使用ansible批量更新openssh 环境说明： 多台机器，比如500台 局域网内网络互通 其中一台安装ansible,并能连接其他所有的机器 操作系统版本一致，这里都是centos7 1.编写hosts文件，举例三台 [test] 192.168.1.30 ansible_ssh_user=root ansible_ssh_password=root ansible_ssh_port=22 [dev] 192.168.1.60 ansible_ssh_user=root ansible_ssh_password=root ansible_ssh_port=22 [prod] 192.168.1.100 ansible_ssh_user=root ansible_ssh_password=root ansible_ssh_port=22 2.将升级的离线安装包分发到各主机 ansible all -i hosts -m copy -a "src=/root/openssh9.0p1.tar.gz dest=/root/" 3.执行解压和清理操作 ansible all -i hosts -m shell -a "tar -zxf /root/openssh9.0p1.tar.gz -C /root/ && rm -rf /root/openssh9.0p1.tar.gz" 4.备份现有的配置和权限文件 ansible all -i hosts -m shell -a "cp -rp /etc/ssh /etc/ssh_backup_$(date +'%Y-%m-%d_%H%M%S')" ansible all -i hosts -m shell -a "cp -rp /etc/pam.d/sshd /etc/pam.d/sshd_backup_$(date +'%Y-%m-%d_%H%M%S')" 5.分组执行升级操作，避免一把梭带来的失误 ansible test -i hosts -m shell -a "cd /root/openssh9.0p1 && yum localinstall -y ./openssh*.rpm" ansible test -i hosts -m shell -a "cat /root/openssh9.0p1/sshd > /etc/pam.d/sshd" ---小插曲 ansible test -i hosts -m shell -a "chmod 400 /etc/ssh/ssh_host_* && echo 'PermitRootLogin yes' >> /etc/ssh/sshd_config && echo 'PasswordAuthentication yes' >> /etc/ssh/sshd_config" ansible test -i hosts -m shell -a "sed -i 's/#Port/Port/' /etc/ssh/sshd_config && sed -i '/Port/a Port 18822' /etc/ssh/sshd_config" --- ansible test -i hosts -m shell -a "systemctl restart sshd && systemctl enable sshd" 6.验证升级后的版本 ansible all -i hosts -m shell -a "ssh -V" ansible all -i hosts -m shell -a "rpm -qa | grep openssh" ansible all -i hosts -m shell -a "ss -anlp | grep :18822" ansible all -i hosts -m shell -a "systemctl status sshd | grep running | grep -v grep" 注意事项： ---这里没有考虑selinux的情况，因此最好在做此操作前，对selinux disabled ---这里没有考虑防火墙的情况，因此最好是在此操作前，对firewalld stop disable ---升级使用的是root账户，没有考虑其他用户的情况，需要根据实际情况修改 ---这里以openssh批量升级举例，使用的是离线的rpm包，其他软件升级需要根据实际场景，实际情况进行。
考虑selinux和firewalld的情况，进行ssh服务安全优化 注意： 这种情况需要先添加一个端口18822，测试连接没问题后才能关闭默认的22端口 #添加端口 ansible all -i hosts -m shell -a "sed -i "s/#Port 22/Port 22/g" /etc/ssh/sshd_config" ansible all -i hosts -m shell -a "sed -i '/Port 22/a Port 18822' /etc/ssh/sshd_config" #检查防火墙状态 ansible all -i hosts -m shell -a "systemctl status firewalld" #开放端口 ansible all -i hosts -m shell -a "firewall-cmd --zone=public --add-port=18822/tcp --permanent && firewall-cmd --reload" #查询 ansible all -i hosts -m shell -a "firewall-cmd --zone=public --query-port=18822/tcp" #查看selinux状态 Enforcing开启，disabled关闭，permissive关闭但记录警告信息 ansible all -i hosts -m shell -a "getenforce" #查询ssh端口 ansible all -i hosts -m shell -a "semanage port -l|grep ssh" #添加ssh端口放通 ansible all -i hosts -m shell -a "semanage -a -t ssh_port_t -p tcp 18822" #再次查询一下ssh端口 ansible all -i hosts -m shell -a "semanage port -l|grep ssh" #重启ssh服务 ansible all -i hosts -m shell -a "systemctl restart sshd" #查看端口监听 ansible all -i hosts -m shell -a "ss -anlp | grep :18822" #测试连接 这里可以写个shell脚本进行批量检测 ssh -v -p 18822 root@ip #关闭22 ansible all -i hosts -m shell -a "sed -i 's/^Port 22/^#&/g' /etc/ssh/sshd_config" 或者 ansible all -i hosts -m shell -a "sed -i "s/Port 22/#Port 22/g" /etc/ssh/sshd_config" ansible all -i hosts -m shell -a "systemctl restart sshd"
相关离线包和文件：openssh9.0p1.tar.gz-系统安全文档类资源-CSDN下载
