系统默认仓库，而是用纯 RPM 构建链+预编译二进制+最小化依赖注入的方式，把 OpenSSH 10.0p1 和 OpenSSL 3.5.0 安全、可回滚地塞进标准 Rocky 9.5 环境。适合所有正在做等保三级、密评整改、或被甲方安全团队盯着打补丁的运维和 DevSecOps 工程师——装错一步，sshd 直接挂掉，连 SSH 都连不上，真·生产事故现场。

2. 环境确认与前置准备：为什么必须从 Rocky 9.5 基础镜像开始

2.1 精确匹配系统基线：Rocky Linux 9.5 的内核与 glibc 约束

这套脚本不是通用型升级包，它严格绑定 Rocky Linux 9.5（kernel-5.14.0-427.el9.x86_64 + glibc-2.34-100.el9_4.2）。验证命令必须逐条执行，不能跳：

# 检查发行版与版本号（必须输出 "Rocky Linux release 9.5 (Blue Onyx)"） cat /etc/redhat-release # 检查内核（必须 ≥ 5.14.0-427.el9） uname -r # 检查 glibc（必须为 2.34-100.el9_4.2 或更高 patchlevel） rpm -q glibc

提示：如果你用的是 Rocky 9.4 或 9.6，立刻停手。9.4 缺少libcrypto.so.3的符号兼容层，9.6 的systemd单元文件路径已变更，强行安装会导致 sshd 启动失败且无法 fallback。我见过 A同学 在测试环境用 9.4 镜像跑通了脚本，上线后才发现sshd-keygen@.service找不到 unit 文件——因为 9.4 用的是sshd-keygen.target，而脚本里写的 service 名是 9.5+ 的新规范。

2.2 关键依赖预检：OpenSSL 3.5.0 不是「装上就行」

OpenSSH 10.0p1 强依赖 OpenSSL 3.5.0 的EVP_PKEY_set_params()和OSSL_PARAM_construct_from_text()等新 API。但 Rocky 9.5 默认只带 OpenSSL 3.0.7，且/usr/lib64/libssl.so.3是软链接到libssl.so.3.0.7。脚本不会覆盖系统默认 OpenSSL，而是将 3.5.0 安装到/opt/openssl350/并通过LD_LIBRARY_PATH注入。因此必须提前确认：

# 检查是否已有冲突的 OpenSSL 3.x 安装（如手动编译过） ls -l /opt/openssl* 2>/dev/null || echo "无自定义 OpenSSL" # 检查系统是否禁用了动态库路径（某些加固策略会清空 /etc/ld.so.conf.d/） grep -r "include.*ld\.so\.conf\.d" /etc/ld.so.conf 2>/dev/null || echo "ld.so.conf 未包含 conf.d"

若发现/opt/openssl350已存在，或/etc/ld.so.conf.d/被清空，需先清理或补全。否则脚本中的ldconfig -p | grep ssl校验会失败，后续 sshd 启动时直接报libssl.so.3: cannot open shared object file。

2.3 磁盘与权限准备：RPM 安装链的隐性门槛

脚本本质是 RPM 包构建 + 安装，需要/var/tmp至少 1.2GB 空间（用于解压源码、编译中间产物、生成 RPM），且/opt分区必须支持exec挂载选项（否则/opt/openssl350/bin/openssl无法执行）。检查命令：

# 磁盘空间（重点看 /var/tmp 和 /opt） df -h /var/tmp /opt # 检查 /opt 挂载选项（必须含 'exec'，不含 'noexec'） findmnt -t xfs,ext4 /opt | grep -o "exec\|noexec"

注意：某高校实验室曾因/opt分区挂载了noexec，导致脚本最后一步rpm -Uvh openssh-server-10.0p1-1.el9.x86_64.rpm成功，但systemctl start sshd报Failed to execute /opt/openssl350/bin/openssl: Permission denied。修复只需mount -o remount,exec /opt，但重启后失效——必须写入/etc/fstab永久生效。

3. 下载与校验：三个必须人工核对的哈希值

3.1 获取脚本包与配套 RPM 的唯一可信路径

脚本本身不托管在 GitHub 或公共仓库，而是以.tar.gz归档形式提供，内含：

• upgrade-ssh-ssl.sh：主执行脚本（bash，带 SELinux 上下文重置逻辑）
• openssl-3.5.0-1.el9.x86_64.rpm：预编译 OpenSSL 3.5.0 RPM（签名：RSA/SHA256, key ID 6a518e5f）
• openssh-10.0p1-1.el9.x86_64.rpm：OpenSSH 10.0p1 服务端 RPM（签名同上）
• openssh-clients-10.0p1-1.el9.x86_64.rpm：客户端 RPM（可选安装）

下载地址统一为项目发布的 GPG 签名归档（例如https://example.com/releases/rocky95-ssh10-ssl35-upgrade-20240615.tar.gz），切勿使用任何镜像站或第三方打包。原因：OpenSSL 3.5.0 的 RPM 内部postinstall脚本硬编码了/opt/openssl350路径，而某些镜像站打包时误改了%{_prefix}导致路径错乱。

3.2 三重校验：GPG + SHA256 + RPM 签名缺一不可

下载后必须按顺序执行校验，跳过任意一步等于放弃安全加固的初衷：

# 步骤1：校验归档包 GPG 签名（公钥需提前导入） gpg --verify rocky95-ssh10-ssl35-upgrade-20240615.tar.gz.asc rocky95-ssh10-ssl35-upgrade-20240615.tar.gz # ✅ 正确输出："Good signature from 'Rocky Security Team <security@rockylinux.org>'" # 步骤2：解压并校验内部 RPM 的 SHA256（脚本内嵌 checksums.txt） tar -xzf rocky95-ssh10-ssl35-upgrade-20240615.tar.gz sha256sum -c checksums.txt # ✅ 输出："openssl-3.5.0-1.el9.x86_64.rpm: OK" 等三行 # 步骤3：校验 RPM 包自身签名（关键！防止 RPM 被篡改） rpm -K openssl-3.5.0-1.el9.x86_64.rpm # ✅ 必须输出："openssl-3.5.0-1.el9.x86_64.rpm: digests signatures OK"

提示：rpm -K的输出中若出现MD5 digest或size失败，说明 RPM 文件损坏；若出现header digests失败，说明签名被破坏。此时必须重新下载，绝不能用--force跳过。我一般会把checksums.txt和*.asc文件一起存进 Git 仓库，每次部署前git diff对比，确保没被本地编辑器悄悄转码。

3.3 解压与目录结构初始化

校验通过后，解压到/root/ssh-upgrade/（强制路径，脚本内所有cd和cp均基于此）：

mkdir -p /root/ssh-upgrade tar -xzf rocky95-ssh10-ssl35-upgrade-20240615.tar.gz -C /root/ssh-upgrade --strip-components=1 chown -R root:root /root/ssh-upgrade chmod -R 755 /root/ssh-upgrade

最终目录结构必须为：

/root/ssh-upgrade/ ├── upgrade-ssh-ssl.sh # 主脚本 ├── openssl-3.5.0-1.el9.x86_64.rpm ├── openssh-10.0p1-1.el9.x86_64.rpm ├── openssh-clients-10.0p1-1.el9.x86_64.rpm └── checksums.txt

若目录名或层级错误，脚本执行时会在rpm -qpR依赖分析阶段报error: open failed: No such file or directory—— 因为脚本用dirname $0推导路径，硬编码了相对位置。

4. 执行升级脚本：分阶段控制与关键参数说明

4.1 脚本执行前的「最后防线」检查

在运行./upgrade-ssh-ssl.sh前，必须手动执行预检函数（脚本内置，但建议独立运行）：

# 进入目录并加载预检 cd /root/ssh-upgrade source ./upgrade-ssh-ssl.sh precheck # ✅ 正确输出应包含： # [OK] System is Rocky Linux 9.5 # [OK] Kernel version >= 5.14.0-427.el9 # [OK] /var/tmp has > 1.2GB free # [OK] /opt mount option includes 'exec' # [FAIL] openssh-server-10.0p1 installed ← 此行必须是 FAIL，表示尚未安装

precheck函数会检测 12 项关键状态，包括sshd是否正在运行、/etc/ssh/sshd_config是否被修改过、SELinux 是否为 enforcing 模式等。若任何一项[FAIL]，脚本会中止——这是设计好的熔断机制，不是 bug。

4.2 核心执行命令与参数含义

脚本支持三种模式，生产环境只允许用--safe模式：

# ✅ 推荐：安全模式（默认启用备份、禁用自动重启、要求人工确认） ./upgrade-ssh-ssl.sh --safe # ⚠️ 谨慎：快速模式（跳过部分校验，仅限离线测试环境） ./upgrade-ssh-ssl.sh --fast # ❌ 禁止：强制模式（忽略所有 precheck 失败，可能导致系统失联） ./upgrade-ssh-ssl.sh --force

--safe模式下，脚本会：

• 自动备份/etc/ssh/全目录到/root/ssh-backup-$(date +%Y%m%d_%H%M%S)/
• 安装 RPM 前暂停sshd服务（systemctl stop sshd）
• 安装完成后不自动启动，等待人工验证
• 在/root/ssh-upgrade/下生成rollback.sh脚本（见后文）

执行过程约 4 分钟，关键日志节选：

[INFO] Installing openssl-3.5.0-1.el9.x86_64.rpm... [INFO] Running postinstall script: /opt/openssl350/bin/openssl version [INFO] OpenSSL 3.5.0 15 May 2024 → ✅ 版本正确 [INFO] Installing openssh-10.0p1-1.el9.x86_64.rpm... [INFO] Verifying sshd binary: /usr/sbin/sshd -V | head -1 [INFO] OpenSSH_10.0p1, OpenSSL 3.5.0 15 May 2024 → ✅ 双版本匹配

4.3 安装后必须做的三件事（脚本不代劳）

脚本执行完毕只是「安装完成」，不是「加固完成」。以下操作必须人工执行：

1. 验证 sshd 二进制链接：

   ldd /usr/sbin/sshd | grep ssl # ✅ 正确输出：libssl.so.3 => /opt/openssl350/lib64/libssl.so.3 (0x0000...) # ❌ 错误输出：libssl.so.3 => /lib64/libssl.so.3 (0x0000...) ← 仍链接系统 OpenSSL

2. 检查 sshd_config 兼容性：
   OpenSSH 10.0p1 废弃了UsePrivilegeSeparation和GSSAPIAuthentication（默认关闭），若配置文件中存在这些参数，启动时会警告。运行：

   /usr/sbin/sshd -t -f /etc/ssh/sshd_config # ✅ 无输出即通过；若有 "Deprecated option" 提示，需手动删除对应行

3. 启动并监听验证：

   systemctl start sshd ss -tlnp | grep :22 # ✅ 应看到 "sshd" 进程监听 0.0.0.0:22 和 [::]:22

5. 避坑指南：五个血泪换来的「玄学」故障与解法

5.1 现象：systemctl start sshd报Failed to start sshd.service: Unit not found

原因：脚本安装的openssh-server-10.0p1RPM 中，sshd.service文件被安装到了/usr/lib/systemd/system/，但某些 Rocky 9.5 最小化安装缺少systemd-sysv-generator，导致sshd.service未被 systemd 加载。
解决：

# 重建 systemd 单元缓存 systemd-sysv-generator systemctl daemon-reload # 再启动 systemctl start sshd

5.2 现象：SSH 登录后立即断开，/var/log/secure记录fatal: no login shells

原因：OpenSSH 10.0p1 默认启用PermitUserEnvironment，但/etc/passwd中用户 shell 字段为空或非法（如被误改为/bin/false）。
解决：

# 检查 root 用户 shell getent passwd root | cut -d: -f7 # ✅ 应为 "/bin/bash"；若为 "/sbin/nologin"，修复： usermod -s /bin/bash root

5.3 现象：ssh -V显示OpenSSH_10.0p1, OpenSSL 3.0.7（仍是旧 OpenSSL）

原因：LD_LIBRARY_PATH未生效，或/etc/ld.so.conf.d/openssl350.conf未被ldconfig加载。
解决：

# 检查配置文件是否存在且内容正确 cat /etc/ld.so.conf.d/openssl350.conf # ✅ 应输出：/opt/openssl350/lib64 # 强制更新缓存 ldconfig -v | grep openssl350 # ✅ 应看到 "/opt/openssl350/lib64:" 及其下的 so 文件列表

5.4 现象：sshd启动成功，但ssh localhost报Connection closed by UNKNOWN port -1

原因：SELinux 策略未适配 OpenSSL 3.5.0 的新路径/opt/openssl350/lib64/，拒绝sshd加载该目录下的库。
解决：

# 临时放行（验证用） setsebool -P ssh_sysadm_login on # 永久修复：添加自定义策略模块 ausearch -m avc -ts recent | audit2allow -M ssh_openssl350 semodule -i ssh_openssl350.pp

5.5 现象：脚本执行到rpm -Uvh阶段报error: Failed dependencies

原因：系统存在旧版openssl-libs的冲突包（如openssl11-libs-1.1.1w-1.el9），而脚本 RPM 依赖openssl-libs >= 3.5.0。
解决：

# 查看具体缺失依赖 rpm -qpR openssh-10.0p1-1.el9.x86_64.rpm | grep "openssl" # ✅ 应输出：openssl-libs >= 3.5.0 # 卸载冲突的旧版 OpenSSL（仅当确认无其他服务依赖时） dnf remove openssl11-libs --assumeyes # 再重试脚本

6. 验证与回滚：用真实连接证明加固有效，用一键脚本守住底线

6.1 终极验证：四层穿透式检测清单

装完不是终点，验证才是加固价值的落点。我坚持用这四步交叉验证，缺一不可：

提示：第 4 步是「压力测试」。OpenSSH 10.0p1 默认禁用sntrup761x25519-sha512（抗量子算法），必须显式开启才能验证。若失败，检查/etc/ssh/sshd_config中KexAlgorithms行是否被注释或覆盖。

6.2 回滚不是备选，是必选项：rollback.sh的正确用法

脚本在/root/ssh-upgrade/下生成的rollback.sh不是简单卸载 RPM，而是原子化回滚：

# 查看回滚脚本内容（务必先读！） cat /root/ssh-upgrade/rollback.sh # ✅ 正确流程： # 1. 停止 sshd # 2. 卸载 openssh-server-10.0p1 和 openssl-3.5.0 RPM # 3. 从 /root/ssh-backup-* 恢复 /etc/ssh/ # 4. 重载 systemd 配置 # 5. 启动原版 sshd（8.7p1）

执行回滚前，必须确认当前 sshd 进程 PID：

# 记录当前 PID（回滚后需对比） pidof sshd # 执行回滚（全程无交互） /root/ssh-upgrade/rollback.sh --yes # 验证回滚结果 sshd -V # ✅ 应输出 "OpenSSH_8.7p1, OpenSSL 3.0.7" systemctl status sshd # ✅ 应显示 "active (running)" 且 PID 变化

6.3 加固效果量化：安全扫描前后对比表

用nmap+ssh-audit.py做基线对比（工具需自行安装）：

从那以后我每次给某跨平台系统做等保加固，都强制走一遍ssh-audit.py全量扫描 +rollback.sh演练。不是信不过脚本，是信不过自己漏看一行日志。希望帮到你。

本文还有配套的精品资源，点击获取