Avamar: Data Domain-integrering: Kompatibilitet med SSH Cipher Suite

Chiffreringssamlinger endres eller oppgraderes på Data Domain (DD eller DDR). Avamar kan ikke lenger logge på datadomenet ved hjelp av passordfri godkjenning.

Avamar logger på datadomenet ved hjelp av den offentlige datadomenenøkkelen for å utveksle sertifikater når sikkerhetsfunksjonene for økten er aktivert.

DDR-nøkkelen brukes også til å oppdatere Data Domain i Avamar Web User Interface (AUI) og Java-grensesnittet.

Det er en artikkel som forklarer hvordan du endrer Data Domain SSH-krypteringssamlinger og hmac-er: Slik justerer du støttede chiffer og hashingalgoritmer for SSH-serveren i DDOS

Symptomer kan føre til følgende feil i Avamar-brukergrensesnittet:

Failed to import host or ca automatically

Dette forhindrer utveksling av sertifikater mellom Avamar og Data Domain via SSH-tilkoblinger.

Fra innholdet i følgende artikkel Slik justerer du støttede chiffer og hashingalgoritmer for SSH-serveren i DDOS (symptomseksjon):

Chiffreringssamlinger endres på DD SSH-serveren:

ddboost@datadomain# adminaccess ssh option show 

Option            Value
---------------   ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
session-timeout   default (infinite)
server-port       default (22)
ciphers           aes128-cbc,chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
macs              hmac-sha1,hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-ripemd160-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,hmac-ripemd160,umac-128@openssh.com 

ddboost@datadomain# adminaccess ssh option set ciphers "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com"

Adminaccess ssh option "ciphers" set to "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com".

ddboost@datadomain# adminaccess ssh option set macs "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256" 

Adminaccess ssh option "macs" set to "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256".

ddboost@datadomain# adminaccess ssh option show 

Option            Value
---------------   ---------------------------------------------------------------------------------------
session-timeout   default (infinite)
server-port       default (22)
ciphers           chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com
macs              hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256

Denne endringen bryter muligheten til å bruke den offentlige DDR-nøkkelen fra Avamar til Data Domain.

Dette skyldes at Avamar SSH-klienten ikke lenger deler chiffreringspakke med Data Domain SSH-serveren:

root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.company.com

Unable to negotiate with 10.11.12.13 port 22: no matching cipher found. Their offer: chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com

Når SSH-chiffreringssamlinger er oppdatert på Data Domain, må chiffreringssamlingene på Avamar SSH-klientsiden oppdateres slik at de samsvarer:

1. Oppgi gjeldende chiffreringsserier for Avamar SSH-klient:

root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"

Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc

2. Rediger ikonet ssh_config Filen:

root@avamar:/etc/ssh/#: vi /etc/ssh/ssh_config

3. Endre den siste linjen i filen med listen over chiffer for å inkludere de nye chifferne chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com

4. Etter at du har redigert den siste linjen i filen, skal den se slik ut:

root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"

Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc

5. Test kompatibiliteten til SSH-chiffreringspakken ved hjelp av den offentlige DDR-nøkkelen for å logge på Data Domain med godkjenning med offentlig nøkkel:

root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.compnay.com

Data Domain OS
Last login: Tue Sep 13 10:32:07 EDT 2022 from 10.11.12.13 on pts/1
Welcome to Data Domain OS 6.2.0.30-629757
-----------------------------------------
**
** NOTICE: There are 5 outstanding alerts. Run "alerts show current"
**         to display outstanding alert(s).
**