银河麒麟系统 OpenSSH 升级至 10.x 实战避坑指南 银河麒麟系统 OpenSSH 升级至 10.x 实战避坑指南⚠️ 核心警告（操作前必读）绝对不要关闭当前的 SSH 连接窗口！ 必须保留一个已登录的旧会话作为“救生艇”，直到新终端测试连接成功为止，否则一旦配置错误将导致服务器失联。银河麒麟特性： 在重启 SSH 服务前必须执行 systemctl daemon-reload，否则会出现服务状态异常或配置不生效的提示。PAM 认证模块变更： 从 OpenSSH 10 以下版本升级，必须修改 PAM 加密模块配置（pam_stack.so 已被废弃），这是导致“密码正确却提示 Failed password”的通用致命错误。第一步：升级前准备与备份在操作前，务必备份当前的 SSH 配置文件，以便在出现问题时快速回滚。# 备份 sshd 配置文件 sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak.$(date +%F) # 进入 RPM 包所在目录（假设放在 /root/openssh/） cd /root/openssh/第二步：执行 RPM 升级使用 rpm 命令直接进行升级安装：sudo rpm -Uvh openssh-*.rpm第三步：修复 Host Key 权限（必做）OpenSSH 10.x 对安全性要求极高，如果主机密钥（Host Key）权限过于宽松，sshd 将直接拒绝启动。执行以下命令修正权限和属主：# 1. 确保私钥权限为 600 chmod 600 /etc/ssh/ssh_host_rsa_key chmod 600 /etc/ssh/ssh_host_ecdsa_key chmod 600 /etc/ssh/ssh_host_ed25519_key # 2. 确保对应的公钥权限为 644 chmod 644 /etc/ssh/ssh_host_rsa_key.pub chmod 644 /etc/ssh/ssh_host_ecdsa_key.pub chmod 644 /etc/ssh/ssh_host_ed25519_key.pub # 3. 确保属主正确 chown root:root /etc/ssh/ssh_host_*_key /etc/ssh/ssh_host_*_key.pub第四步：清理废弃配置项 (sshd_config)OpenSSH 10 彻底移除了对 SSHv1 协议及相关古老加密算法的支持。旧配置文件中的某些选项会导致 sshd 报错。💡 避坑经验：报错提示的行号（如 155行、157行）并不固定。不要盲目按行号删除，一定要用 sshd -t 命令动态查看报错。# 测试配置文件是否有语法错误或废弃选项 sudo sshd -t常见报错及修复方法：报错 1： /etc/ssh/sshd_config line 157: Deprecated option RhostsRSAAuthenticationsudo sed -i '/^RhostsRSAAuthentication/d' /etc/ssh/sshd_config报错 2： /etc/ssh/sshd_config line 155: Deprecated option RSAAuthenticationsudo sed -i '/^RSAAuthentication/d' /etc/ssh/sshd_config修复后，再次执行 sudo sshd -t，如果没有任何输出，则说明配置文件已完全合法。第五步：重载配置与启动服务（麒麟系统关键步）在银河麒麟系统中，由于 systemd 单元文件或 init 脚本发生了变更，必须重载 daemon 配置。# 1. 重载 systemd 管理器配置（银河麒麟必做！） sudo systemctl daemon-reload # 2. 启动/重启 sshd 服务 sudo systemctl restart sshd.service # 3. 查看服务运行状态 sudo systemctl status sshd.service确认状态为 active (running) 且 22 端口正常监听。第六步：修复 PAM 认证模块（🔥 核心重点）这是从 10 以下版本升级必须修改的部分！旧版系统使用 pam_stack.so，而该模块在现代系统中已被移除。如果不修复，查看日志（journalctl -xeu sshd）会看到 PAM unable to dlopen(/usr/lib64/security/pam_stack.so)，导致即使密码正确也无法登录。# 1. 备份旧的 PAM 配置 sudo cp /etc/pam.d/sshd /etc/pam.d/sshd.bak.$(date +%F) # 2. 写入 OpenSSH 10 兼容的标准 PAM 配置 sudo tee /etc/pam.d/sshd << 'EOF' #%PAM-1.0 auth required pam_sepermit.so auth substack password-auth auth include postlogin account required pam_nologin.so account include password-auth password include password-auth session required pam_selinux.so close session required pam_loginuid.so session optional pam_keyinit.so force revoke session include password-auth session include postlogin session required pam_selinux.so open env_params EOF第七步：最终验证1. 验证版本：ssh -V预期输出应包含 OpenSSH_10.x 字样。2. 验证连接（关键）：新开一个终端窗口，尝试 SSH 登录服务器。如果能成功输入密码并进入系统 $\rightarrow$ 升级成功。如果提示 Permission denied 或连接断开 $\rightarrow$ 立即回到保留的旧终端窗口，检查 /etc/pam.d/sshd 内容是否写入正确，或恢复备份文件。📝 总结与排错心得关于报错行号： sshd -t 报出的行号只是参考，核心是看它提示 Deprecated option 后面的参数名，用 sed 精准删除即可。关于通用错误： pam_stack.so 缺失是跨大版本升级的“通用错误”，只要是从低版本升到 10.x，这个 PAM 配置文件必须替换。关于 systemctl 警告： 如果启动时提示 Warning: The unit file... changed on disk，不要慌，这只是提醒你执行 systemctl daemon-reload，执行后重启服务即可消除。底线原则： 只要不关闭老的 SSH 会话，哪怕配置改错了、服务起不来，你依然有权限在旧窗口里把备份文件还原，从容救场。

nginx安装顺序之：麒麟V10系统安装nginx 1.查询并删掉旧包 rpm -qa | grep perl #查看当前以及安装的perl开头的安装包 rpm -e --nodeps perl-devel-5.28.0-434.ky10.x86_64 # 卸载命令 rpm -e --nodeps perl-libs-5.28.0-434.ky10.x86_64 # 卸载命令 rpm -e --nodeps perl-5.28.0-434.ky10.x86_64 # 卸载命令2.按顺序安装插件离线包 rpm -ivh perl-libs-5.28.3-3.p01.ky10.x86_64.rpm --nodeps --force rpm -ivh perl-devel-5.28.3-3.p01.ky10.x86_64.rpm --nodeps --force rpm -ivh perl-5.28.3-3.p01.ky10.x86_64.rpm --nodeps –force3.按照顺序安装 rpm -ivh gd-2.2.5-6.ky10.x86_64.rpm --nodeps --force rpm -ivh gperftools-libs-2.7-7.ky10.x86_64.rpm --nodeps --force rpm -ivh nginx-filesystem-1.16.1-9.p01.ky10.noarch.rpm --nodeps --force rpm -ivh nginx-mod-http-image-filter-1.16.1-9.p01.ky10.x86_64.rpm --nodeps --force rpm -ivh nginx-mod-http-perl-1.16.1-9.p01.ky10.x86_64.rpm --nodeps --force rpm -ivh nginx-mod-http-xslt-filter-1.16.1-9.p01.ky10.x86_64.rpm --nodeps --force rpm -ivh nginx-mod-mail-1.16.1-9.p01.ky10.x86_64.rpm --nodeps --force rpm -ivh nginx-all-modules-1.16.1-9.p01.ky10.noarch.rpm --nodeps --force rpm -ivh nginx-1.16.1-9.p01.ky10.x86_64.rpm --nodeps --force rpm -ivh nginx-mod-stream-1.16.1-9.p01.ky10.x86_64.rpm --nodeps –force4.启动nginxsystemctl start nginx.service #启动服务5.可能出现的问题使用rpm -ivh安装驱动包过程中提示“/sbin/ldconfig: /usr/ib64/ibLLVM-7.so is not a symbolic link”用root用户cd /usr/lib64 In sf libLLVM-7.0.0.so libLLVM-7.so6.下载地址https://update.cs2c.com.cn/NS/V10/V10SP2/os/adv/lic/base/x86_64/Packages/

银河麒麟V10 Ky10操作系统Openssh8.2升级到Openssh9.8 前言在配置远程SSH服务器时，出于安全性考虑，应避免使用诸如arcfour、aes128-cbc、blowfish-cbc、3des-cbc等弱加密算法。RFC 4253明确指出，arcfour算法存在诸多安全隐患，不建议使用。该算法在设计上存在漏洞，容易遭受密钥恢复攻击等安全威胁，攻击者可利用这些漏洞获取敏感信息，进而对服务器及相关数据造成严重破坏 。注意事项如果之前有对ssh进行加固处理，请查看是否有禁止以root用户登录升级前建议对服务器进行打快照处理，以备出现故障如需重启服务器请查看/etc/fstab中第一字段路径内是否有存在该设备或者文件，比如swap若不存在需将对应行前添加“#”进行注释，以防重启后无法启动服务器。该文件内容设备都是存在的正常的不用去操作。安装步骤上传安装包到服务器上 #解压安装包 tar -xvf ky10_openssh9.8p1.tar #进入安装包目录 cd ky10_openssh9.8p1 #授予相应权限 chmod +x install.sh #执行安装 sh install.sh安装完成后，检查是否安装成功ssh -V安装包{cloud title="天翼网盘（访问码：tti4）" type="default" url="https://cloud.189.cn/web/share?code=YZruayEzmyam" password=""/}{cloud title="蓝奏网盘" type="lz" url="https://daimafengzi.lanzout.com/i53oQ2uuuoxa" password=""/}{cloud title="123盘" type="default" url="https://www.123684.com/s/0ztiVv-t7Bod" password=""/}{cloud title="百度网盘" type="bd" url="https://pan.baidu.com/s/1Z6PQSEhIXU34iiPrDClbag?pwd=vu3y" password="vu3y"/}{cloud title="迅雷网盘" type="default" url="https://pan.xunlei.com/s/VOP-vLzfw9uE1nBZ2V96_ktmA1?pwd=cam4" password=""/}

【深度学习KylinOS四】【麒麟系统环境安装之docker-compose】麒麟系统（arm64/aarch64）离线安装docker和docker-compose 前言公司最近需要把所有服务全部部署到麒麟服务器上，其中包含各种服务器：nginx、redis、emqx、influxDB、kafka、zookeeper、minio、mysql以及各个应用等。我淋过雨，所以我也想为别人撑伞。网上关于 arm64 系统的资料很少，耗费了很多时间试错。所以把这类的东西全部总结写下来，希望对后面的同学有所帮助。准备工作准备服务器账号（本次全程使用root账号）[blockquote2 name='洛维花']（因为是第一次安装这玩意儿，尽量使用root账号，避免操作的时候碰到一些权限问题）[/tip]查看操作系统版本[root@ArmServer docker]# uname -a Linux ArmServer.XHKJ 4.19.90-24.4.v2101.ky10.aarch64 #1 SMP Mon May 24 14:45:37 CST 2021 aarch64 aarch64 aarch64 GNU/Linux [root@ArmServer docker]# cat /proc/version Linux version 4.19.90-24.4.v2101.ky10.aarch64 (KYLINSOFT@localhost.localdomain) (gcc version 7.3.0 (GCC)) #1 SMP Mon May 24 14:45:37 CST 2021 查看操作系统架构[root@ArmServer docker]# uname -m aarch64安装docker1.下载docker离线包下载地址：https://download.docker.com/linux/static/stable/选择系统架构对应的文件目录：aarch64（我目前使用的docker版本是：docker-20.10.7.tgz）2.下载 docker-compose离线包下载地址：https://github.com/docker/compose/releases选择对应系统架构的离线安装包（我目前使用的版本是：v2.17.2）Github的链接有时候可能访问不了，各位就大展申通吧3.准备 docker.service系统配置文件（复制以下内容保存为 docker.service文件）docker.service [Unit] Description=Docker Application Container Engine Documentation=https://docs.docker.com After=network-online.target firewalld.service Wants=network-online.target [Service] Type=notify # the default is not to use systemd for cgroups because the delegate issues still # exists and systemd currently does not support the cgroup feature set required # for containers run by docker ExecStart=/usr/bin/dockerd ExecReload=/bin/kill -s HUP $MAINPID # Having non-zero Limit*s causes performance problems due to accounting overhead # in the kernel. We recommend using cgroups to do container-local accounting. LimitNOFILE=infinity LimitNPROC=infinity LimitCORE=infinity # Uncomment TasksMax if your systemd version supports it. # Only systemd 226 and above support this version. #TasksMax=infinity TimeoutStartSec=0 # set delegate yes so that systemd does not reset the cgroups of docker containers Delegate=yes # kill only the docker process, not all processes in the cgroup KillMode=process # restart the docker process if it exits prematurely Restart=on-failure StartLimitBurst=3 StartLimitInterval=60s [Install] WantedBy=multi-user.target 4. 安装 docker 和 docker compose 离线包安装docker 和 docker compose# 解压 docker 到当前目录 tar -xvf docker-20.10.7.tgz # 将 docker 文件移动到 /usr/bin 目录下 cp -p docker/* /usr/bin # 将 docker-compose 文件复制到 /usr/local/bin/ 目录下，并重命名为 docker-compose cp docker-compose-linux-aarch64 /usr/local/bin/docker-compose # 设置 docker-compose 文件权限 chmod +x /usr/local/bin/docker-compose # 将 docker.service 移到 /etc/systemd/system/ 目录 cp docker.service /etc/systemd/system/ # 设置 docker.service 文件权限 chmod +x /etc/systemd/system/docker.service # 重新加载配置文件 systemctl daemon-reload # 启动docker systemctl start docker # 设置 docker 开机自启 systemctl enable docker.service 验证安装是否成功查看 docker 版本[root@ArmServer bin]# docker -v Docker version 20.10.7, build f0df350查看docker-compose 版本[root@ArmServer bin]# docker-compose -v Docker Compose version v2.17.2（说明：安装完之后，记得把窗口重新打开，以免自己以为没安装成功）

【深度学习KylinOS五】【麒麟系统环境安装之redis】麒麟系统使用Docker安装Redis以及初步使用 安装命令mkdir -p /home/redis/conf touch /home/redis/conf/redis.conf docker run -p 6379:6379 --name redis \ --network host \ -v /home/redis/data:/data \ -v /home/redis/conf/redis.conf:/etc/redis/redis.conf \ -itd redis redis-server /etc/redis/redis.conf \ --appendonly yes查看是否运行成功docker ps ##这个命令是查看所有正在运行的容器使用通过 redis-cli 连接测试使用 redis 服务docker exec -it redis-test /bin/bash redis-cli ping使用shutdown退出docker-cli再使用exit退出

【深度学习KylinOS六】【麒麟系统环境安装之minio】使用docker快速安装minio 拉取minio镜像docker pull minio/miniodocker容器构建和运行miniodocker run -d --name minio \ --restart=always \ -p 9000:9000 \ -p 9001:9001 \ -e "MINIO_ROOT_USER=minioroot" \ -e "MINIO_ROOT_PASSWORD=minioroot" \ -v /home/minio/data:/data \ -v /home/minio/config:/root/.minio \ minio/minio:latest server /data --console-address ":9001"其中-p 表示端口的映射关系，{外部端口}:{内部端口}-v 表示目录的映射关系，{外部目录}:{内部目录}MINIO_ROOT_USER 为minio的默认账号MINIO_ROOT_PASSWORD 为minio的默认账号的密码查询日志，看是否有错误日志docker logs --tail 200 -f minio打开web页面http://ip:9001

【深度学习KylinOS七】【麒麟系统环境安装之Nacos】Docker部署 Nacos超详细步骤 拉取nacosdocker pull caplike/nacos-server:v2.1.0创建本地映射文件mkdir -p /home/nacos-server2.1.0/conf mkdir -p /home/nacos-server2.1.0/logs mkdir -p /home/nacos-server2.1.0/data配置文件在 conf 目录中创建配置文件 nacos-logback.xml： <?xml version="1.0" encoding="UTF-8"?> <configuration scan="true" scanPeriod="10 seconds"> <springProperty scope="context" name="logPath" source="nacos.logs.path" defaultValue="${nacos.home}/logs"/> <property name="LOG_HOME" value="${logPath}"/> <appender name="cmdb-main" class="ch.qos.logback.core.rolling.RollingFileAppender"> <file>${nacos.home}/logs/cmdb-main.log</file> <append>true</append> <rollingPolicy class="ch.qos.logback.core.rolling.SizeAndTimeBasedRollingPolicy"> <fileNamePattern>${nacos.home}/logs/cmdb-main.log.%d{yyyy-MM-dd}.%i</fileNamePattern> <maxFileSize>2GB</maxFileSize> <maxHistory>7</maxHistory> <totalSizeCap>7GB</totalSizeCap> <cleanHistoryOnStart>true</cleanHistoryOnStart> </rollingPolicy> <encoder> <Pattern>%date %level %msg%n%n</Pattern> <charset>UTF-8</charset> </encoder> </appender> <appender name="rootFile" class="ch.qos.logback.core.rolling.RollingFileAppender"> <file>${LOG_HOME}/nacos.log</file> <append>true</append> <rollingPolicy class="ch.qos.logback.core.rolling.SizeAndTimeBasedRollingPolicy"> <fileNamePattern>${LOG_HOME}/nacos.log.%d{yyyy-MM-dd}.%i</fileNamePattern> <maxFileSize>50MB</maxFileSize> <maxHistory>7</maxHistory> <totalSizeCap>512MB</totalSizeCap> <cleanHistoryOnStart>true</cleanHistoryOnStart> </rollingPolicy> <encoder> <Pattern>%date %level %msg%n%n</Pattern> <charset>UTF-8</charset> </encoder> </appender> <appender name="CONSOLE" class="ch.qos.logback.core.ConsoleAppender"> <encoder> <Pattern>%date %level %msg%n%n</Pattern> <charset>UTF-8</charset> </encoder> </appender> <appender name="naming-server" class="ch.qos.logback.core.rolling.RollingFileAppender"> <file>${LOG_HOME}/naming-server.log</file> <append>true</append> <rollingPolicy class="ch.qos.logback.core.rolling.SizeAndTimeBasedRollingPolicy"> <fileNamePattern>${LOG_HOME}/naming-server.log.%d{yyyy-MM-dd}.%i</fileNamePattern> <maxFileSize>1GB</maxFileSize> <maxHistory>7</maxHistory> <totalSizeCap>7GB</totalSizeCap> <cleanHistoryOnStart>true</cleanHistoryOnStart> </rollingPolicy> <encoder> <Pattern>%date %level %msg%n%n</Pattern> <charset>UTF-8</charset> </encoder> </appender> <springProfile name="standalone"> <logger name="org.springframework"> <appender-ref ref="CONSOLE"/> <level value="INFO"/> </logger> <logger name="org.apache.catalina.startup.DigesterFactory"> <appender-ref ref="CONSOLE"/> <level value="INFO"/> </logger> <logger name="org.apache.catalina.util.LifecycleBase"> <appender-ref ref="CONSOLE"/> <level value="ERROR"/> </logger> <logger name="org.apache.coyote.http11.Http11NioProtocol"> <appender-ref ref="CONSOLE"/> <level value="WARN"/> </logger> <logger name="org.apache.tomcat.util.net.NioSelectorPool"> <appender-ref ref="CONSOLE"/> <level value="WARN"/> </logger> </springProfile> <logger name="com.alibaba.nacos.core.listener.StartingApplicationListener"> <appender-ref ref="CONSOLE"/> <level value="INFO"/> </logger> <root> <level value="INFO"/> <appender-ref ref="rootFile"/> </root> </configuration> 启动容器docker run -d -p 8848:8848 -p 9848:9848 -p 9849:9849 \ --name nacos-server2.1.0 \ -v /home/nacos-server2.1.0/conf:/home/nacos/conf \ -v /home/nacos-server2.1.0/data:/home/nacos/data \ -v /home/nacos-server2.1.0/logs:/home/nacos/logs \ -e MODE=standalone \ --restart=always \ caplike/nacos-server:v2.1.0验证是否成功在浏览器中访问 Nacos：http://localhost:8848/nacos默认用户名和密码都是 nacos。

【深度学习KylinOS二】【麒麟系统环境安装之Mysql】银河麒麟服务器V10 aarch64安装mysql8.0教程 服务器环境在 arm64(aarch64) 架构服务器上基于国产化操作系统安装 Mysql 服务## 查看系统版本，确认版本 cat /etc/kylin-release Kylin Linux Advanced Server release V10 (Tercel) ## 操作系统 uname -p aarch64 ## 内核版本（≥ 3.10） uname -r 4. 19.90-21.2.ky10.aarch64 ## iptables 版本（≥ 1.4） iptables --version iptables v1.8.1 (legacy)软件安装需先卸载mariadb-server、mariadb-commonyum remove mariadb-server mariadb-common下载安装包下载地址：https://downloads.mysql.com/archives/community/可以直接用命令下载：wget -c https://downloads.mysql.com/archives/get/p/23/file/mysql-8.1.0-1.el8.aarch64.rpm-bundle.tar解压：tar xvf mysql-8.1.0-1.el8.aarch64.rpm-bundle.tar安装：yum install -y ./mysql-community-server-8.1.0-1.el8.x86_64.rpm yum install -y ./mysql-community-client-8.1.0-1.el8.x86_64.rpm yum install -y ./mysql-community-libs-8.1.0-1.el8.x86_64.rpm yum install -y ./mysql-community-server-8.1.0-1.el8.x86_64.rpm yum install -y ./mysql-community-common-8.1.0-1.el8.x86_64.rpm 如果嫌弃麻烦，那就直接全部安装 yum install -y ./mysql-community-*启动mysqldsystemctl start mysqld设置开机启动systemctl enable mysqldMySQL默认密码和修改密码grep 'temporary password' /var/log/mysqld.log mysql -uroot -p修改密码ALTER USER 'root'@'localhost' IDENTIFIED BY 'sfa33afFASD!@#';重新登录搞定收工