Avamar: Data Domain-integration: SSH Cipher Suite-kompatibilitet
Resumen: Avamar- og Data Domain-integration: Problemer med SSH Cipher Suite-kompatibilitet kan opstå ved ændring af de SSH-serverkrypteringspakker, som Data Domain understøtter.
Síntomas
Krypteringspakker ændres eller opgraderes på Data Domain (DD eller DDR). Avamar kan ikke længere logge på Data Domain ved hjælp af godkendelse uden adgangskode.
Avamar logger på Data Domain ved hjælp af Data Domains offentlige nøgle for at udveksle certifikater, når sessionssikkerhedsfunktioner er aktiveret.
DDR-nøglen bruges også til at opdatere Data Domain i Avamar Web User Interface (AUI) og Java UI.
Der er en artikel, der forklarer, hvordan du ændrer Data Domain SSH-krypteringspakker og hmac'er: Sådan indstilles understøttede cifre og hashingalgoritmer til SSH-serveren i DDOS
Symptomer kan resultere i følgende fejl i Avamar UI:
Failed to import host or ca automatically
Dette forhindrer udveksling af certifikater mellem Avamar og Data Domain via SSH-forbindelser.
Causa
Fra indholdet af følgende artikel Sådan indstilles understøttede cifre og hashingalgoritmer til SSH-serveren i DDOS (symptomafsnittet):
Krypteringspakker ændres på DD SSH-serveren:
ddboost@datadomain# adminaccess ssh option show
Option Value
--------------- ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
session-timeout default (infinite)
server-port default (22)
ciphers aes128-cbc,chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
macs hmac-sha1,hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-ripemd160-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,hmac-ripemd160,umac-128@openssh.com
ddboost@datadomain# adminaccess ssh option set ciphers "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com"
Adminaccess ssh option "ciphers" set to "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com".
ddboost@datadomain# adminaccess ssh option set macs "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256"
Adminaccess ssh option "macs" set to "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256".
ddboost@datadomain# adminaccess ssh option show
Option Value
--------------- ---------------------------------------------------------------------------------------
session-timeout default (infinite)
server-port default (22)
ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com
macs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256
Denne ændring bryder muligheden for SSH med den offentlige DDR-nøgle fra Avamar til Data Domain.
Dette skyldes, at Avamar SSH-klienten ikke længere deler en krypteringspakke med Data Domain SSH-serveren:
root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.company.com
Unable to negotiate with 10.11.12.13 port 22: no matching cipher found. Their offer: chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.comResolución
Når SSH-krypteringspakker opdateres på Data Domain, skal krypteringspakkerne på Avamar SSH-klientsiden opdateres, så de matcher:
1. Angiv de aktuelle Avamar SSH Client-krypteringspakker:
root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"
Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc
2. Rediger ssh_config Fil:
root@avamar:/etc/ssh/#: vi /etc/ssh/ssh_config
3. Skift den sidste linje i filen med listen over cifre for at medtage de nye cifre chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com
4. Efter redigering af den sidste linje i filen skal den se ud som følgende:
root@avamar:/etc/ssh/#: grep Ciphers /etc/ssh/ssh_config | grep -v "#"
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,aes192-cbc,aes256-cbc
5. Test SSH-krypteringspakkens kompatibilitet ved hjælp af den offentlige DDR-nøgle for at logge på Data Domain med offentlig nøglegodkendelse:
root@avamar:/etc/ssh/#: ssh -i ~admin/.ssh/ddr_key ddboost@datadomain.compnay.com
Data Domain OS
Last login: Tue Sep 13 10:32:07 EDT 2022 from 10.11.12.13 on pts/1
Welcome to Data Domain OS 6.2.0.30-629757
-----------------------------------------
**
** NOTICE: There are 5 outstanding alerts. Run "alerts show current"
** to display outstanding alert(s).
**