Avamar: Data Domain-integratie: Compatibiliteit met SSH Cipher Suite
Shrnutí: Avamar en Data Domain-integratie: Compatibiliteitsproblemen met SSH Cipher Suite kunnen het gevolg zijn van het wijzigen van de SSH Server Cipher Suites die Data Domain ondersteunt.
Příznaky
Ciphersuites worden gewijzigd of geüpgraded op Data Domain (DD of DDR). Avamar kan zich niet meer aanmelden bij het Data Domain met verificatie zonder wachtwoord.
Avamar meldt zich aan bij het Data Domain met behulp van de openbare sleutel van Data Domain om certificaten uit te wisselen wanneer sessiebeveiligingsfuncties zijn ingeschakeld.
De DDR-sleutel wordt ook gebruikt om Data Domain bij te werken in de Avamar Web User Interface (AUI) en Java UI.
Er is een artikel waarin wordt uitgelegd hoe je de Data Domain SSH cipher suites en hmacs kunt wijzigen: Ondersteunde versleutelingen en hashing-algoritmen afstemmen voor de SSH-server in DDOS
Symptomen kunnen leiden tot de volgende fout in de Avamar UI:
Failed to import host or ca automatically
Dit voorkomt de uitwisseling van certificaten tussen Avamar en Data Domain via SSH-verbindingen.
Příčina
Uit de inhoud van het volgende artikel Ondersteunde versleutelingen en hashing-algoritmen afstemmen voor de SSH-server in DDOS (gedeelte symptomen):
Cipher suites are changed on the DD SSH Server:
ddboost@datadomain# adminaccess ssh option show
Option Value
--------------- ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
session-timeout default (infinite)
server-port default (22)
ciphers aes128-cbc,chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
macs hmac-sha1,hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-ripemd160-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,hmac-ripemd160,umac-128@openssh.com
ddboost@datadomain# adminaccess ssh option set ciphers "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com"
Adminaccess ssh option "ciphers" set to "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com".
ddboost@datadomain# adminaccess ssh option set macs "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256"
Adminaccess ssh option "macs" set to "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256".
ddboost@datadomain# adminaccess ssh option show
Option Value
--------------- ---------------------------------------------------------------------------------------
session-timeout default (infinite)
server-port default (22)
ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com
macs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256
Deze wijziging verbreekt de mogelijkheid om SSH te gebruiken met de openbare DDR-sleutel van Avamar naar Data Domain.
Dit komt doordat de Avamar SSH-client niet langer een coderingssuite deelt met de Data Domain SSH-server:
root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.company.com
Unable to negotiate with 10.11.12.13 port 22: no matching cipher found. Their offer: chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.comŘešení
Zodra SSH-coderingssuites zijn bijgewerkt op Data Domain, moeten de coderingssuites aan de Avamar SSH-clientzijde worden bijgewerkt zodat ze overeenkomen met:
1. Maak een lijst van de huidige Avamar SSH Client cipher suites:
root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"
Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc
2. Bewerk de ssh_config Bestand:
root@avamar:/etc/ssh/#: vi /etc/ssh/ssh_config
3. Verander de laatste regel van het bestand met de lijst van Ciphers om de nieuwe ciphers op te nemen chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com
4. Na het bewerken van de laatste regel van het bestand zou het er als volgt uit moeten zien:
root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc
5. Test de compatibiliteit van de SSH Cipher Suite met behulp van de openbare DDR-sleutel om u aan te melden bij Data Domain met verificatie met openbare sleutel:
root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.compnay.com
Data Domain OS
Last login: Tue Sep 13 10:32:07 EDT 2022 from 10.11.12.13 on pts/1
Welcome to Data Domain OS 6.2.0.30-629757
-----------------------------------------
**
** NOTICE: There are 5 outstanding alerts. Run "alerts show current"
** to display outstanding alert(s).
**