升级Openssl 1.1.1版本以及更新Nginx应用新版Openssl

升级Openssl 1.1.1版本以及更新Nginx应用新版Openssl

1、升级前的环境

当前openssl版本如下，是1.0.1e版本。

]# openssl version
OpenSSL 1.0.1e-fips 11 Feb 2013


# /data/tengine/sbin/nginx -V
Tengine version: Tengine/2.3.2
nginx version: nginx/1.17.3
built by gcc 4.4.7 20120313 (Red Hat 4.4.7-23) (GCC) 
built with OpenSSL 1.0.1e-fips 11 Feb 2013
1
2
3
4
5
6
7
8
9

漏洞扫描后发现这个版本的ssl存在安全问题，故而需要升级。

2、升级openssl版本为1.1.1g

1.下载openssl1.1.1g版本的二进制文件
wget https://www.openssl.org/source/openssl-1.1.1g.tar.gz --no-check-certificate

2.编译安装openssl
tar xf openssl-1.1.1g.tar.gz
cd openssl-1.1.1g
./config && make && make install

3.优化openssl路径
echo "/usr/local/lib64/" >> /etc/ld.so.conf
ldconfig
mv /usr/bin/openssl /usr/bin/openssl.old
ln -sv /usr/local/bin/openssl /usr/bin/openssl

4.openssl编译安装完成，查看版本信息
# openssl version
OpenSSL 1.1.1g  21 Apr 2020
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

3、平滑升级Nginx

openssl已经升级完毕，但是nginx查到的还是旧的openssl，也需要升级一下。

cd tengine-2.3.2
./configure --prefix=/data/tengine --pid-path=/var/run/nginx.pid --error-log-path=/data/tengine/logs/error.log --http-log-path=/data/tengine/logs/access.log --lock-path=/data/tengine/nginx.lock --user=root --group=root --with-http_ssl_module --with-http_stub_status_module --http-proxy-temp-path=/data/tengine/proxy/ --with-pcre --with-http_realip_module --with-stream --with-stream_ssl_module --with-openssl=/usr/local/openssl-1.1.1g && make && make install
1
2