Linux 升級 OpenSSH 至 6.6p1 完整步驟：本地源配置、依賴安裝、備份舊配置、編譯安裝、服務重啟驗證、版本確認

舊版 OpenSSH 存在安全漏洞 (CVE-2014-2598 等)，升級至 6.6p1 修復已知問題。本文記錄生產環境升級全流程：**嚴禁重啟 sshd 服務前完成編譯安裝**，否則遠端連線將中斷無法恢復。

前置準備

# 1. 配置本地 yum 源 (ISO 掛載或內部鏡像)
# 2. 安裝編譯依賴
yum install -y bash zlib zlib-devel openssl openssl-devel gcc

# 3. 下載原始碼
wget https://cdn.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-6.6p1.tar.gz
tar -xzf openssh-6.6p1.tar.gz -C /usr/local/src/
cd /usr/local/src/openssh-6.6p1/

備份關鍵檔案

cp /etc/init.d/sshd /etc/init.d/sshd.old
tar -cvf ssh.bak.tar /etc/ssh

移除舊版 RPM (按相依順序)

rpm -qa | grep ssh
rpm -e openssh-server-5.3p1-81.el6.x86_64
rpm -e openssh-clients-5.3p1-81.el6.x86_64 --nodeps
rpm -e openssh-askpass-5.3p1-81.el6.x86_64
rpm -e openssh-5.3p1-81.el6.x86_64
rpm -qa | grep ssh   # 確認已清空

編譯安裝新版

./configure --prefix=/usr \
            --sysconfdir=/etc/ssh \
            --with-zlib \
            --with-md5-passwords \
            --with-pam \
            --with-kerberos5 \
            --with-selinux
make && make install

恢復服務腳本並啟動

mv /etc/init.d/sshd.old /etc/init.d/sshd
mkdir -p /var/empty/sshd/etc
/etc/init.d/sshd restart
chkconfig --add sshd
chkconfig sshd on
chkconfig --list | grep sshd

驗證版本

ssh -V
# OpenSSH_6.6p1, OpenSSL 1.0.0-fips 29 Mar 2010

關鍵風險控制

• 全程保持至少一個現有 SSH 連線開啟，直到新版 sshd restart 成功並驗證可新建連線。
• 編譯安裝過程 **絕不** 執行 service sshd restart 或 systemctl restart sshd。
• 若編譯失敗，立即還原 /etc/init.d/sshd.old 並啟動舊版服務。

遵循此流程，可零停機、零斷線完成 OpenSSH 安全升級。