Avamar- en Data Domain-integratie: SSH Cipher Suite compatibiliteit

Cipher-suites worden gewijzigd of geüpgraded op Data Domain. Avamar kan zich niet langer aanmelden bij het Data Domain met authenticatie zonder wachtwoord.

Avamar meldt zich aan bij Data Domain met behulp van de openbare sleutel van Data Domain om certificaten te wisselen wanneer sessiebeveiligingsfuncties zijn ingeschakeld.

De DDR-sleutel wordt ook gebruikt om Data Domain bij te werken in de Avamar AUI en Java UI.

Er is een artikel waarin wordt uitgelegd hoe u de Data Domain SSH cipher suites en hmacs kunt wijzigen:
Het afstemmen van ondersteunde ciphers en hash-algoritmen voor de SSH-server in DDOS

Symptomen kunnen resulteren in de volgende fout in de Avamar AUI/UI:
'Failed to import host or ca automatically' for the Data Domain

This prevents the exchange of certificates between Avamar and Data Domain via SSH connections.

In de inhoud van het KB-artikel in het gedeelte Symptomen:
000069763 | Ondersteunde ciphers en hash-algoritmen afstemmen voor de SSH-server in DDOS

Cipher-suites worden gewijzigd op de DD SSH-server:

ddboost@datadomain# adminaccess ssh option show
Option            Value
---------------   ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
session-timeout   default (infinite)
server-port       default (22)
ciphers           aes128-cbc,chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
macs              hmac-sha1,hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-ripemd160-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,hmac-ripemd160,umac-128@openssh.com

ddboost@datadomain# adminaccess ssh option set ciphers "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com"
Adminaccess ssh option "ciphers" set to "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com".

ddboost@datadomain# adminaccess ssh option set macs "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256"
Adminaccess ssh option "macs" set to "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256".

ddboost@datadomain# adminaccess ssh option show
Option            Value
---------------   ---------------------------------------------------------------------------------------
session-timeout   default (infinite)
server-port       default (22)
ciphers           chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com
macs              hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256

Deze wijziging doorbreekt de mogelijkheid om SSH te maken met de openbare DDR-sleutel van Avamar naar Data Domain.
Dit komt doordat de Avamar SSH-client geen cipher-suite meer deelt met de Data Domain SSH-server.

root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.emc.com
Unable to negotiate with 10.11.12.13 port 22: no matching cipher found. Their offer: chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com

Zodra SSH cipher-suites zijn bijgewerkt op Data Domain, moeten we de cipher-suites aan de Avamar SSH-clientzijde bijwerken.

Actie
Geef de huidige Avamar SSH Client cipher-suites weer

root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"
Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc

Bewerk het ssh_config-bestand en wijzig de laatste regel van het bestand met de lijst met Ciphers om de nieuwe ciphers op te nemen. chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.Com

root@avamar:/etc/ssh/#: vi /etc/ssh/ssh_config

Nadat u de laatste regel van het bestand hebt bewerkt, ziet het er als volgt uit:

root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc

Test de compatibiliteit van de SSH Cipher Suite met behulp van de openbare DDR-sleutel om u aan te melden bij Data Domain met authenticatie met de openbare sleutel.

root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.emc.com
Data Domain OS
Last login: Tue Sep 13 10:32:07 EDT 2022 from 10.11.12.13 on pts/1
Welcome to Data Domain OS 6.2.0.30-629757
-----------------------------------------
**
** NOTICE: There are 5 outstanding alerts. Run "alerts show current"
**         to display outstanding alert(s).
**
ddboost@datadomain#