CentOS 7 安装 OpenSSL 1.1.1 详细指南

OpenSSL 是开源的加密库，提供 TLS/SSL 协议实现，广泛用于 Web 服务器、邮件服务器、VPN 等场景。CentOS 7 默认安装的 OpenSSL 版本（如 1.0.2k）存在安全漏洞或功能限制（如不支持 TLS 1.3）。升级到 OpenSSL 1.1.1（LTS 版本，支持至 2023 年 9 月）可获得更强的安全性、TLS 1.3 支持及性能优化。本文详细介绍在 CentOS 7 上安装 OpenSSL 1.1.1 的步骤、最佳实践与常见问题解决。

目录#

准备工作#

系统环境检查#

确认系统为 CentOS 7：

cat /etc/centos-release
# 输出示例：CentOS Linux release 7.9.2009 (Core)

依赖安装#

安装编译工具和依赖库（gcc、make、zlib-devel 等）：

yum install -y gcc gcc-c++ make perl zlib-devel

备份原有 OpenSSL#

CentOS 7 的系统工具（如 yum、curl）依赖旧版 OpenSSL，直接替换会导致系统故障。先备份原有文件：

# 备份二进制文件
mv /usr/bin/openssl /usr/bin/openssl.old
 
# 备份头文件目录（若存在）
if [ -d /usr/include/openssl ]; then
    mv /usr/include/openssl /usr/include/openssl.old
fi
 
# 备份库文件（可选，根据实际路径调整）
if [ -f /usr/lib64/libssl.so ]; then
    mv /usr/lib64/libssl.so /usr/lib64/libssl.so.old
fi
if [ -f /usr/lib64/libcrypto.so ]; then
    mv /usr/lib64/libcrypto.so /usr/lib64/libcrypto.so.old
fi

安装 OpenSSL 1.1.1#

下载源码包#

从 OpenSSL 官网 下载最新的 1.1.1 版本（如 1.1.1w，LTS 版本）。也可通过 wget 下载：

cd /usr/local/src
wget https://www.openssl.org/source/openssl-1.1.1w.tar.gz
 
# （可选）校验文件完整性
wget https://www.openssl.org/source/openssl-1.1.1w.tar.gz.sha256
sha256sum -c openssl-1.1.1w.tar.gz.sha256

解压与编译配置#

解压源码包并进入目录：

tar -zxvf openssl-1.1.1w.tar.gz
cd openssl-1.1.1w

编译配置（推荐独立安装路径，避免覆盖系统库）：

./config \
--prefix=/usr/local/openssl-1.1.1 \  # 安装根目录
--with-zlib \                        # 启用 zlib 压缩
--openssldir=/usr/local/openssl-1.1.1 \  # 配置文件目录
shared zlib                          # 编译共享库 + zlib 支持

参数说明：

  • --prefix：指定安装根目录（二进制、库、头文件路径）。
  • --with-zlib：启用 zlib 压缩，优化 TLS 性能。
  • shared：编译动态库（.so），便于应用动态链接。
  • --openssldir：指定证书、配置文件的存储目录。

编译与安装#

编译（多线程加速，$(nproc) 为 CPU 核心数）：

make -j $(nproc)

安装（需 root 权限）：

make install

配置系统环境（可选）#

若需让特定应用使用新 OpenSSL，不建议直接替换系统库（风险高），推荐通过环境变量隔离或**软链接（谨慎）**实现。

方法 1：环境变量隔离（推荐）#

在应用的启动脚本或用户环境中设置变量（如 ~/.bashrc）：

# 编辑用户环境变量
echo 'export PATH=/usr/local/openssl-1.1.1/bin:$PATH' >> ~/.bashrc
echo 'export LD_LIBRARY_PATH=/usr/local/openssl-1.1.1/lib:$LD_LIBRARY_PATH' >> ~/.bashrc
 
# 生效环境变量
source ~/.bashrc

方法 2：软链接（谨慎，可能导致系统故障）#

仅当明确知道应用兼容性时使用，替换系统 openssl 二进制和库：

# 替换二进制（风险高！）
ln -s /usr/local/openssl-1.1.1/bin/openssl /usr/bin/openssl
 
# 替换库文件（风险高！）
ln -s /usr/local/openssl-1.1.1/lib/libssl.so.1.1 /usr/lib64/libssl.so.1.1
ln -s /usr/local/openssl-1.1.1/lib/libcrypto.so.1.1 /usr/lib64/libcrypto.so.1.1

验证安装#

版本检查#

执行 openssl version，输出应包含 1.1.1：

openssl version
# 输出示例：OpenSSL 1.1.1w  11 Sep 2023

若未配置环境变量，直接调用安装路径的二进制：

/usr/local/openssl-1.1.1/bin/openssl version

功能测试#

测试生成 RSA 密钥（验证库功能）：

openssl genrsa -out test.key 2048
# 输出应包含密钥信息，无报错

测试 TLS 1.3 连接（需目标服务器支持 TLS 1.3）：

openssl s_client -connect example.com:443 -tls1_3
# 输出应包含 TLS 1.3 握手信息

最佳实践#

避免覆盖系统库#

系统工具（如 yum、curl）依赖旧版 OpenSSL，直接替换会导致：

  • yum 报错（Python 依赖旧库）。
  • 系统服务（如 httpd）启动失败。

推荐：为应用单独配置环境变量或编译时指定 OpenSSL 路径。

环境变量隔离#

为每个应用的启动脚本设置独立的 PATH 和 LD_LIBRARY_PATH，避免影响系统工具：

# 示例：启动 Nginx 时使用新 OpenSSL
#!/bin/bash
export PATH=/usr/local/openssl-1.1.1/bin:$PATH
export LD_LIBRARY_PATH=/usr/local/openssl-1.1.1/lib:$LD_LIBRARY_PATH
/usr/local/nginx/sbin/nginx

定期更新#

OpenSSL 1.1.1 会发布安全补丁，定期从官网下载最新版本（如 1.1.1x），重复安装步骤更新。

依赖管理#

编译其他软件（如 Nginx、Python）时，通过参数指定 OpenSSL 路径：

# 编译 Nginx 时指定 OpenSSL
./configure --with-openssl=/usr/local/openssl-1.1.1 --with-openssl-opt="enable-tls1_3"
make && make install

常见问题与解决#

编译报错：依赖缺失#

错误示例：fatal error: zlib.h: No such file or directory

解决：安装 zlib-devel 并重新编译：

yum install -y zlib-devel
make clean  # 清理旧编译文件
./config ...  # 重新配置
make -j $(nproc)

应用无法使用新 OpenSSL#

现象：编译时提示“找不到 OpenSSL 头文件”或运行时“版本不兼容”。

解决：编译时指定头文件和库路径：

gcc -o test test.c \
-I/usr/local/openssl-1.1.1/include \  # 头文件路径
-L/usr/local/openssl-1.1.1/lib \      # 库路径
-lssl -lcrypto \                      # 链接库
-Wl,-rpath=/usr/local/openssl-1.1.1/lib  # 运行时库路径

系统命令冲突#

现象：执行 yum 时报错：/usr/bin/python: error while loading shared libraries: libssl.so.10: cannot open shared object file

原因：替换了系统的 libssl.so，导致 Python（yum 依赖）找不到旧库。

解决：恢复系统软链接，改用环境变量：

# 恢复 openssl 二进制
rm /usr/bin/openssl
ln -s /usr/bin/openssl.old /usr/bin/openssl
 
# 恢复库文件（根据实际备份调整）
rm /usr/lib64/libssl.so.1.1 /usr/lib64/libcrypto.so.1.1
ln -s /usr/lib64/libssl.so.1.0.2k /usr/lib64/libssl.so.1.0.2k

总结#

在 CentOS 7 上安装 OpenSSL 1.1.1 需避免覆盖系统库，通过源码编译 + 环境变量隔离实现安全升级。遵循最佳实践（如定期更新、依赖管理）可确保系统稳定与应用安全。

参考#

2026-05