Avamar: Data Domain-integration: SSH Cipher Suite-kompatibilitet

Krypteringspakker ændres eller opgraderes på Data Domain (DD eller DDR). Avamar kan ikke længere logge på Data Domain ved hjælp af godkendelse uden adgangskode.

Avamar logger på Data Domain ved hjælp af Data Domains offentlige nøgle for at udveksle certifikater, når sessionssikkerhedsfunktioner er aktiveret.

DDR-nøglen bruges også til at opdatere Data Domain i Avamar Web User Interface (AUI) og Java UI.

Der er en artikel, der forklarer, hvordan du ændrer Data Domain SSH-krypteringspakker og hmac'er: Sådan indstilles understøttede cifre og hashingalgoritmer til SSH-serveren i DDOS

Symptomer kan resultere i følgende fejl i Avamar UI:

Failed to import host or ca automatically

Dette forhindrer udveksling af certifikater mellem Avamar og Data Domain via SSH-forbindelser.

Fra indholdet af følgende artikel Sådan indstilles understøttede cifre og hashingalgoritmer til SSH-serveren i DDOS (symptomafsnittet):

Krypteringspakker ændres på DD SSH-serveren:

ddboost@datadomain# adminaccess ssh option show 

Option            Value
---------------   ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
session-timeout   default (infinite)
server-port       default (22)
ciphers           aes128-cbc,chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
macs              hmac-sha1,hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-ripemd160-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,hmac-ripemd160,umac-128@openssh.com 

ddboost@datadomain# adminaccess ssh option set ciphers "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com"

Adminaccess ssh option "ciphers" set to "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com".

ddboost@datadomain# adminaccess ssh option set macs "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256" 

Adminaccess ssh option "macs" set to "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256".

ddboost@datadomain# adminaccess ssh option show 

Option            Value
---------------   ---------------------------------------------------------------------------------------
session-timeout   default (infinite)
server-port       default (22)
ciphers           chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com
macs              hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256

Denne ændring bryder muligheden for SSH med den offentlige DDR-nøgle fra Avamar til Data Domain.

Dette skyldes, at Avamar SSH-klienten ikke længere deler en krypteringspakke med Data Domain SSH-serveren:

root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.company.com

Unable to negotiate with 10.11.12.13 port 22: no matching cipher found. Their offer: chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com

Når SSH-krypteringspakker opdateres på Data Domain, skal krypteringspakkerne på Avamar SSH-klientsiden opdateres, så de matcher:

1. Angiv de aktuelle Avamar SSH Client-krypteringspakker:

root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"

Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc

2. Rediger ssh_config Fil:

root@avamar:/etc/ssh/#: vi /etc/ssh/ssh_config

3. Skift den sidste linje i filen med listen over cifre for at medtage de nye cifre chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com

4. Efter redigering af den sidste linje i filen skal den se ud som følgende:

root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"

Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc

5. Test SSH-krypteringspakkens kompatibilitet ved hjælp af den offentlige DDR-nøgle for at logge på Data Domain med offentlig nøglegodkendelse:

root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.compnay.com

Data Domain OS
Last login: Tue Sep 13 10:32:07 EDT 2022 from 10.11.12.13 on pts/1
Welcome to Data Domain OS 6.2.0.30-629757
-----------------------------------------
**
** NOTICE: There are 5 outstanding alerts. Run "alerts show current"
**         to display outstanding alert(s).
**