Avamar- och Data Domain-integrering: Kompatibilitet med SSH Cipher Suite

Cipher-paketen ändras eller uppgraderas på Data Domain. Avamar kan inte längre logga in på Data Domain med lösenordsfri autentisering.

Avamar loggar in på Data Domain med hjälp av Data Domains offentliga nyckel för att byta ut certifikat när sessionssäkerhetsfunktioner är aktiverade.

DDR-nyckeln används även för att uppdatera Data Domain i Avamar AUI och Java-gränssnittet.

Det finns en artikel som förklarar hur du ändrar Data Domains SSH-chifferpaket och hmacs:
Så här justerar du kompatibla chiffer och hashalgoritmer för SSH-servern i DDOS

Symptom kan resultera i följande fel i Avamar AUI/UI:
"Failed to import host or cay" for the Data Domain

Detta förhindrar utbyte av certifikat mellan Avamar och Data Domain via SSH-anslutningar.

I avsnittet Symptom i kunskapsartikeln:
000069763 | Justera chiffer som stöds och hashalgoritmer för SSH-servern i DDOS

Cipher-paketen ändras på DD SSH-servern:

ddboost@datadomain# adminaccess ssh option show
Option            Value
---------------   ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
session-timeout   default (infinite)
server-port       default (22)
ciphers           aes128-cbc,chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
macs              hmac-sha1,hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-ripemd160-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,hmac-ripemd160,umac-128@openssh.com

ddboost@datadomain# adminaccess ssh option set ciphers "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com"
Adminaccess ssh option "ciphers" set to "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com".

ddboost@datadomain# adminaccess ssh option set macs "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256"
Adminaccess ssh option "macs" set to "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256".

ddboost@datadomain# adminaccess ssh option show
Option            Value
---------------   ---------------------------------------------------------------------------------------
session-timeout   default (infinite)
server-port       default (22)
ciphers           chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com
macs              hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256

Den här ändringen bryter möjligheten att SSH med den offentliga DDR-nyckeln från Avamar till Data Domain.
Det beror på att Avamar SSH-klienten inte längre delar en chiffersvit med Data DomainSSH-servern.

root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.emc.com
Unable to negotiate with 10.11.12.13 port 22: no matching cipher found. Their offer: chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com

När SSH-chifferpaketen har uppdaterats på Data Domain måste vi uppdatera cipher-paketen på Avamar SSH-klientsidan för att matcha.

Åtgärder
Visa en lista över de aktuella Avamar SSH Client Cipher-paketen

root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"
Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc

Redigera filen ssh_config och ändra den sista raden i filen med listan med chiffer så att de innehåller de nya chifferna. chacha20-poly1305@openssh.com, aes256-gcm@openssh.com, aes128-gcm@openssh.Com

root@avamar:/etc/ssh/#: vi /etc/ssh/ssh_config

När du har redigerat den sista raden i filen ska det se ut så här:

root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc

Testa kompatibiliteten för SSH Cipher Suite med hjälp av den offentliga DDR-nyckeln för att logga in på Data Domain med autentisering med offentliga nycklar.

root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.emc.com
Data Domain OS
Last login: Tue Sep 13 10:32:07 EDT 2022 from 10.11.12.13 on pts/1
Welcome to Data Domain OS 6.2.0.30-629757
-----------------------------------------
**
** NOTICE: There are 5 outstanding alerts. Run "alerts show current"
**         to display outstanding alert(s).
**
ddboost@datadomain#