Avamar- og Data Domain-integrering: Kompatibilitet med SSH Cipher Suite

Cipher-pakker endres eller oppgraderes på Data Domain. Avamar kan ikke lenger logge på Data Domain ved hjelp av passordfri godkjenning.

Avamar logger på Data Domain ved hjelp av Data Domains offentlige nøkkel for å bytte sertifikater når øktsikkerhetsfunksjoner er aktivert.

DDR-nøkkelen brukes også til å oppdatere Data Domain i Avamar AUI og Java-grensesnittet.

Det finnes en artikkel som forklarer hvordan du endrer Data Domain SSH-cipher-pakker og hmacs:
Hvordan du justerer støttede krypteringsalgoritmer og hashing-algoritmer for SSH-serveren i DDOS

Symptoms, kan føre til følgende feil i Avamar AUI/UI:
"Failed to import host or ca automatically" for the Data DomainThis prevents the exchange of certificates between Avamar and Data Domain over SSH connections (Kunne ikke importere vert eller ca automatisk) for Data Domain

Dette forhindrer utveksling av sertifikater mellom Avamar og Data Domain over SSH-tilkoblinger.

Fra innholdet i KB-artikkelen i symptomdelen:
000069763 | Slik justerer du støttede krypteringsalgoritmer og hashing-algoritmer for SSH-serveren i DDOS

Cipher-pakker endres på DD SSH-serveren:

ddboost@datadomain# adminaccess ssh option show
Option            Value
---------------   ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
session-timeout   default (infinite)
server-port       default (22)
ciphers           aes128-cbc,chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
macs              hmac-sha1,hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-ripemd160-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,hmac-ripemd160,umac-128@openssh.com

ddboost@datadomain# adminaccess ssh option set ciphers "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com"
Adminaccess ssh option "ciphers" set to "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com".

ddboost@datadomain# adminaccess ssh option set macs "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256"
Adminaccess ssh option "macs" set to "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256".

ddboost@datadomain# adminaccess ssh option show
Option            Value
---------------   ---------------------------------------------------------------------------------------
session-timeout   default (infinite)
server-port       default (22)
ciphers           chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com
macs              hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256

Denne endringen bryter muligheten for SSH med DDR-fellesnøkkelen fra Avamar til Data Domain.
Grunnen til dette er at Avamar SSH-klienten ikke lenger deler en cipher-pakke med Data Domain SSH Server.

root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.emc.com
Unable to negotiate with 10.11.12.13 port 22: no matching cipher found. Their offer: chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com

Når SSH-cipher-pakker er oppdatert på Data Domain, må vi oppdatere cipher-programappene på Avamar SSH-klientsiden for å samsvare.

Handling
Oppgi gjeldende Avamar SSH Client cipher-pakker

root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"
Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc

Rediger ssh_config-filen, og endre den siste linjen i filen med listen over ciphers for å inkludere de nye krypteringsfilene. chacha20-poly1305@openssh.com, aes256-gcm@openssh.com, aes128-gcm@openssh.Com

root@avamar:/etc/ssh/#: vi /etc/ssh/ssh_config

Når du har redigert den siste linjen i filen, skal den se ut som følgende:

root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc

Test SSH cipher suite-kompatibiliteten ved hjelp av DDR-fellesnøkkelen for å logge på Data Domain med godkjenning av fellesnøkkel.

root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.emc.com
Data Domain OS
Last login: Tue Sep 13 10:32:07 EDT 2022 from 10.11.12.13 on pts/1
Welcome to Data Domain OS 6.2.0.30-629757
-----------------------------------------
**
** NOTICE: There are 5 outstanding alerts. Run "alerts show current"
**         to display outstanding alert(s).
**
ddboost@datadomain#