Avamar: Data Domain -integrointi: SSH Cipher Suite -yhteensopivuus
Summary: Avamar- ja Data Domain -integrointi: SSH Cipher Suiten yhteensopivuusongelmat voivat johtua Data Domainin tukemien SSH-palvelimen salauspakettien muuttamisesta.
Symptoms
Data Domainissa (DD tai DDR) salausohjelmistoja muutetaan tai päivitetään. Avamar ei voi enää kirjautua Data Domainiin salasanattomalla todennuksella.
Avamar kirjautuu Data Domainiin Data Domainin julkisella avaimella vaihtaakseen varmenteita, kun istunnon suojausominaisuudet ovat käytössä.
DDR-avainta käytetään myös Data Domainin päivittämiseen Avamar Web User Interface (AUI) -käyttöliittymässä ja Java-käyttöliittymässä.
Eräässä artikkelissa kerrotaan, miten Data Domainin SSH-salauspaketteja ja hmac-salauspaketteja muutetaan: Tuettujen salausten ja hajautusalgoritmeja virittäminen SSH-palvelimelle DDOSissa
Oireet voivat aiheuttaa seuraavan virheen Avamar-käyttöliittymässä:
Failed to import host or ca automatically
Tämä estää varmenteiden vaihdon Avamarin ja Data Domainin välillä SSH-yhteyksien kautta.
Cause
Seuraavan artikkelin sisällöstä SSH-palvelimen tuettujen salausten ja hajautusalgoritmejen virittäminen DDOS: ssa (oireiden osa):
DD SSH -palvelimen salausohjelmistoja muutetaan:
ddboost@datadomain# adminaccess ssh option show
Option Value
--------------- ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
session-timeout default (infinite)
server-port default (22)
ciphers aes128-cbc,chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
macs hmac-sha1,hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-ripemd160-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,hmac-ripemd160,umac-128@openssh.com
ddboost@datadomain# adminaccess ssh option set ciphers "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com"
Adminaccess ssh option "ciphers" set to "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com".
ddboost@datadomain# adminaccess ssh option set macs "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256"
Adminaccess ssh option "macs" set to "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256".
ddboost@datadomain# adminaccess ssh option show
Option Value
--------------- ---------------------------------------------------------------------------------------
session-timeout default (infinite)
server-port default (22)
ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com
macs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256
Tämä muutos katkaisee SSH-yhteyden DDR:n julkisella avaimella Avamarista Data Domainiin.
Tämä johtuu siitä, että Avamar SSH Client ei enää jaa salausohjelmistoa Data Domain SSH -palvelimen kanssa:
root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.company.com
Unable to negotiate with 10.11.12.13 port 22: no matching cipher found. Their offer: chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.comResolution
Kun SSH-salausohjelmistot on päivitetty Data Domainissa, Avamar SSH -asiakaspuolen salausohjelmistot on päivitettävä vastaamaan seuraavia:
1. Näytä luettelo nykyisistä Avamar SSH Client -salauspaketeista:
root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"
Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc
2. Muokkaa ssh_config Tiedosto:
root@avamar:/etc/ssh/#: vi /etc/ssh/ssh_config
3. Muuta tiedoston viimeinen rivi salausluettelolla uusien salausten sisällyttämiseksi chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com
4. Kun olet muokannut tiedoston viimeistä riviä, sen pitäisi näyttää seuraavalta:
root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc
5. Testaa SSH-salausohjelmiston yhteensopivuus DDR:n julkisella avaimella, kun kirjaudut Data Domainiin julkisen avaimen todennuksella:
root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.compnay.com
Data Domain OS
Last login: Tue Sep 13 10:32:07 EDT 2022 from 10.11.12.13 on pts/1
Welcome to Data Domain OS 6.2.0.30-629757
-----------------------------------------
**
** NOTICE: There are 5 outstanding alerts. Run "alerts show current"
** to display outstanding alert(s).
**