CentOS 7 rpm包升级OpenSSH 9.5避坑指南

先说一个我自己踩过的坑。去年做安全整改，巡检报告里CentOS 7自带的OpenSSH 7.4列了一长串CVE，当时图省事，直接官网拉源码包，configure、make、make install一套流程跑下来，ssh连接当场断掉，sshd服务起不来，人在远程差点要跑机房。那次之后我专门花了几天时间，把“用rpm包把OpenSSH从7.4升级到9.5”的流程完整捋了一遍，又在一批测试机上反复验证，现在这套方案已经在几十台服务器上跑过，基本能做到提前可控、出问题能回退。

这篇文章适合几类人看：因为等保或安全扫描必须升级OpenSSH的运维、面对纯内网环境只能离线操作的兄弟、以及被源码编译升级坑过想换一条路的人。内容完全围绕rpm包升级展开，从前期准备、rpm包获取，到正式执行、配置合并、兼容性排查、回退方案都会讲到。我尽量把操作命令、判断逻辑、踩坑点写清楚，照着做能少走不少弯路。

1. 为什么CentOS 7要折腾OpenSSH 9.5，以及为什么非rpm不可

1.1 一次源码编译事故让我彻底放弃了这条路

那天的场景我记得很清楚。系统是CentOS 7.9，原来的openssh是7.4p1，漏洞扫描报告出来一大片，领导要求一周内全部整改。我当时想的是“反正是开源软件，编译安装是最标准的做法”，于是在一台核心业务机器上直接操作，下载openssh-9.5p1.tar.gz，解压、配置、编译，一切正常，到make install那一步就开始出问题——旧的文件被覆盖，新的sshd因为配置文件里有个旧参数解析不通过，直接启动失败。

更要命的是ssh连接已经断了，我已经无法远程执行任何修复命令。唯一能做的只有让机房同事帮忙接显示器进控制台，折腾了快两个小时才恢复。后来复盘，问题不在于源码编译这个方式本身有问题，而是它给运维留下的容错窗口太小：编译产物不在rpm数据库里，升级后无法用rpm命令回退，rpm -qa查到的还是旧版本，时间长了系统里是什么状态完全说不清楚。

那次之后我定了一个原则：生产环境的OpenSSH升级，除非有极其特殊的定制需求，否则一律走rpm包路线。版本可查、依赖可解、出问题可回退，这三条对运维来说比“最新版本”重要得多。

1.2 rpm包方式到底解决了什么核心问题

很多人觉得rpm升级和源码编译升级，最终结果不都是把新版sshd装上去吗？其实差别很大。

第一，rpm包解决的是依赖关系。OpenSSH的rpm包拆成了openssh、openssh-clients、openssh-server三个子包，三个包之间有明确的版本依赖。你执行rpm -Uvh *.rpm时，rpm会一次性处理这三个包，内部按依赖关系自动排序，不会出现“clients已经升到9.5，server还是7.4”这种半吊子状态。源码编译装出来的东西不纳入rpm数据库，系统里新旧文件混杂，yum在后续操作中无法感知，这才是最大的隐性风险。

第二，rpm包解决的是回退路径。只要你在升级前把当前版本的三个rpm包保存好，万一9.5有问题，一条rpm -Uvh --oldpackage就能降级回去。源码编译版本想回退？你得先把旧版本重新编译一遍，还要祈祷编译环境和当初一致，这在紧急故障面前基本不现实。

第三，rpm包解决的是配置文件的演进规则。rpm机制会自动处理/etc/ssh/sshd_config：如果你改过这个文件，升级时它不会直接覆盖，而是生成sshd_config.rpmnew；如果你没改过，新版本配置会正常接管。这个机制虽然第一次遇到时有点绕，但搞清楚之后，配置迁移就是有章可循的，比源码编译直接覆盖要安全得多。

1.3 升级前必须想清楚的三个事实

不要把升级想得太简单，动手之前有几个事实必须先确认。

一是CentOS 7系统自带的openssl是1.0.2k版本，这是系统的底线能力。OpenSSH 9.5官方支持的构建环境比较宽泛，但你在CentOS 7上做升级，一定要确保拿到的rpm包是在CentOS 7环境下编译出来的，而不是从CentOS 8或者Stream仓库里顺手拿的。不同大版本的openssl、pam、zlib、krb5库版本不同，跨版本安装轻则提示依赖缺失，重则连sshd都拉不起来。这是rpm升级里最常见的“水土不服”问题。

二是OpenSSH 9.5对旧算法更严格。默认情况下DSA相关的ssh-dss算法已经完全放弃，老的ssh-rsa签名策略在很多组合下也被禁用。如果你现在还在用DSA公钥做登录认证，或者客户端是比较老的Xshell、SecureCRT版本，升级之后很可能会连不上。这不是故障，是安全策略收紧的必然结果，需要在升级前通知相关使用方，提前把密钥换成ed25519或者做好客户端升级计划。

三是升级过程中不会主动删除或重新生成/etc/ssh/ssh_host_*主机密钥。rpm升级机制会保留原有主机密钥，所以不用担心客户端出现“host key changed”的告警。如果你手痒手动执行了ssh-keygen -A，那就另当别论了，新生成的密钥可能会改变主机的指纹信息，反过来引发安全告警。升级前尽量不要动主机密钥文件。

2. 升级前先做三件事：版本盘点、备份和telnet兜底

2.1 盘点当前环境，摸清三套关键基线

打开一台待升级机器，先不要急着下载任何rpm包，把系统现状摸清楚。我通常用一个命令组合完成初步盘点：

bash复制cat /etc/redhat-release
ssh -V
rpm -qa | grep -E 'openssh|openssl'

输出的信息重点看三个维度：系统是不是CentOS 7.x，小版本是多少；当前openssh是7.4p1还是其他版本；openssl是不是系统默认的1.0.2k。这三项直接决定了你后续应该找什么版本、什么依赖的rpm包。

另外还要检查一下当前sshd配置里有没有非默认的改动。比如你改了Port、PermitRootLogin、AllowUsers这些参数，升级后它们需要重新合并进新配置文件里，如果升级前不做记录，后