Avamar: Integrace Data Domain: Kompatibilita se sadou SSH Cipher Suite

Šifrovací sady se mění nebo upgradují v systému Data Domain (DD nebo DDR). Software Avamar se již nemůže přihlásit do systému Data Domain pomocí ověřování bez hesla.

Systém Avamar se přihlásí do systému Data Domain pomocí veřejného klíče systému Data Domain za účelem výměny certifikátů, pokud jsou povoleny funkce zabezpečení relace.

Klíč DDR se také používá k aktualizaci systému Data Domain ve webovém uživatelském rozhraní (AUI) a v uživatelském rozhraní Java.

Existuje článek, který vysvětluje, jak změnit šifrovací sady Data Domain SSH a HMAC: Jak vyladit podporované šifry a hashovací algoritmy pro server SSH v systému DDOS

Příznaky mohou vést k následující chybě v uživatelském rozhraní Avamar:

Failed to import host or ca automatically

Tím zabráníte výměně certifikátů mezi softwarem Avamar a systémem Data Domain prostřednictvím připojení SSH.

Z obsahu následujícího článku Jak vyladit podporované šifry a algoritmy hash pro server SSH v systému DDOS (část Příznaky):

Šifrovací sady se mění na serveru DD SSH:

ddboost@datadomain# adminaccess ssh option show 

Option            Value
---------------   ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
session-timeout   default (infinite)
server-port       default (22)
ciphers           aes128-cbc,chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
macs              hmac-sha1,hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-ripemd160-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,hmac-ripemd160,umac-128@openssh.com 

ddboost@datadomain# adminaccess ssh option set ciphers "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com"

Adminaccess ssh option "ciphers" set to "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com".

ddboost@datadomain# adminaccess ssh option set macs "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256" 

Adminaccess ssh option "macs" set to "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256".

ddboost@datadomain# adminaccess ssh option show 

Option            Value
---------------   ---------------------------------------------------------------------------------------
session-timeout   default (infinite)
server-port       default (22)
ciphers           chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com
macs              hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256

Tato změna ruší možnost SSH s veřejným klíčem DDR z Avamar do Data Domain.

Důvodem je to, že klient Avamar SSH již nesdílí šifrovací sadu se serverem Data Domain SSH:

root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.company.com

Unable to negotiate with 10.11.12.13 port 22: no matching cipher found. Their offer: chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com

Po aktualizaci šifrovacích sad SSH v systému Data Domain je nutné aktualizovat šifrovací sady na straně klienta SSH Avamar tak, aby odpovídaly:

1. Seznam aktuálních šifrovacích sad klienta Avamar SSH:

root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"

Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc

2. Upravte ssh_config :

root@avamar:/etc/ssh/#: vi /etc/ssh/ssh_config

3. Změňte poslední řádek souboru se seznamem šifer tak, aby obsahoval nové šifry chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com

4. Po úpravě posledního řádku souboru by měl vypadat takto:

root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"

Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc

5. Test kompatibility šifrovací sady SSH pomocí veřejného klíče DDR pro přihlášení do systému Data Domain s ověřením veřejným klíčem:

root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.compnay.com

Data Domain OS
Last login: Tue Sep 13 10:32:07 EDT 2022 from 10.11.12.13 on pts/1
Welcome to Data Domain OS 6.2.0.30-629757
-----------------------------------------
**
** NOTICE: There are 5 outstanding alerts. Run "alerts show current"
**         to display outstanding alert(s).
**