centos7下自动打包OpenSSH8.4的RPM并集成OpenSSL-1.1.1i

升级流程

• openssl-1.1.1i RPM的编译打包参考之前的文章
  centos 7 OpenSSL1.1.1i rpm自动打包shell

首先 rpmbuild 打出 OpenSSH 8.4 的 RPM 包，rpm -Uvh 升级，修改 /etc/pam.d/sshd 文件，重启 sshd 服务，升级完成。

#!/bin/bash
set -ex
yum install rpm-build zlib-devel openssl-devel gcc perl-devel pam-devel unzip -y
mkdir -p /root/rpmbuild/{SOURCES,SPECS}
cd /root/rpmbuild/SOURCES
if [[ ! -f "openssh-8.4p1.tar.gz" ]];then
    wget -c http://cdn.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-8.4p1.tar.gz
fi
if [[ ! -f "x11-ssh-askpass-1.2.4.1.tar.gz" ]];then
    wget https://src.fedoraproject.org/repo/pkgs/openssh/x11-ssh-askpass-1.2.4.1.tar.gz/8f2e41f3f7eaa8543a2440454637f3c3/x11-ssh-askpass-1.2.4.1.tar.gz
fi
tar zxvf openssh-8.4p1.tar.gz openssh-8.4p1/contrib/redhat/openssh.spec
mv openssh-8.4p1/contrib/redhat/openssh.spec ../SPECS/
chown sshd:sshd /root/rpmbuild/SPECS/openssh.spec
cp /root/rpmbuild/SPECS/openssh.spec /root/rpmbuild/SPECS/openssh.spec_def
sed -i -e "s/%global no_gnome_askpass 0/%global no_gnome_askpass 1/g" /root/rpmbuild/SPECS/openssh.spec
sed -i -e "s/%global no_x11_askpass 0/%global no_x11_askpass 1/g" /root/rpmbuild/SPECS/openssh.spec
sed -i -e "s/^BuildRequires: openssl-devel < 1.1/#BuildRequires: openssl-devel < 1.1/g" /root/rpmbuild/SPECS/openssh.spec
sed -i -e '/with-privsep-path/a\        --with-openssl-includes=/usr/local/openssl/include \\\n        --with-ssl-dir=/usr/local/openssl \\' /root/rpmbuild/SPECS/openssh.spec 
cd /root/rpmbuild/SPECS/
rpmbuild -ba openssh.spec

常见错误处理

使用上面的自动打包shell不会出现下面错误，因为已经自动处理。

第一个报错: openssl-devel < 1.1 被 openssh-8.4p1-1.el7.x86_64 需要

构建依赖失败：openssl-devel < 1.1 被 openssh-8.4p1-1.el7.x86_64 需要 解决方法：

[root@localhost SPECS]# vim openssh.spec 注释掉 BuildRequires: openssl-devel < 1.1 这一行

第二个报错：RPM build errors:

Installed (but unpackaged) file(s) found:

RPM build errors:
    Installed (but unpackaged) file(s) found:
    /usr/libexec/openssh/ssh-sk-helper
    /usr/share/man/man8/ssh-sk-helper.8.gz

解决方法：

vi /usr/lib/rpm/macros

#%__check_files %{_rpmconfigdir}/check-files %{buildroot}
注释改行

打包成功

压缩打包到一个文件

zip openssh84.zip openssh*.rpm openssl-1.1.1i-1.el7.x86_64.rpm

升级

# 升级,先升级openssl,因为打包的时候使用了OpenSSL 1.1.1i
rpm -Uvh openssl-1.1.1i-1.el7.x86_64.rpm --nodeps --force && rpm -Uvh /tmp/openssh*.rpm
# 修改权限,必须修改权限，否则重启sshd失败,
cd /etc/ssh/
chmod 400 ssh_host_ecdsa_key ssh_host_ed25519_key ssh_host_rsa_key
# 允许 root登录，可选
echo "PermitRootLogin yes" >> /etc/ssh/sshd_config
# 不修改这个文件，会出现密码是对的，却无法登陆。
cat <<EOF>/etc/pam.d/sshd
#%PAM-1.0
auth       required     pam_sepermit.so
auth       include      password-auth
account    required     pam_nologin.so
account    include      password-auth
password   include      password-auth
## pam_selinux.so close should be the first session rule
session    required     pam_selinux.so close
session    required     pam_loginuid.so
## pam_selinux.so open should only be followed by sessions to be executed in the user context
session    required     pam_selinux.so open env_params
session    optional     pam_keyinit.so force revoke
session    include      password-auth
EOF
# 重启服务
systemctl restart sshd

Ansible Roles 简介

当我们刚开始学习运用 playbook 时，可能会把 playbook 写成一个很大的文件，到后来可能你会希望这些文件是可以方便去重用的，所以需要重新去组织这些文件。Roles 意为角色，主要用于封装 playbook 实现复用性。在 ansible 中，roles 通过文件的组织结构来展现。

对于一个 role，它的文件组织结构如下图所示。

[root@ansible ansible]# ls openssh/*
openssh/default:

openssh/files:
openssh84.zip  sshd

openssh/tasks:
main.yaml

openssh/templates:

openssh/vars:

首先需要有一个 roles 目录。同时，在 roles 目录所在目录中，还要有一个 playbook 文件，此处为main.yaml，main.yaml 文件是 ansible-playbook 需要执行的文件，在此文件中定义了角色，当执行到角色时，将会到 roles中对应的角色目录中寻找相关文件。

roles 目录中的子目录是即是各个 role。例如，此处只有一个名为 openssh 的 role，在 role 目录中，有几个固定名称的目录(如果没有则忽略)。在这些目录中，还要有一些固定名称的文件，除了固定名称的文件，其他的文件可以随意命名。以下是各个目录的含义：

• tasks 目录：存放 task 列表。若 role 要生效，此目录必须要有一个主 task 文件 main.yml，在 main.yml 中可以使用 include 包含同目录(即 tasks )中的其他文件。
• handlers 目录：存放 handlers 的目录，若要生效，则文件必须名为 main.yml 文件。
• files 目录：在 task 中执行 copy 或 script 模块时，如果使用的是相对路径，则会到此目录中寻找对应的文件。
• templates 目录：在 task 中执行 template 模块时，如果使用的是相对路径，则会到此目录中寻找对应的模块文件。
• vars 目录：定义专属于该 role 的变量，如果要有var文件，则必须为 main.ym l文件。
• defaults 目录：定义角色默认变量，角色默认变量的优先级最低，会被任意其他层次的同名变量覆盖。如果要有 var 文件，则必须为 main.yml文件。
• meta 目录：用于定义角色依赖，如果要有角色依赖关系，则文件必须为 main.yml。

看到这些估计你是懵的，下面看例子就明白了。

使用 Ansible Roles 批量升级 OpenSSH

这里演示的是使用 Ansible Roles 对 100 台 CentOS 7 批量升级 OpenSSH 到 8.4 版本。这是最初级的 Roles示例。

首先是文件结构。

[root@ansible ansible]# ls openssh/*
openssh/default:

openssh/files:
openssh84.zip  sshd

openssh/tasks:
main.yaml

openssh/templates:

openssh/vars:

入口文件为 tasks/main.yaml，看下内容

[root@ansible openssh]# cat tasks/main.yaml 
---
    - name: Copy ssh to agent.
      unarchive:
        src: openssh84.zip
        dest: /tmp

    - name: Copy ssh file to agent.
      copy:
        src: sshd
        dest: /etc/pam.d/sshd
        backup: yes

    - name: update openssl openssh
      shell: |
        cd /tmp 
        rpm -Uvh openssl-1.1.1i-1.el7.x86_64.rpm --nodeps --force && rpm -Uvh /tmp/openssh*.rpm
        cd /etc/ssh/ 
        chmod 400 ssh_host_ecdsa_key ssh_host_ed25519_key ssh_host_rsa_key
        # echo "PermitRootLogin no" >> /etc/ssh/sshd_config

    - name: Restart sshd
      systemd:
        state: restarted
        name: sshd

放在 files 目录下 openssh8.zip 是打包出来OpenSSH 8.4 的 rpm 包，再压缩为 zip 包。

sshd 是要修改的 /etc/pam.d/sshd 文件

所以这个 main.yaml 的意思就是把 openssh8.zip 解压到目标主机 /tmp 目录下，要修改的文件复制到目标主机目录下，然后执行升级，最后重启 sshd 服务。

要升级所有机器的时候就在最外层的 main.yaml 写上主机和 roles 执行即可，如图

- hosts:
  # - 10.11.19.4
  - all

  gather_facts: no
  become: yes
  roles:
    - openssh