Avamar: Integrace Data Domain: Kompatibilita se sadou SSH Cipher Suite
Resumen: Integrace systému Avamar a Data Domain: Problémy s kompatibilitou sady SSH Cipher Suite mohou vzniknout při změně šifrovacích sad serverů SSH, které systém Data Domain podporuje.
Síntomas
Šifrovací sady se mění nebo upgradují v systému Data Domain (DD nebo DDR). Software Avamar se již nemůže přihlásit do systému Data Domain pomocí ověřování bez hesla.
Systém Avamar se přihlásí do systému Data Domain pomocí veřejného klíče systému Data Domain za účelem výměny certifikátů, pokud jsou povoleny funkce zabezpečení relace.
Klíč DDR se také používá k aktualizaci systému Data Domain ve webovém uživatelském rozhraní (AUI) a v uživatelském rozhraní Java.
Existuje článek, který vysvětluje, jak změnit šifrovací sady Data Domain SSH a HMAC: Jak vyladit podporované šifry a hashovací algoritmy pro server SSH v systému DDOS
Příznaky mohou vést k následující chybě v uživatelském rozhraní Avamar:
Failed to import host or ca automatically
Tím zabráníte výměně certifikátů mezi softwarem Avamar a systémem Data Domain prostřednictvím připojení SSH.
Causa
Z obsahu následujícího článku Jak vyladit podporované šifry a algoritmy hash pro server SSH v systému DDOS (část Příznaky):
Šifrovací sady se mění na serveru DD SSH:
ddboost@datadomain# adminaccess ssh option show
Option Value
--------------- ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
session-timeout default (infinite)
server-port default (22)
ciphers aes128-cbc,chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
macs hmac-sha1,hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-ripemd160-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,hmac-ripemd160,umac-128@openssh.com
ddboost@datadomain# adminaccess ssh option set ciphers "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com"
Adminaccess ssh option "ciphers" set to "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com".
ddboost@datadomain# adminaccess ssh option set macs "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256"
Adminaccess ssh option "macs" set to "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256".
ddboost@datadomain# adminaccess ssh option show
Option Value
--------------- ---------------------------------------------------------------------------------------
session-timeout default (infinite)
server-port default (22)
ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com
macs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256
Tato změna ruší možnost SSH s veřejným klíčem DDR z Avamar do Data Domain.
Důvodem je to, že klient Avamar SSH již nesdílí šifrovací sadu se serverem Data Domain SSH:
root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.company.com
Unable to negotiate with 10.11.12.13 port 22: no matching cipher found. Their offer: chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.comResolución
Po aktualizaci šifrovacích sad SSH v systému Data Domain je nutné aktualizovat šifrovací sady na straně klienta SSH Avamar tak, aby odpovídaly:
1. Seznam aktuálních šifrovacích sad klienta Avamar SSH:
root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"
Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc
2. Upravte ssh_config :
root@avamar:/etc/ssh/#: vi /etc/ssh/ssh_config
3. Změňte poslední řádek souboru se seznamem šifer tak, aby obsahoval nové šifry chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com
4. Po úpravě posledního řádku souboru by měl vypadat takto:
root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc
5. Test kompatibility šifrovací sady SSH pomocí veřejného klíče DDR pro přihlášení do systému Data Domain s ověřením veřejným klíčem:
root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.compnay.com
Data Domain OS
Last login: Tue Sep 13 10:32:07 EDT 2022 from 10.11.12.13 on pts/1
Welcome to Data Domain OS 6.2.0.30-629757
-----------------------------------------
**
** NOTICE: There are 5 outstanding alerts. Run "alerts show current"
** to display outstanding alert(s).
**